漏洞利用总结（备忘）

Web渗透测试中常见漏洞包括弱口令、注入漏洞、文件上传漏洞、文件包含漏洞、命令执行漏洞、代码执行漏洞、XSS漏洞、SSRF漏洞、XML外部实体注入漏洞、反序列化漏洞、解析漏洞等。

常见的漏洞描述：

1.注入漏洞。常见的注入漏洞包括SQL、LDAP、OS命令、ORM和OGNL。用户可以通过任何输入点输入构建的恶意代码。如果应用程序没有严格过滤用户的输入，一旦输入的恶意代码作为命令或查询的一部分被发送到解析器，就可能导致注入漏洞。

2.文件包含漏洞。文件包含函数中包含的文件参数没有过滤或严格定义，参数可以由用户控制，可能包含意外文件。如果文件中存在恶意代码，无论文件是什么后缀类型，文件中的恶意代码都会被解析执行，导致文件包含漏洞。文件中包含的漏洞可能会造成网页修改、网站暂停、服务器远程控制、后门安装等危害。

3.文件上传漏洞。造成文件上传漏洞的主要原因是应用程序中有上传功能，但上传的文件没有通过严格的合法性检查或者检查功能有缺陷，导致木马文件上传到服务器。文件上传漏洞危害极大，因为恶意代码可以直接上传到服务器，可能造成服务器网页修改、网站暂停、服务器远程控制、后门安装等严重后果。文件上传的漏洞主要是通过前端JS旁路、文件名旁路和Content-Type旁路上传恶意代码。

4.命令执行的漏洞。应用程序的某些函数需要调用可以执行系统命令的函数。如果这些功能或者功能的参数可以被用户控制，那么恶意的命令就有可能通过命令连接器拼接成正常的功能，从而可以随意执行系统命令。这就是命令执行漏洞，这是高风险漏洞之一。

5.XSS漏洞。XSS漏洞的全称是跨站点脚本漏洞。为了不与级联样式表的缩写CSS混淆，跨站点脚本漏洞缩写为XSS。XSS漏洞是网络应用程序中常见的安全漏洞，它允许用户将恶意代码植入网页。当其他用户访问此页面时，植入的恶意脚本将在其他用户的客户端执行。如果想要对网站进行漏洞检测的话还得靠人工去审计和渗透测试。

6.代码执行漏洞。由于开发人员编写源码，没有针对代码中可执行的特殊函数入口做过滤，导致客户端可以提交恶意构造语句提交，并交由服务器端执行。命令注入攻击中WEB服务器没有过滤类似system(),eval()，exec()等函数是该漏洞攻击成功的最主要原因。应用在调用这些函数执行系统命令的时候，如果将用户的输入作为系统命令的参数拼接到命令行中，在没有过滤用户的输入的情况下，就会造成命令执行漏洞。

7.弱口令（弱密码）。通常所说的弱口令是指常用的一些密码（比如123456）和一些应用程序的默认密码，但实际上任何有规律的密码都可以称作弱密码，可能随着机器学习的发展，大多数密码都可以称作弱密码，因为人设置密码的规律是有迹可循的。

渗透测试之小白的常见web漏洞总结（上）（随时参考）

渗透测试之小白的常见web漏洞总结（下）

漏洞利用总结（备忘）相关推荐

Nmap备忘单：从探索到漏洞利用（Part 2）
Nmap备忘单:从探索到漏洞利用(Part 2) 东二门陈冠希 2016-03-29 +8 共102110人围观,发现6个不明物体 WEB安全工具这是我们的第二期NMAP备忘单(第一期在此).基本上 ...
fib函数用python编写_Python中利用函数装饰器实现备忘功能
"备忘"的定义 "memoization"(备忘)这个词是由Donald Michie在1968年提出的,它基于拉丁语单词"memorandum&qu ...
VB.net小技巧——VB中利用TreeView控件和Box控件做知识备忘
提示:文章写完后,目录可以自动生成,如何生成可参考右边的帮助文档 VB.net小技巧--VB中利用TreeView控件和Box控件做知识备忘这里不涉及代码的展示,主要是为了阐述一种做笔记的思想. 为 ...
ewebeditor编辑器ASP/ASPX/PHP/JSP版本漏洞利用总结及解决方法
ewebeditor编辑器ASP/ASPX/PHP/JSP版本漏洞利用总结及解决方法参考文章: (1)ewebeditor编辑器ASP/ASPX/PHP/JSP版本漏洞利用总结及解决方法 (2)ht ...
S2-045漏洞利用工具解决方案
S2-045漏洞利用工具&解决方案参考文章: (1)S2-045漏洞利用工具&解决方案 (2)https://www.cnblogs.com/sevck/p/6516268.html ...
机器学习项目的备忘清单！
↑↑↑关注后"星标"Datawhale 每日干货 & 每月组队学习,不错过 Datawhale干货作者:Harshit Tyagi,编译:机器之心机器学习项目中含有众多 ...
机器学习性能改善备忘单
原文地址:Machine Learning Performance Improvement Cheat Sheet 原文翻译与校对:@姜范波 && 寒小阳时间:2016年12月. ...
广角相机app哪个比较好用_推荐一款比较好用的工作安排备忘app？
工作效率高的上班族,做事有计划,自律能力强,可以很好地完成工作任务.当然了,选择一款好用的工作安排备忘app也是非常重要的. 王鹏在一家公司上班,是一个行动力很强的人.工作上的事情按时完成,还利用空闲 ...
从CSRF原理到CMS漏洞利用
文章目录 0x01 基础知识: 1.CSRF漏洞简介: 2.与XSS的区别: 3.攻击的细节: 4.常见的攻击类型: 4.1.GET类型的CSRF: 4.2.POST类型的CSRF: 0x02 CSR ...
iframe实现页面无刷新上传文件(PHP)----备忘
之前做一个文件上传的,由于那段时间写ajax比较多,所以就想利用Ajax来实现,后来发现,Ajax没法实现文件上传, 后来百度之,这里做个备忘. 提示:利用form表单的target属性和iframe ...

漏洞利用总结（备忘）

漏洞利用总结（备忘）相关推荐

最新文章

热门文章