Web安全你了解多少（三）- 工具的使用

• Web安全你了解多少（一）- 搭建一个django网站

• Web安全你了解多少（二）- HTTP基础&安全溯源

客户端工具

• Brupsuite* Proxy - 拦截HTTP/HTTPS的代理服务器，作为一个浏览器和目标应用程序之间的中间人，允许你拦截，查看，修改在两个方向上的原始数据流* Intruder - 定制的高度可配置工具，对web应用程序进行自动化攻击 如枚举标识符，收集有用数据，以及使用fuzzing技术探测常规漏洞* Repeater - 靠手动操作来补发单独堆Http请求，并分析应用程序响应的工具* Sequencer - 分析不可预知的应用程序会话令牌和重要数据项的随机性工具* Decoder - 手动执行或对应用程序数据者智能编码解码* Comparer - 实用的工具，通过一些相关的请求和响应得到两项数据的一个可视化的差异* 下载地址 portswigger.net/burp监听代理端口配置

<img src=" https://p6-juejin.byteimg.com/tos-cn-i-k3u1fbpfcp/cd4ca8bd30cd4c9b9304e37732a6c25c~tplv-k3u1fbpfcp-zoom-in-crop-mark:4536:0:0:0.image?" style="margin: auto" />

关闭拦截

<img src=" https://p1-juejin.byteimg.com/tos-cn-i-k3u1fbpfcp/960ff48f940c4885ae976e6d4c31d53a~tplv-k3u1fbpfcp-zoom-in-crop-mark:4536:0:0:0.image?" style="margin: auto" />

firefox浏览器配置代理

<img src=" https://p6-juejin.byteimg.com/tos-cn-i-k3u1fbpfcp/357e25ce7ebf4a218fc5efb03cd2b55b~tplv-k3u1fbpfcp-zoom-in-crop-mark:4536:0:0:0.image?" style="margin: auto" />

用之前配置的django网站测试

<img src=" https://p3-juejin.byteimg.com/tos-cn-i-k3u1fbpfcp/ef2bdff16e5145a58d397dd00e3a2e46~tplv-k3u1fbpfcp-zoom-in-crop-mark:4536:0:0:0.image?" style="margin: auto" />

Brupsuite拦截到请求

<img src=" https://p9-juejin.byteimg.com/tos-cn-i-k3u1fbpfcp/e9427f30e196463297753bafdf4a80ce~tplv-k3u1fbpfcp-zoom-in-crop-mark:4536:0:0:0.image?" style="margin: auto" />

<img src=" https://p1-juejin.byteimg.com/tos-cn-i-k3u1fbpfcp/11ff73a506c24bf297712c7bac91f79d~tplv-k3u1fbpfcp-zoom-in-crop-mark:4536:0:0:0.image?" style="margin: auto" />

Repeater Sequencer Intruder 可以自行去尝试下

• Curl* 一个功能强大灵活的网络工具，使用url的形式传输数据，支持HTTPS, IMAP POP3 RTSP SCP FTP FTPS TFTP SMTP SMB Telnet等协议* 多用于抓取网页 网络监控等方面 解决开发及调试中遇到的问题* curl ifconfig.co 查看本机公网ip curl -v ifconfig.co 回显过程 -v* windows需要单独下载，mac默认已集成，通过man curl查看手册* Wappalyzer* Postman* Hackbar浏览器插件

=====

Hackbar

firefox 浏览器插件 包含一些常用的工具 （SQL injection, XSS, 加密等）可以利用它快速构建一个HTTP请求，或者用它快速实现某种算法等，多用于手工测试Web漏洞

firefox添加插件 hackbar quantum插件

Wappalyzer

Wappalyzer插件是一款功能强大的并且非常使用的网站技术分析插件

通过这个插件的功能，我们就可以了解到目标网站所采用的平台架构 网站环境 服务器配置环境 Javascript框架 以及变成语言等等

通过 Wappalyzer了解到 网站使用的是 Django框架，变成语言使用的是 Python

这就为后续的渗透测试提供给了进一步的信息

### 如何入门网络安全

#### 建议

多看书

阅读永远是最有效的方法，尽管书籍并不一定是最好的入门方式，但书籍的理解需要一定的基础；但是就目前来看，书籍是比较靠谱的入门资料。

现在Web安全书籍比较多，因此大家在学习的过程中可以少走了不少的弯路。如果以上推荐书籍阅读有困难，那就找自己能看得进的 Web 安全的书

当然纸上谈兵终觉浅，最好还是实践一下。

对于那些没有学习方向和资料的同学，可以看下我整理的资源，这份资料经历过社会的实践，可以说是当下全网较全的网络安全知识体系：

①网络安全学习路线

②20份渗透测试电子书

③安全攻防357页笔记

④50份安全攻防面试指南

⑤安全红队渗透工具包

⑥网络安全必备书籍

⑦100个漏洞实战案例

⑧安全大厂内部视频资源

⑨历年CTF夺旗赛题解析