搜索

[19758] 2021-05-21_在线课堂丨Web安全之账号测试

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2021-05-21_在线课堂丨Web安全之账号测试 在 线 课 堂 丨 W e b 安 全 之 账 号 测 试 i 春 秋   2 0 2 1 - 0 5 - 2 1 基 于 W e b 环 境 的 互 联 网 应 用 越 来 越 广 泛 ， W e b 安 全 也 愈 发 重 视 ， 黑 客 利 用 网 站 操 作 系 统 的 漏 洞 和 W e b 服 务 程 序 的 S Q L 注 入 漏 洞 等 得 到 W e b 服 务 器 的 控 制 权 限 ， 轻 则 篡 改 网 页 内 容 ， 重 则 窃 取 重 要 内 部 数 据 ， 更 为 严 重 的 则 是 在 网 页 中 植 入 恶 意 代 码 ， 使 得 网 站 访 问 者 受 到 侵 害 。 今 天 i 春 秋 通 过 一 期 公 开 课 《 W e b 安 全 ： 账 号 测 试 》 深 度 讲 解 账 号 测 试 的 相 关 内 容 ， 讲 师 将 通 过 ： 选 择 目 标 、 挖 掘 旁 站 漏 洞 、 S Q L 注 入 漏 洞 、 登 录 主 站 后 台 、 文 件 上 传 漏 洞 等 五 部 分 内 容 进 行 详 细 介 绍 ， 旨 在 帮 助 大 家 了 解 技 术 背 后 的 原 理 ， 从 而 更 好 地 进 行 安 全 防 护 。 感 兴 趣 的 小 伙 伴 ， 识 别 感 兴 趣 的 小 伙 伴 ， 识 别 二 维 码 二 维 码 立 即 看 课 立 即 看 课 P S ： ： W e b 端 看 课 体 验 更 佳 ， 看 课 地 址 ： h t t p s : / / w w w . i c h u n q i u . c o m / o p e n / 6 8 8 3 4
S Q L 注 入 漏 洞 注 入 漏 洞 S Q L 注 入 漏 洞 指 攻 击 者 通 过 构 建 特 殊 的 输 入 作 为 参 数 传 入 W e b 应 用 。 这 些 输 入 大 都 是 S Q L 语 法 里 的 一 些 组 合 ， 通 过 执 行 S Q L 语 句 进 而 执 行 攻 击 者 所 需 要 的 操 作 。 其 主 要 原 因 是 程 序 没 有 细 致 地 过 滤 用 户 输 入 的 数 据 ， 导 致 攻 击 数 据 植 入 程 序 被 当 作 代 码 执 行 。 我 们 通 过 S Q L 注 入 漏 洞 ， 可 以 得 到 目 标 站 点 的 敏 感 数 据 （ 如 数 据 库 中 的 账 号 和 密 码 、 目 标 站 点 的 绝 对 路 径 等 ） 。 然 后 ， 若 条 件 允 许 ， 我 们 可 以 通 过 s q l m a p 交 互 式 写 s h e l l ， 得 到 目 标 站 点 的 s h e l l 。 得 到 s h e l l 之 后 ， 可 以 下 载 目 标 站 点 的 代 码 。 此 时 ， 我 们 可 以 对 目 标 站 点 的 代 码 进 行 审 计 ， 判 断 是 否 有 数 据 库 连 接 敏 感 信 息 ， 是 否 有 旁 站 ， 是 否 有 权 限 进 入 旁 站 等 。 S Q L 注 入 漏 洞 的 危 害 1 、 造 成 数 据 库 里 的 用 户 信 息 泄 漏 ； 2 、 获 取 后 台 管 理 员 账 号 和 密 码 ， 达 到 进 一 步 渗 透 的 目 的 ； 3 、 一 些 M y S Q L 运 行 权 限 过 高 ， 可 以 直 接 提 权 成 功 ； 4 、 造 成 整 个 数 据 库 被 “ 拖 库 ” 。
