网易WEB白帽子-WEB安全基础

2024-05-20 01:13:34

网易WEB白帽子

02..WEB安全基础

1.钓鱼

诱惑性的标题，仿冒真实网址，骗取用户账户，骗取用户资料

2.网页‘篡改’

hacked by

Intitle : keyword 标题中还有关键字的网页

Intext : keyword 正文中还有关键字的网页

Site : domain 在某个域名或者子域名下的网页

3. 暗链

隐藏在网站中的链接

网游/医疗/博彩/色情

提高网站排名

4. Webshell(后门)

web后门获取权限

XSS 跨站脚本

黑客通过‘HTML’篡改网页，插入恶意脚本，当用户在浏览网页时，实现控制用户浏览器行为的一种攻击方式。

XSS分类

存储型

访问网站，触发XSS(Firebug插件)
< img src = ‘’#‘’onerror = 'alert(hello)'> # 不是一个有效的图片，导致加载失败,进而触发事件

反射型

访问携带带有XSS脚本的链接，触发XSS
通过后端WEB应用程序将XSS脚本，将XSS脚本写入响应页面中，在浏览器在响应页面时触发XSS

DOM型

访问携带带有XSS脚本的链接，触发XSS（不在URL参数中，在URL的哈希中）哈希的#分隔符
前端用JavaScript将XSS脚本写入DOM中，触发XSS

CSRF 跨站请求伪造

利用用户已登录的身份，在用户不知道的情况下，以用户的名义完成非法操作。

点击挟持

通过覆盖不可见的框架诱导受害者点击而造成的攻击行为。

iframe

UI-覆盖

URL跳转

借助未未验证的URL跳转，将应用程序引导到不安全的第三方区域，从而引导的安全问题。

Header头跳转
Javascript跳转
META标签跳转

SQL注入

访问修改数据，或者利用潜在的数据库漏洞进行攻击

命令注入

CURL命令

D:\test>curl -I "http://www.163.com" HTTP/1.0 302 Moved Temporarily Allow: GET,POST,HEAD MIME-Version: 1.0 Server: NetEngine Server 1.0 Pragma: No-Cache Location: http://691.gd165.com:8000/shx_691/

& 转义 %26

文件操作漏洞

文件上传

文件下载

文件包含漏洞

本地文件包含
远程文件包含

网易WEB白帽子-WEB安全基础相关推荐

网易WEB白帽子 -WEB安全工具
网易WEB白帽子 03 WEB安全工具 1. 浏览器内容设置允许弹窗可运行Javascript脚本内容设置 www.hackthissite.org 插件 HackBar Advanced C ...
网易WEB白帽子-WEB安全体系建设
网易WEB白帽子 05 WEB安全体系建设 SDL 安全开发生产周期提升WEB应用的安全性减少WEB应用的的安全漏洞降低安全漏洞的修复成本 SRC 安全应急响应中心 WAF WEB安全应用防火墙
米斯特白帽子WEB安全攻防培训-信息收集
1.信息收集米斯特白帽子WEB安全攻防培训第二期-讲师:gh0stkey 0x00 信息收集什么? 咱们老是说信息收集,可是到底收集什么东西你知道? 在渗透测试中,信息收集一切都是从某个网址.IP地 ...
2018最新网易云课堂 web白帽子培训教程价值2000元
课程介绍: 网易白帽子教程就是网易云课堂微专业白帽子黑ke训练营教程,来自以品质著称的网易云课堂的<Web安全工程师微专业>,由7位网易安全大牛与多位云课堂教育专家匠心打造,是一套从入门到 ...
白帽子黑客零基础教程，手把手带你实现“黑客梦”
免责声明 ⚠特别说明:此教程为纯技术教学!严禁利用本教程所提到的漏洞和技术进行非法攻击,本教程的目的仅仅作为学习,决不是为那些怀有不良动机的人提供技术支持!也不承担因为技术被滥用所产生的连带责任!⚠ ...
网易web白帽子学习笔记
部分转载他人一.web基础知识 1.1.1web介绍 world wide web 万维网 web1.0 个人网站.门户站点静态页面 web2.0 微博.博客交互式页面随之而来有一些安全问题: ...
笔记（米斯特白帽子WEB安全攻防培训第二期）（基础01）
Autor:米斯特安全团队-gh0stkey 什么是渗透测试? 举一个例子: 水通过海绵的小孔透过海绵的过程. 海绵=目标水=测试者小孔=漏洞渗透测试者尽可能完整地模拟黑客使用的漏洞发现技术和攻 ...
价值2500元网易web白帽子黑客培训
下载地址:百度网盘
最新价值2500元网易web白帽子黑客培训视频
下载地址:百度网盘

最新文章

热门文章