B站小迪安全学习笔记第11天-WEB漏洞必懂知识点讲解

2024-06-17 20:07:34

前言：

本章节将讲解各种 WEB 层面上的有那些漏洞类型，具体漏洞的危害等级，以简要的影响范围测试进行实例分析，思维导图中的漏洞也是后面我们将要学习到的各个知识点，其中针对漏洞的形成原理，如何发现，如何利用将是本章节学习的重点内容

简要知识：

CTF，SRC，红蓝对抗，实战等

简要说明以上漏洞危害情况

sql注入是关于网站对应数据库的权限对应，这个漏洞能够获取网站服务器的数据。

xss是利用cookie获取网站后台权限，并不能获取服务器权限。

每个漏洞的危害都是不一样的。

简要说明以上漏洞等级划分

漏洞危害决定漏洞等级

高危漏洞：SQL注入、文件上传、文件包含、代码执行、未授权访问、命令执行
影响：直接影响到网站权限和数据库权限，能够获取数据或者网站的敏感文件。涉及到数据安全和权限的丢失都为高危漏洞
中危漏洞：反序列化、逻辑安全
低危漏洞：XSS跨站、目录遍历、文件读取
影响：网站的源码，网站部分账号密码

简要说明以上漏洞重点内容

CTF：SQL注入、文件上传、反序列化（经常考）、代码执行

SRC：图片上漏洞都能出现，逻辑安全出现比较多

红蓝对抗：涉及的高危漏洞，文件上传、文件包含、代码执行、命令执行

简要说明以上漏洞形势问题

案例演示：

1.用PHPstudy搭建pikachu漏洞练习平台

2.SQL 注入漏洞-数据库操作危害

用pikachu平台演示了下sql数字注入和目录遍历，用burp抓包实现union查询，实现SQL注入

3.目录遍历漏洞-源码结构泄漏危害

构造一个遍历文件的代码放在目录下，就可以通过这个代码文件读取全部目录危害

4.文件读取漏洞-源码内容获取

能读取同目录下其它文件，通过../../../../../xxxx.xxxx能够读取别的目录下的文件

5.文件上传漏洞-WEB 权限丢失危害

将后门文件上传到网站目录去，然后连接后门直接获得权限。

6.文件下载漏洞-补充演示拓展演示

通过修改下载地址直接下载数据库配置文件（重要文件）

涉及资源：

GitHub - zhuifengshaonianhanlu/pikachu: 一个好玩的Web安全-漏洞测试平台

B站小迪安全学习笔记第11天-WEB漏洞必懂知识点讲解相关推荐

B站小迪安全学习笔记第2天-数据包拓展
网站解析对应 1.简要网站搭建过程 2.涉及到的攻击层面?(源码,搭建平台,系统,网络层等) 3.涉及到的安全问题?(目录,敏感文件,弱口令,IP 及域名等) 这几个不知道为什么开头提及了一下,就一笔 ...
B站小迪安全学习笔记第7天-CDN绕过技术
前言: CDN 的全称是 Content Delivery Network,即内容分发网络.CDN 是构建在现有网络基础之上的智能虚拟网络,依靠部署在各地的边缘服务器, 通过中心平台的负载均衡.内容 ...
B站小迪安全学习笔记第9天-信息收集APP及其他资产
前言: 在安全测试中,若 WEB 无法取得进展或无 WEB 的情况下,我们需要借助 APP 或其他资产在进行信息收集,从而开展后续渗透,那么其中的信息收集就尤为重要,这里我们用案例讲解试试如何! ...
【小迪安全学习笔记】基础入门-Web源码拓展
前言:Web源码在安全测试中是非常重要的信息来源,可以用来代码审计漏洞也可以用来做信息突破口,其中Web源码有很多技术需要简明分析.比如:获取某ASP源码后可以采用默认数据库下载为突破,获取某其他脚本 ...
Mule ESB 学习笔记（11）Web Service Proxy(这里是一个可以正常运行的例子)
一.WebSevice Proxy 简介 WebService Proxy 是ESB中最常见的使用场景之一,即通过 ESB 直接转发 WebService Client 的 SOAP 请求, ...
Jenkins持续集成学习笔记(2020.11.22)
Jenkins持续集成学习笔记(2020.11.22) 前言: (官网) 以前很久学习过Jenkins持续集成进行快速部署项目进行测试, 最近换工作了, 发现新公司有用到, 现在来复习一下官网介绍: ...
Linux第二周学习笔记（11）
Linux第二周学习笔记(11) 2.17 隐藏权限lsattr_chattr chattr命令:是设置吟唱隐藏权限的命令,更改Linux文件系统上的文件属性. 参数说明: A:表示文件或目录的ati ...
FreeRtos学习笔记（11）查找就绪任务中优先级最高任务原理刨析
FreeRtos学习笔记(11)查找就绪任务中优先级最高任务原理刨析怎么查找就绪任务中优先级最高的? tasks.c中声明了一个全局变量 uxTopReadyPriority,任务从其他状态进入就绪 ...
C# 学习笔记（11）蓝屏小工具
C# 学习笔记(11)蓝屏小工具加载界面参考 C# Winform 现代化扁平化启动界面设计https://www.bilibili.com/video/BV17E41147wM PS做一张图 70 ...

最新文章

热门文章