白帽子讲web安全——认证与会话管理
在看白帽子讲web安全,刚好看到认证与会话管理:也就是我们在平常渗透测试中遇到最多的登录页面,也即是用户名和密码认证方式,这是最常见的认证方式。
了解两个概念:认证和授权
1):认证的目的是为了认出用户是谁。
2):授权的目的是为了决定用户能够做什么。
书中列举的例子很形象,假设系统是一间房子,持有钥匙的人可以进门进入房子,那么屋子就是通过“锁和钥匙的匹配”来进行认证的,认证的过程就是开锁的过程。
钥匙在认证过程中,被称为“凭证”,开门的过程,在互联网里对应的是登录。
可是开门之后,什么事情能做,什么事情不能做,就是“授权”的管辖范围了。
记录下之前在渗透过程中遇到登录页面的问题,和书中所说相对应起来的话,一个是对认证,一个是对授权:
1):在认证的时候,单独对登录页面来说,可以去尝试的测试:
- 万能密码登录
- SQL注入
- 漏扫扫描,常用appscan、awvs开源工具来扫描
- XSS
- 爆破,登录页面的爆破,最常见是遇到验证码,尝试验证码绕过;或者限制的登录次数
- 一个验证码可以多次使用
- 验证码无效
- 限制登录次数,看是不是限制了IP
- 限制账号错误次数,查看是不是请求包中某个参数影响,可能是session中的值,或者post传递的值,去掉这个影响参数,尝试能不能够绕过限制
- 端口扫描,nmap,来查看端口常见漏洞
- 目录扫描,有没有未授权访问
2):在授权范围内,也是单独对登录页面来说,可以去尝试的测试:
- 尝试用低权限的账号越权登录高权限账号
- 在忘记密码处,越权修改手机或者邮箱
- 忘记密码处,越权修改别的账号密码
以上是临时能够想起来的。
这章小结:
session劫持就是一种通过窃取用户sessionID后,使用该sessionID登录进目标账户的攻击方法,此时攻击者实际是使用了目标账户的有效session。如果sessionID是保存在cookie中的,则这种攻击可以称为cookie劫持。
这里有kxlzx大神的一篇博客,做了研究,实例:
https://www.inbreak.net/archives/287
转载于:https://www.cnblogs.com/suyi223/p/9963586.html
白帽子讲web安全——认证与会话管理相关推荐
- 读白帽子讲WEB安全,摘要
读<白帽子讲WEB安全>摘要 文章目录 我的安全世界观 安全三要素-CIA 如何实施安全评估 白帽子兵法 客户端安全 浏览器安全 同源策略 浏览器沙箱 恶意网址拦截 高速发展的浏览器安全 ...
- 在学习web安全的小白看过来,这本《白帽子讲web安全》强烈推荐,必读!(附PDF)
Web是互联网的核心,是未来云计算和移动互联网的最佳载体,因此Web安全也是互联网公司安全业务中最重要的组成部分. 前排提醒:文末有pdf领取 下面来看看几种常见的web漏洞: 1.XSS跨站脚本攻击 ...
- 学习web安全,强烈推荐这本《白帽子讲web安全》!
Web是互联网的核心,是未来云计算和移动互联网的最佳载体,因此Web安全也是互联网公司安全业务中最重要的组成部分. 下面来看看几种常见的web漏洞: 1.XSS跨站脚本攻击 XSS跨站脚本攻击,通常指 ...
- 分享笔记1 之《白帽子讲web安全》
分享笔记1 之<白帽子讲web安全> 目录 第一篇 世界观安全 第1章 我的安全世界观 2 1.1 web安全简史 2 1.1.1 中国黑客简史 2 1.1.2 黑客技术的发展历程 3 1 ...
- 白帽子讲web安全 ——读书笔记:术语和理论
最近心血来潮,对安全这些略感兴趣,就买了本 白帽子讲web安全 看看 ,这里做个读书笔记吧!方便啥时候忘了再看一下. exploit--漏洞利用代码 Script kids --脚本小子,利用expl ...
- 白帽子讲WEB安全读书笔记(慢慢更新)
道哥写的白帽子讲WEB安全的读书笔记 文章目录 2020.3.23 ◆ 前言 ◆ 第一篇 世界观安全 1.1 Web安全简史 >> 1.1.1 中国黑客简史 >> 1.1.2 ...
- 白帽子讲Web安全(纪念版)
作者:吴翰清 出版社: 电子工业出版社 品牌:博文视点 出版时间:2021-05-01 白帽子讲Web安全(纪念版)
- 读《白帽子讲Web安全》之客户端脚本安全(一)
2019独角兽企业重金招聘Python工程师标准>>> [第2章 浏览器安全] 1.同源策略(Same Origin Policy)是一种约定,它是浏览器最核心也最基本的安全功能. ...
- 白帽子讲web安全之 浏览器安全
白帽子讲web安全之 浏览器安全 (一些内容属于个人理解,如有错误请不吝指正) 同源策略 概念 所谓同源,一般是指域名.协议.端口相同.一般来说,只有同源的页面可以互相读取彼此的数据,或者改变彼此在浏 ...
最新文章
- 16、子查询改写为表连接
- Fedora 13 的新特性
- jboss4 java_JBoss核心Java Web服务
- 机器学习岗位太少_太多的东西要学习,很少的时间
- python无法使用1号gpu_详解tensorflow2.x版本无法调用gpu的一种解决方法
- 程序员如何理解客户需求
- Mysql Update 流程摘抄
- 目录遍历及敏感信息泄露原理及案例(实验操作)
- ASP.NET程序如何防止被注入(整站通用)
- Linux多线程编程-线程间参数传递
- 方法论 | 多因子策略的五大讨论(思维导图收藏版)
- 银行卡数据API接口有哪些?
- ContentRoot 和 WebRoot 的区别
- 日照-公积金贷款逾期预测-比赛总结
- 应用于大数据分析的工作流调度系统
- 单反相机风景摄影易记易学口诀
- 阿里云服务器备案服务码申请流程及使用限制
- 让System.Drawing.Bitmap可以在linux运行
- 【CSS】模拟太阳系行星的公转
- MYSQL ‘S APPLY
热门文章
- 谷歌五笔输入法电脑版_“五笔输入法”打字速度更快,为什么却没啥人用?
- mysql strtok_c函数: strtok 和 strtok_r 详解
- 中service层的作用_浅析Java中dto、dao、service、controller的四层结构
- Error(6,35)java: 程序包 不存在,解决办法
- 设计模式之模版方法模式demo
- 学习笔记~~~~LinkedHashMap
- RocketMQ消息重试机制
- html css外接修改无效,HTML外部引用CSS文件为什么会不生效
- 后端:Java 中 10 大坑爹功能!
- python爬虫第一课 开发环境配置