SQL注进
成果
法式已对用户的输进的内容遏制 过滤，从而直接代进数据库查询，所以 致 使了sql 注进毛病 。
思路
正在URL处可以或许 经过 进程 单引号 战 and 1=1 and 1=2 等语句遏制 足工测试sql注进 。
Post 注进
好比背景登录框输进单引号测试注进，报错的话申明 存正在注进可以或许 直接抓包，用工具去完成注进。（ 正在HTML中闭于提交范例 代码，特地 是背景登录战留止那些，皆是需供 post 情势 去提交的，而且 post 提交格式也是没有 会像 get 情势 正在 URL 中隐现的。）闭于SQL注进 借有 ，Cookie注进 盲注 爆错注进 等等...
真例
输进单引号，遏制 匹里劈脸判定 ，如果 报错便申明 可以或许 存正在注进。
然后我，料念出真正真止的SQL语句该当是： select * from info where fid=623继绝输进 and 1=1 ， and 1=2 去看下是没有 是可以或许 足工注进，便是检察 页里是没有 是存正在隐现性弊端，而没有 是单引号式的弊端。
因为我是转掀的，所以 便出有阿谁 截图，但是 胜利的报错了。而 and 1=1 战 and 1=2 正在SQL 语句中是何等的：
何等的语句正在数据库查询中是可以或许 查询胜利的 ， 623 and 1=1 而那边 的 and 是一个逻辑判定 符，623是细 确存正在的，而 1=1 阿谁 也是细 确的啊！所以 细 确 and 细 确 ，便会查询 623 阿谁 ，所以 页里也便返回一样平常 了，而 1=2 那肯定 没有 开毛病 等，所以 细 确 and 弊端，便会查询弊端，所以 报错 。
既然存正在注进了，懒的足工便直接扔 sqlmap 了。
XSS 毛病
道理
web 法式解析 了用户的HTML代码操做。讲黑 了，便是法式员正在设念网站中输进输出的部门的时间 ，出有对用户输进的内容遏制 过滤，从而招致用户输进歹意代码时，那些代码会被 web 法式给真止了。
Xss分类
反射型，存储型，DOM型，FLASH（DOM，FLASH没有 常常操做）
反射型xss ：存正在输进输出的天圆，没有 具有转存数据库那一步，只是一个简朴的输进输出。一样平常 那类的毛病 风险比较小，因为它的传达 格式需供歹意用户把他机闭好的歹意 URL 收给您，您面击才会触收的，一样平常 有安然认识 的很少会中招。
存储型xss ：出有对用户输进的工具，遏制 过滤，便直接存储到数据库中。一样平常 那类的毛病 是风险最除夜的，而且可以或许 利用 正在许多圆里上，只要您知识安稳 ，缅怀 广大 广大 旷达，阿谁 毛病 ，可以或许 玩出许多把戏 去，没有 中该毛病 ，古晨 利用 最广的便是正在网站留止板那一类的，输进歹意代码，让网站操持 员检察 后，并中招，从而偷与 cookie 。
反射型真例
反射型（检察 url）除夜文言 总结：吃甚么 吐甚么
收现php？S=24 (上里的输出内容为1，测试下)
收现把s的内容交流当前 页里的内容也随之交流，则此处该当存正在xss反射毛病 。
那我们机闭下一个常常操做的 java 的弹窗代码，再看下成果 。
回车一下 。
经过 进程 测试，我们收现那是一个典型的反射型 XSS 毛病 。
贮存型XSS真例
那是一个存正在贮存型 XSS 毛病 垂钓网站 。
然后，我们鼠标左键简朴的检察 下网页源代码 。
正在检察 源代码时，我们收现 当收与码没有 即是98的时间 便返回true，及收与码即是98。
我们随便 输进收与码当前，便是弹出一个收与奖品页里，正在阿谁 页里，我们真正在便可以盲挨 一下试试。
那么正在匹里劈脸之前，我们先随便 找一个 XSS 仄台，复制一段偷与 cookie 的歹意代码。
Xss
Xss插进的天圆除夜多为标题 成绩跟内容（统统 可以或许 输出文本内容的皆可以或许 插进），然后我们试着插进下。
插进到接洽 天址里里测试下能没有 能插进，（前里减个”)以防万一闭开下前里的标签。
#（那边 ，我真正在没有 保举 何等的插进，因为阿谁 的格式，字数限定 皆是一些 html 阿谁 层里的限定 ，发起遏制 抓包插 XSS 代码，何等被挨 到的概率更除夜。）
到那边 便提交胜利了，那便等操持 员入彀 便是了。
看去阿谁 垂钓网站的操持 员也是个没有 时闭注疑息，当真 当真 的操持 啊！没有 像某些公司的那些运维们，除半夜 年的背景皆没有 进，我记得我一个朋友 ，前段时分，收了一个讲讲，除夜概内容是 mlgbz ，两年前插的一个留止板，我来日诰日 居然支到阿谁 cookie 了。。。
解析 毛病
操做web中央 件自己的毛病 ，对畸形剧本格式遏制 体味析。
阿谁 没有 多解释 ，法式自己研收时的标题 成绩。
IIS 6.0
常睹组开：server 2003+IIS6(IE6.0)
1. 一样平常 解析 格式搜罗：asp,asa,cer
