随笔分类 - 安全测试
摘要：防范策略 最小权限：为数据库操作员分配合适的最小权限 错误消息处理：避免因为错误消息，回显到前端而暴露信息（后端进行处理避免报错时回显到前端页面暴露信息） 预编译的使用：使用预编译SQL，可以有效防范sql注入（主要是前端输入的数据，和SQL语句进行了直接的拼接，无论你输入的是字符还是数字，都可能直
阅读全文
摘要：一、SQL注入简介 1、SQL注入的地位 一个严重的SQL注入漏洞，可能会直接导致一家公司破产！ OWASP开发Web应用安全工程排名对比表（安全漏洞排在前十的类型） 注入的排名下降到第3位，测试发现有94%的应用存在注入漏洞，跨站脚本攻击也被归类到注入漏洞。 访问控制失效从第5位上升到了第1位，9
阅读全文
摘要：1、安装：CO2插件 进入【BurpSuite】 【拓展】 【BApp商店】，安装完成后，[已安装]列会有：√ 拦截后发送到【重放器】： 重发器中【请求】中操作：【拓展】 【CO2】 【发送到SQLMapper】 2、SQL注入 （1）操作登录 （2）进行拦截，发送给【重放器】： （3）修改name
阅读全文
摘要：通常是通过一些相关的请求和响应得到两项数据的一个可视化“差异“，此功能主要用于执人行任意两个请求，响应或任何其他形式的数据之间的比较。使用的场合有: 枚举用户名的过程，对比分析登录和失败时，服务器端返回结果的区别 使用Intruder进行攻击时，对于不同的服务器端响应，可以很快分析出两次响应的区别
阅读全文
摘要：解码器是一个进行手动执行或对应用程序数据者智能解码编码的工具。此功能可用于解码数据找回原来的数据形式，或者进行编码和数据加密。由解码选项(Decode as)、编码选项(Encode as)、散列(Hash)构成.。 编码、解码选项，目前支持URL、HTML、Base64、ASCI、十六进制、八进制
阅读全文
摘要：对web应用程序进行自动化攻击。此功能有多种用途，如漏洞利用、模糊测试、进行暴力pojie等 1、目标设置 代理发送过来请求的目标主机及端口信息。 输入要攻击的目标及端口 2、位置设置 在这个模块可以设置攻击的参数，及攻击使用的类型 （1）Sniper-狙击手 （2）Battering ram-破城
阅读全文
摘要：一、代理原理 Burp Suite代理工具是以拦截代理的方式，拦截所有通过代理的网络流量，如客户端的请求数据、服务器端的返回信息等。通过拦截，Burp Suite以中间人的方式，可以对客户端请求数据、服务端返回做各种处理，以达到安全评估测试的目的。 在日常工作中，我们最常用的web客户端就是的浏览器
阅读全文
摘要：一、原理 SQL 注入是一种通过将恶意的 SQL 代码插入到应用程序的输入参数中，从而利用数据库漏洞来执行非预期的 SQL 命令的攻击方式。Burp Suite 能够帮助安全测试人员模拟这种攻击场景，通过修改请求中的参数，发送包含潜在 SQL 注入代码的请求，并观察目标应用程序的响应，以判断是否存在
阅读全文
摘要：在 Burp Suite 的 Intruder 模块中设置有效载荷（Payload）是攻击测试的关键步骤，以下是详细的设置方法： 一、进入有效载荷设置界面 首先，你需要将目标请求发送到 Intruder 模块（如之前所述，通过在 Proxy 拦截的请求上右键点击并选择 “Send to Intrud
阅读全文
摘要：使用 Burp Suite 中的 Intruder 模块进行攻击，可按如下步骤操作： 一、配置代理与浏览器代理（同 Scanner 模块操作第一步、第二步） 打开 Burp Suite，进入 “Proxy” 选项卡，确保 “Intercept” 处于 “Intercept is on” 状态，并在
阅读全文
摘要：使用 Burp Suite 中的 Scanner 模块进行漏洞扫描可以按照以下步骤进行（以下操作基于 Burp Suite Community 版本）： 一、配置代理 打开 Burp Suite，在主界面找到 “Proxy”（代理）选项卡并点击进入。 确保 “Proxy” 模块中的 “Interce
阅读全文
摘要：一、Burp Suite 简介 Burp suite 是一款用于网络安全测试的集成工具，它包含了多个功能模块，能帮助安全测试人员发现和利用Web 应用程序中的安全漏洞。 二、主要功能模块及使用方法 1.Proxy(代理)模块 功能:它就像一个中间人，位于你的浏览器和目标 Web 应用程序之间。所有从
阅读全文
摘要：一、BurpSuite简介及安装 Burp Suite 是用于攻击web 应用程序的集成平台，它包含了许多Burp工具，这些不同的burp工具通过协同工作，有效的分享信息，支持以某种工具中的信息为基础供另一种工具使用的方式发起攻击。它主要用来做安全性渗透测试，可以实现拦截请求、Burp Spider
阅读全文
摘要：网络协议基础 一、网络模型 我们把一些过程封装到一起，称为“模型”，如下：把北京中的4个步骤封装到一起，就是1个模型了。 1、网络模型-OSI OSl(Open System Interconnection 开放系统互联)参考模型是国际标准化组织(ISO)制定的一个用于计算机或通信系统间互联的标准体
阅读全文
摘要：1、软件安全测试概述 网络世界中，安全问题无处不在，安全意识仍需提高，只有通过不断地安全测试，才能保证我们的软件不被非法入侵，才能够尽量的去规避我们软件中的一些问题，提升软件质量和安全。 21世纪以来，智能化的软件成为商业决策、推广等不可缺少的利器，很多软件涉及了客户商业上重要的信息资料，因此企业都
阅读全文
