Web渗透入侵流程思路

python-qing

于 2025-03-27 20:07:28 发布

阅读量879

点赞数 24

文章标签：前端网络智能路由器安全 xss

本文链接：https://blog.youkuaiyun.com/m0_61869253/article/details/146569759

版权

Web渗透入侵流程思路

什么是web渗透入侵呢？渗透测试能够独立地检查你的网络策略，换句话说，就是给你的系统安了一双眼睛。而且，进行这类测试的，都是寻找网络系统安全漏洞的专业人士。

首先要进行的就是信息收集，第一个必须要会用的就是whois。
　　简单来说，whois就是一个用来查询域名是否已经被注册，以及注册域名时填写的详细信息的数据库(如域名所有人、域名注册商)。大家可以自己登陆whois.com查询一下网站的一些注册信息。
　　其次是DNS，DNS：是因特网上作为域名和IP地址相互映射的一个分布式数据库，能够使用户更方便的访问互联网，而不用去记住IP。通过主机名，最终得到该主机名对应的IP地址的过程叫做域名解析(或主机名解析)
　　google hack:使用Google等搜索引擎对某些特定的网络主机漏洞(通常是服务器上的脚本漏洞)进行搜索，以达到快速找到漏洞主机或特定主机的漏洞的目的。

黑客们入侵网站普遍的手法/流程： 1、信息收集 1.1/ Whois信息–注册人、电话、邮箱、DNS、地址 1.2/ Googlehack–敏感目录、敏感文件、更多信息收集 1.3/ 服务器IP–Nmap扫描、端口对应的服务、C段 1.4/ 旁注–Bing查询、脚本工具 1.5/ 如果遇到CDN–Cloudflare（绕过）、从子域入手（mail，postfix）、DNS传送域漏洞 1.6/ 服务器、组件（指纹）–操作系统、web server（apache，nginx，iis）、脚本语言

主动信息收集，1)使用爬虫获取网站目录结构。如wvs爬虫功能获取网站目录结构。2)使用目录猜解工具暴力猜解。
　　被动信息收集，使用burp代理，在网站中进行正常的功能的使用，获取网站的目录以及隐藏的接口。
　　获取Server信息，查看Response信息的Server头，获取Server信息。如Server:Microsoft-IIS/6.0。
　　获取脚本信息，1)查看Response信息头部，如X-Powered-By:ASP.NET, X-Powered-By:PHP等。2)查看 Cookie信息，如PHPSESSID, JSESSIONID,ASPSESSIONID等。3)查看文件后缀,.asp,aspx,.php,.jsp,.do,.action等。
　　信息收集是信息得以利用的第一步，也是关键的一步。信息收集工作的好坏，直接关系到整个信息管理工作的质量。

通过信息收集阶段，攻击者基本上已经能够获取到网站的绝大部分信息，当然信息收集作为网站入侵的第一步，决定着后续入侵的成功。

2、漏洞挖掘 2.1/ 探测Web应用指纹–Discuz、PHPwind、Dedecms、Ecshop… 2.2/ XSS、CSRF、XSIO、SQLinjection、权限绕过、任意文件读取、文件包含… 2.3/ 上传漏洞–截断、修改、解析漏洞 2.4/ 有无验证码–进行暴力破解 2.5/ More… 经过漫长的一天，攻击者手里已经掌握了你网站的大量信息以及不大不小的漏洞若干，下一步他们便会开始利用这些漏洞获取网站权限。

3、漏洞利用 3.1/ 思考目的性–达到什么样的效果 3.2/ 隐藏，破坏性–根据探测到的应用指纹寻找对应的EXP攻击载荷或者自己编写 3.3/ 开始漏洞攻击，获取相应权限，根据场景不同变化思路拿到webshell

4、权限提升 4.1/ 根据服务器类型选择不同的攻击载荷进行权限提升 4.2/ 无法进行权限提升，结合获取的资料开始密码猜解，回溯信息收集

5、植入后门 5.1/ 隐蔽性 5.2/ 定期查看并更新，保持周期性日志清理伪装性，隐蔽性，避免激警他们通常选择删除指定日志

漏洞挖掘技术是漏洞发现与利用的重要手段，近年来漏洞数量呈现明显上升趋势，不仅如此，新漏洞从公布到被利用的时间越来越短，黑客对发布的漏洞信息进行分析研究，往往在极短时间内就能成功利用这些漏洞。除了利用已知漏洞，黑客们也善于挖掘并利用一些尚未公布的漏洞，发起病毒攻击，或出售漏洞资料，满足经济目的。

漏洞挖掘是一个多种漏洞挖掘分析技术相互结合、共同使用和优势互补的过程。目前漏洞挖掘分析技术有多种，主要包括手工测试技术(manual testing)、Fuzzing技术、比对和二进制比对技术(Diff and BinDiff)、静态分析技术(static analysis)、动态分析技术(runtime analysis)等.

手工测试是通过客户端或服务器访问目标服务，手工向目标程序发送特殊的数据，包括有效的和无效的输入，观察目标的状态、对各种输入的反应，根据结果来发现问题的漏洞检测技术。手工测试不需要额外的辅助工具，可由测试者独立完成，实现起来比较简单。但这种方法高度依赖于测试者，需要测试者对目标比较了解。手工测试可用于Web应用程序、浏览器及其他需要用户交互的程序。