S Q L 注 入 漏 洞 的 预 防 注 入 漏 洞 的 预 防 1 、 对 输 入 参 数 进 行 校 验 ： 对 输 入 参 数 的 校 验 包 含 字 符 串 部 分 与 数 字 部 分 。 2 、 对 特 殊 字 符 进 行 过 滤 和 转 义 ： 采 用 库 函 数 进 行 转 义 （ 对 单 引 号 ， 双 引 号 ， 斜 杠 等 字 符 进 行 转 义 ） 。 在 P H P 中 ， 主 要 使 用 遍 历 数 组 ， 递 归 调 用 ； 使 用 库 函 数 a d d   s l a s h e s 与 m y s q l i _ r e a l _ e s c a p e _ s t r i n g ； 使 用 整 型 过 滤 函 数 ； 使 用 字 符 过 滤 函 数 ； 使 用 表 单 过 滤 函 数 ； 使 用 防 注 入 函 数 进 行 过 滤 ， 防 注 入 。 3 、 使 用 预 编 译 机 制 防 止 S Q L 注 入 原 理 ： 第 一 次 执 行 S Q L 语 句 前 ， 数 据 库 会 进 行 分 析 、 编 译 与 优 化 ， 与 此 同 时 执 行 计 划 会 被 缓 存 起 来 ， 后 期 可 实 现 数 据 库 的 参 数 化 查 询 。 当 后 期 使 用 据 库 的 参 数 化 查 询 时 ， 数 据 库 不 会 将 参 数 的 内 容 视 为 S Q L 语 句 执 行 的 一 部 分 ， 而 是 作 为 一 个 字 段 的 属 性 值 来 处 理 ， 这 样 就 算 参 数 中 包 含 破 环 性 语 句 ， 该 破 环 性 语 句 也 不 会 被 执 行 。 E n d —   往 期 回 顾 往 期 回 顾   — 技 术 交 流 会 ▶   I O T 安 全 三 十 六 计 ▶   请 求 接 口 中 的 J S 参 数 校 验 ▶   敏 感 文 件 泄 露 漏 洞 挖 掘 ▶   渗 透 测 试 ： 情 报 收 集 ▶   代 码 审 计 实 操 ▶   S S R F 漏 洞 防 御 措 施 ▶   浅 析 勒 索 病 毒
▶   J A V A 反 序 列 化 学 习 ▶   回 首 白 帽 老 兵 十 年 网 安 之 路 ▶   通 读 L i n u x 提 权 原 理 和 手 法 ▶   浅 析 红 队 基 础 设 施 ▶   W i n d o w s 域 渗 透 之 K e r b e r o s 委 派 安 全 小 科 普 ▶ X X E 漏 洞 知 识 ▶ c o o k i e 是 什 么 ▶ 浅 析 威 胁 情 报 ▶ 浅 析 僵 尸 网 络 ▶ 信 用 卡 安 全 ▶ 大 数 据 的 前 世 今 生 ▶ 大 牛 教 你 做 好 应 急 响 应 ▶ 免 费 的 陷 阱 ： 警 惕 公 共 W i - F i ▶ 无 线 键 盘 有 漏 洞 ▶ 0 d a y 危 机 ， 隐 藏 的 攻 防 战 ▶ 加 密 算 法 解 析 ▶ D N S 解 析 ▶   红 队 建 设 之 道 ▶   手 机 锁 屏 密 码 安 全 ▶   中 间 人 攻 击 ▶   十 分 钟 看 懂 隐 写 术 ▶   信 息 泄 露 问 题 ▶   狡 猾 的 漏 洞 利 用 ▶   R F I D 工 作 原 理 分 析 ▶   披 露 世 界 顶 级 黑 客 的 内 心 独 白 ▶   一 分 钟 看 穿 网 络 钓 鱼 D C   G R O U P 精 品 沙 龙 系 列 ▶   V P N 设 备 的 矛 与 盾 ▶   C A N 总 线 安 全 ▶   W i n d o w s   密 码 攻 防 ▶   基 于 攻 击 链 的 威 胁 ， 工 控 安 全 如 何 防 护 ▶   初 窥 I o T 安 全   浅 析 常 规 漏 洞
力 荐 丨 渗 透 测 试 就 业 班 力 荐 丨 渗 透 测 试 就 业 班 杭 州 班 ： 报 名 立 减 5 0 0 0 元 ， 开 课 时 间 ： 5 月 下 旬 ； 北 京 、 天 津 班 ： 报 名 立 减 3 0 0 0 元 ， 开 课 时 间 ： 5 月 下 旬 ； 广 州 班 ： 报 名 立 减 4 0 0 0 元 ， 开 课 时 间 ： 6 月 中 旬 ； 成 都 班 ： 报 名 立 减 2 0 0 0 元 ， 开 课 时 间 ： 8 月 中 旬 。 快 速 咨 询 入 口 快 速 咨 询 入 口 师 老 师
李 老 师 i 春 秋 官 方 公 众 号 为 大 家 提 供 春 秋 官 方 公 众 号 为 大 家 提 供 前 沿 的 网 络 安 全 技 术 简 单 易 懂 的 实 用 工 具 紧 张 刺 激 的 安 全 竞 赛 还 有 网 络 安 全 大 讲 堂 更 多 技 能 等 你 来 解 锁
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理