计算机管理系统:电脑网络技术记录本

安全信息

当前位置:首页 > 安全渗透 > 安全信息

web网络渗透思路以及方向

一、输入输出


OWASP早期比较侧重的典型的web漏洞:注入、跨站、上传、代码执行等属于输入输出


二、登录体系、权限认证


近年来,越权漏洞、逻辑绕过、接口安全等逐渐增多,这些属于登录体系和权限认证


三、业务逻辑漏洞分类


1、登录体系安全


暴力破解


用弱密码字典,或者社工生成针对性的字典去爆破密码


cookie安全


有的网站对cookie不加密,也不base64编码,直接明文表示。可以自己重构组建cookie


加密测试


测试cookie、用户名、密码等敏感信息是否加密、使用了什么加密算法,然后解密


登录验证绕过


直接在url里输入要进入的页面路径、文件名,看能不能不登录就直接访问


任意注册


不验证手机号,不要求提供手机验证码(或者可绕过)。比如生成十亿条手机号,然后批量注册,将没有注册过的手机号都注册掉,影响正常用户的注册。


或者只验证手机号,不验证是否注册过。比如这个手机号a用来注册一个微信号,然后a不用了,营业厅又把这个手机号卖给b了,b又拿着这个手机号注册了一个微信。结果b新注册的微信覆盖掉了a的微信(只是举例)


2、业务一致性安全


手机号篡改


抓包,将目标手机号改为自己的手机号,然后自己的手机号就接收到了验证码,有的网站只会验证验证码是否正确,没绑定用户,不验证是发给谁的。


邮箱和用户名更改


抓包将邮箱改为自己的邮箱,然后就可以收到验证码信息等,用户名也是一样。


订单ID更改


改ID,第一次下了5万的订单,第二次下一个5块钱的订单。可以抓包将第二次的订单号改成第一次的订单号。或者换成别人值钱的订单号,系统可能会将第一次的订单发两次


商品编号更改


改商品编号,比如本来买的是5毛钱的1号商品,改成50k的2号商品


用户ID篡改


使用自己的账号密码登录成功,获取登录成功的状态码。然后将ID换成别人的ID,系统如果只验证状态码的话,就会以别人的ID登录


流程顺序


比如一个自动售货机,本来应该是先收钱,再吐商品。换个顺序,就成了先吐商品,再收钱。然后你就能拿了商品就跑


3、业务数据篡改


金额数据篡改


修改商品价格。0元购(一般是虚拟货币,比如用金币、Q币支付),0.01元购(一般是RMB支付,因为银行卡每次转账的金额必须大于等于0.01)


商品数量篡改


修改商品数量,本来只买1件衣服,改成买了100件衣服


最大数限制突破


比如特价商品限购1件,改成10件


金额&优惠组合修改


比如就是原本是5块钱的优惠你可以更改为10块钱等或者更多


4、密码找回漏洞


分析数据包,定位敏感信息


在实现找回密码功能时,有些网站会在返回包里加入一些敏感内容


分析找回机制


看是通过邮箱验证码还是手机验证码验证用户身份的


修改数据包验证


改cookie等信息


5、验证码突破


暴力破解


验证码爆破,有的验证码就是0000-9999,可以一个一个试,这个需要出现无线输入验证码


时间次数突破


有的验证码在一定时间内可以重复使用,比如使用手机验证码登录,然后登录完之后,还可以使用这个验证码修改密码(如果修改密码需要用到手机验证码的话),或者再重新登录一次


回显测试


进入找回密码页面,输入手机号,获取验证码,服务器会向手机发送验证码,可以抓包查看返回包信息,有时返回包中会包含验证码


验证码绕过测试


注册的时候需要手机验证码,此时可以随便填一个手机号。然后抓包改状态码,比如将0改为1,将false改为true


验证检验机制猜解


验证码生成有规律,可以猜测。比如是用户名加当前时间。比如这一次是0001,下一次是0002,下下一次是0003……验证码可控,我们能猜出下一次验证码是什么


6、会话权限安全


未授权访问


顾名思义,没经过授权就访问。和登录测试绕过差不多,都是未授权(没有登录),就看到了本应登录才能看到的东西


水平&垂直越权测试


水平测试,用户a执行了用户b的操作;垂直越权,a执行了管理员的操作


会话固定&会话劫持


会话固定:诱骗受害者使用攻击者指定的会话标识(SessionID)的攻击手段。会话固定也可以看成是会话劫持的一种类型,只不过不是盗取受害者的session,而是让受害者使用攻击者指定的session。


会话劫持:过盗取受害者Session ID,然后利用受害者的Session ID登录受害者的账号


数据重放安全


恶意注册就是任意注册,没有限制的注册无数个用户


短信&邮件炸弹


有的只在前端验证,比如60s后才能重新发送短信验证码,但是后端没有验证,可以让他一直重发,耗尽他短信池的流量,一般用来做DDoS


内容编辑


条件竞争比如上传一个木马,服务器识别到就会删除一个。同时发100000万个,然后不停的请求执行这个木马。在某一刻,服务器还没识别到这是个木马并删除的时候,你先请求执行这个木马——只要你上传的速度大于他删除的速度,总会成功请求一个的


信息遍历


比如有的网站,id=1,就返回1号用户的信息;id=2,就返回2号用户的信息……id=10000,就返回10000号用户的信息。重发的时候,可以设置id逐步加1,就能遍历所有人的信息。

web网络渗透思路以及方向

上一篇:二进制转10进制快速口算公式

下一篇:已经是最后一篇

相关内容

文章评论

表情

共 0 条评论,查看全部
  • 这篇文章还没有收到评论,赶紧来抢沙发吧~