2. 一样平常 解析 1.asp;.jpg | 1.asa;.jpg | 1.cer;.jpg | 1.asp;xxxx.pdf3. 一样平常 解析 1.asp文件夹下的肆意文件: 好比讲网站目录中有一个文件夹名为1.asp ，那么阿谁 文件夹下的肆意文件，好比1.jpg,1.pdf,1.doc,1.abc 皆市解析 成asp剧本文件。再好比有一个链接：
https://www.zhutougg.com/abc.asp/1.pdf
如果 该站的中央 件为IIS6.0,那么阿谁 链接便会解析 成asp剧本。
备注：正在操做上传毛病 的时间 ，如果 没有 能上传asp格式文件，先检验检验上传asa,cer格式，然后再检验检验上传1.asp;.jpg格式文件，如果 可以或许 节制 上传后的目录，便上传test.jpg图片除夜马到1.asp目录下。
IIS 7.5
常睹组开：server 2008+IIS7/IIS7.5
如果 方针 能解析 PHP剧本，则可以或许 检验检验上传1.jpg,然后访谒 %00.phpAPACHE 2.2.*
常睹毛病 版本为2.0.*到2.2.*
apache 文件解析 格式
文件名由左往左解析 。即 1.jpg.pdf apache 会先辨认 pdf格式，然后再辨认 jpg 格式，因为 apache 可以或许 大概辨认 pdf 格式，所以 那边 它没有 会解析 .jpg 格式。再好比 1.jpg.abc apache 先辨认 .abc 格式，再辨认 .jpg 格式，那边 apache 没有 死谙 .abc 格式，所以 那边 apache 将其解析 成 .jpg 格式 。
操做
上传1.php.abc 1.jpg.abc.php.123.rar(?)
NGINX 0.5.* | 0.6.* | 0.7-0.7.65 | 0.8-0.8.37
如果 方针 能解析 PHP剧本，则可以或许 检验检验上传1.jpg,然后访谒 %00.php
备注：正在碰到 nginx 中央 件时间 ，先找到网站的图片链接好比 ,然后直接正在链接后里减上 %00.php
别的 常睹的中央 件
asp , aspx： iis5.0 , iis6.0 , iis7.0 , iis7.0 , iis8.0
php: apache , nginx , fast-cgi
jsp: tomcat , weblogic , jboss , jetty , GlassFish , Resin , IBM Websphere
aspx的兄弟格式： ashx
jsp: jspx
真例:asp解析 毛病
进进网站当前随足测试下注进面（https://xxx/detail_industry_news.asp?id=6）足工测试当前收现存正在sql注进 ，然后便扔注进工具里 。
但是 出有注收支 去表单，后去又换了多个注进工具遏制 注进，成果一样，皆出有表单数据 。
然后操做目录扫描器遏制 扫描，收现有一个webdata两级目录，自己料念会没有 会是数据库文件了？
然后，继绝扫描两级目录收现 webdata/webdata.mdb 阿谁 数据库文件，下载当前收现账号，稀码。
既然，账号稀码皆有了，那便找背景吧 。
目录扫描器，扫背景出找睹 = =！ 那好吧，足工渐渐 找 。。。
末了 正在一个旁站的 robots.txt 文件里，收现一个特性，便是它阿谁 旁站的背景是域名格式的背景，那主站是没有 是是也是阿谁 了？弄！
出念到借真是 xx.xx/xx.xx 何等背景 。。。
那便进背景 。
一股浓浓的北边站的味讲，便像吃老干妈的感到熏染一样，那便先找数据库服从吧 。
额，出稀有 据库备份阿谁 服从，看去数据库备份拿 shell 阿谁 体例是没有 成了。。。
没有 中阿谁 站是 IIS6.0 的，存正在解析 毛病 ，借好日 ，那便找上传面吧 。
找到一个上传面，先传个一样平常 图片看看，看阿谁 上传面是没有 是是坏的，借有会没有 会出去路子 。
既然没有 是坏的，那便上传个 asp DAMA 吧 。
看去没有 能直接上传，那好吧，抓包上传吧 。
因为，我们事前知讲了上传路子 /bookpic/ ，所以 我们直接操做 IIS 6.0 的解析 毛病 ，也便是（1.asp;.xx）{xx是上传文件的名字} 正在文件夹后里减上 1.asp; 试试可以或许 上传胜利并解析 吗。
抓包 ，改包 ，去先看看 。
去，看看我们能没有 能连上阿谁 DAMA 。
成果很没有 好，被解析 了，从而，也便拿下阿谁 站了。
上传毛病 减绕过格式
客户端检测
法式员一样平常 操做 Java 往复尽犯警文件上传。
绕过格式
FireBug插件：将用于检验 文件扩年夜名的onsubmit事件 删除。
