（4）web安全|渗透测试|网络安全web网站源码及相关分析

众所周知：

web源码在安全测试中是非常重要的信息来源，可以用来代码审计漏洞也可以用来做信息突破口，其中WEB源码有很多技术需要简明分析。
eg：获取ASP源码后可以采用默认数据库下载为突破，获取某其他脚本源码漏洞可以进行代码审计挖掘或分析其业务逻辑等，所以源码的获取将为后期的安全测试提供了更多的思路

Web源码目录结构
数据库配置文件，后台目录，模板目录，数据库目录等

admin----------------------------------网站后台目录
data------------------------------------数据库相关目录
install----------------------------------安装目录
member-------------------------------会员目录
template------------------------------模板目录(和网站建立相关的整体架构)
data（confing.php）--------------数据库配置文件，网站和数据库的通讯信息，连接账号密码，可以去连接对方数据库，从数据库去得到这个网站的源码里面涉及到的管理员的账号密码。

可以在网上百度一个源码如何打开看，有的小的可能只有部分目录

Web源码脚本类型
ASP,PHP,ASPX,JSP,JAVAWEB等脚本类型源码安全问题

通过文件目录查看网站的类型

关于Web源码应用分类
门户网站---------------------------综合类
电商---------------------------------业务逻辑
论坛---------------------------------XSS
博客---------------------------------较少
第三方------------------------------看其功能

源码的获取途径：搜索，闲鱼淘宝，第三方源码站，各种行业对应。
开源：可以在网上搜漏洞相关文章。

内部：常规的渗透测试，用扫描工具去判断。
拿不到源码就可以找相同类型的源码分析

识别平台所用的cms,下面是一个asp脚本写的网站

底部显示技术支持是GOOMAY公司开发的，

然后我想找到他是使用cms开发的，还是自己开发的

就在他的每个页面试加上/robots.txt 看能不能查看到

结果进入了登录页面

现在就要去试试这个提供技术支持的，是使用自己开发的，还是cms开发的

①如果分析出所使用的cms版本，就可以在网上百度相应版本的漏洞

②如果网站打过补丁，则再考虑扫描工具和相关的源码进行分析

③如果是他们自己一点一点开发起来的，没有源码的，就要自己一点一点的扫描了

（4）web安全|渗透测试|网络安全web网站源码及相关分析相关推荐

Python：渗透测试开源项目【源码值得精读】
sql注入工具:sqlmap DNS安全监测:DNSRecon 暴力破解测试工具:patator XSS漏洞利用工具:XSSer Web服务器压力测试工具:HULK SSL安全扫描器:SSLyze 网 ...
给大家分享一篇 Python：渗透测试开源项目「源码值得精读」
sql注入工具:sqlmap DNS安全监测:DNSRecon 暴力破解测试工具:patator XSS漏洞利用工具:XSSer Web服务器压力测试工具:HULK SSL安全扫描器:SSLyze 其 ...
（8）web安全|渗透测试|网络安全常见的站点搭建类型分析，子域名爆破，旁注等，WAF防护分析及绕过，wafwoof工具的安装和使用
常见的站点搭建习惯分析目录型站点主站上的其他文件夹上对应着其他的cms程序,找漏洞思路: 主站的漏洞: 站上其他程序的漏洞例如:某网站通过后台扫描发现有一个bbs目录,点击发现是一个bbs的论坛 ...
（13）web安全|渗透测试|网络安全注入/跨库查询/文件读写/常见的防护原理详细图解
目录高权限注入及低权限注入跨库查询: 文件读写操作流程: 找路径: 方法一: 方法二: 方法三: 方法四: 方法五: 方法六: 方法七: 知道路径后,再执行文件的读写操作文件的写入: 可能遇到 ...
（7）web安全|渗透测试|网络安全如何判断是否有CDN存在，并绕过CDN找到真正的ip的方法
CDN的全称是Content Delivery Network,即内容分发网络.CDN是构建在现有网络基础之上的智能虚拟网络,依靠部署在各地的边缘服务器,通过中心平台的负载均衡.内容分发.调度等功能模 ...
网络安全-常见面试题（Web、渗透测试、密码学、Linux等）
目录 WEB安全 OWASP Top 10(2017) Injection - 注入攻击 Broken Authentication-失效的身份认证 Sensitive Data Exposure-敏 ...
2023年网络安全比赛--Web综合渗透测试中职组（超详细）
一.竞赛时间 180分钟共计3小时二.竞赛阶段 1.通过URL访问http://靶机IP/1,对该页面进行渗透测试,将完成后返回的结果内容作为FLAG值提交: 2.通过URL访问http://靶机 ...
web渗透测试——小迪 web安全｜渗透测试｜网络安全工程师
https://www.bilibili.com/video/BV1JZ4y1c7ro?from=search&seid=5579446180309813561 第01天:基础入门-概念名词 ...
软件测试：Web应用渗透测试的详细步骤和工具组合
众所周知,在应用设计中的某个简单的缺陷.配置上的错误.以及网络钓鱼攻击,都可能给Web服务器造成巨大的损失.有统计显示,全球有75%的IT领导者,对其Web应用的安全性缺乏信心.因此近年来,Web应用 ...

（4）web安全|渗透测试|网络安全web网站源码及相关分析

（4）web安全|渗透测试|网络安全web网站源码及相关分析相关推荐

最新文章

热门文章