中央 人报复 打击 ：操做Burp Suite。起尾把木马扩年夜名改成一张一样平常 图片的扩年夜名，好比JPG扩年夜名，正在上传时操做Burp Suite拦截 上传数据，再将个中 的扩年夜名JPG编削 成PHP，便可以绕过客户端考证。（可以或许 借需供吸应天编削 Content-Length）任何客户端考证皆是没有 仄安的。客户端考证是克制 用户输进弊端，减少 办事器开消 ，而办事器端考证才气够真正防备报复 打击 者。
办事器端检测
黑 名单与乌名单考证
乌名单过滤格式：界讲禁绝诺上传的文件扩年夜名
乌名单的绕过格式
1.报复 打击 者可以或许 从乌名单中找到Web斥天人员 轻忽的扩年夜名，如：cer
2.对文件的后缀名遏制 除夜小写转换，好比乌名单中有php，可以或许 将文件的后缀改成pHp，仅限windows仄台
3.正在windows体系 下，如果 文件名以“.”或空格做为末了 ，体系 会自动删除“.”与空格，操做此特性也能够 或许 绕过乌名单考证。（asp.或asp_）
黑 名单过滤格式：界讲许愿上传的文件扩年夜名
黑 名单的绕过格式
结合 Web容器的解析 毛病
MIME考证
php 中经过 进程 $_FILE['file']['type'] 去检验
绕过格式：可以或许 正在Burp Suite中变动Content-Type的内容为image/jpeg
目录考证
正在文件上传时，法式一样平常 许愿用户将文件放到指定的目录中，如果 指定的目录存正在，便将文件写进目录中，没有 存正在的话则先竖坐目录，然后写进。
好比：正在前真个HTML代码中，有一个藏藏标签input type="hidden" name="Extension" value="up"/
正在办事器端有以下代码：
if(!is_dir($Extension)){ //如果 文件夹没有 存正在，便竖坐文件夹mkdir($Extension);
}
报复 打击 者可以或许 操做工具将表单中value的值由“up”改成“pentest.asp”，并上传一句话图片木马文件。
法式正在收受到文件后，对目录判定 ，如果 办事器没有 存正在pentest.asp目录，将会竖坐此目录，然后再将图片一句话稀码文件写进pentest.asp目录，如果 Web容器为IIS 6.0，那么网页木马会被解析 。
00截断上传
正在ASP法式中最多睹，也便是%00将后里的字符皆截断了，好比上传文件名为1.asp%00xxser.jpg。
真践操做进程 中，操做Burp Suite的Repeater中的HEX选项卡可以或许 遏制 何等的操做。
截断上传毛病 没有 但隐现正在ASP法式上，正在PHP、JSP法式中也存正在何等的标题 成绩。
0x00没有 是针对统统 基于黑 名单的后缀名搜检皆能绕过，代码的真现进程 中必须存正在截断上传毛病 。
逻辑毛病 分类
棍骗稀码找回服从（肆意稀码重置等）
法式按照一个考证码去肯定 是用户本人，报复 打击 者可以或许 经过 进程 抓包改包，暴力破解，等格式去遏制 绕过。（毛病 产死的启事：前端考证，数据包中露CODE等）
思路：fuzz模糊测试去遏制 毛病 挖挖
真例：某教院存正在肆意稀码重置毛病
第一步（先找回稀码） 检察 源代码
跟一下 nextDo2
闭头正在跳转第两步
如果 data.status 即是0 那么跳转第两步，如果 没有 即是0 那么便提示 考证码禁绝确！
只要 status 即是0 它便跳转第两步，那么经过 进程 burp往编削 它的 Response放包当前便会收现直接绕过考证改稀，何等便组成了肆意稀码重置毛病 。
防备 思路：response数据内没有 搜罗考证码，考证格式尾要回支后端考证。
肆意金额编削
可以或许 经过 进程 篡改数据报，使得采办的商品价格为背数等（金额数据经过 进程 明文传输，出有后端考证等一系列皆可以或许 产死肆意金额编削 毛病 ）
真例
注册下单，付出 ，选择推卡推付出
截断 http 要供，变动post金额数据 。
到达付出 页里收现 ，
收现金额被编削 ，也已提示 该编削 无效 。
防备 格式：后端考证，数据包减稀降伍止传输 。
越权毛病
主假定因为斥天人员 正在对数据遏制 删、删、改、查询时对客户端要供的数据太过 相疑而漏掉 踪了权限的审定（仅限于存正在毛病 服从对应的数据）
思路：
可以或许 隐现越权毛病 的天圆（对数据库遏制 操做的皆可以或许 ）。
检察 代码 当id=数组里里的数为则隐现账号稀码，可则输出疑息堕落 。
当知讲操持 员的id的时间 可以或许 肆意变动url查询到账号稀码。
虽然越权毛病 存正在许多种cookie绕过等等。
好了，竣事！
做者：GeekC0s
去历：i年齿
链接：https://bbs.ichunqiu.com/thread-21386-1-1.html
炼石疑息安然培训秋 季班开招
咨询QQ群：495066536
敬请延绝闭注……
