WEB常见漏洞

命令执行漏洞

常见的分析方式

下载源代码并部署测试环境

结合手工和工具对程序进行代码审计

攻击利用

定义

通过浏览器或者辅助程序提交执行命令，因为未对执行参数过滤，导致没有绝对命令的 情况下执行命令。

 

常见利用函数

system(),eval(),exec()

分类

1. 代码层

商业应用需要执行的命令

1. 系统层

bash破壳漏洞，控制bash的环境变量

1. 第三方组件

wordpress中magemagick的 图片处理，java中的struts2/elasticsearch

---

暴力破解

B/S架构

1. 登录框
2. url参数（用户id值，目录名，参数名）
3. 验证密码（验证码接受处）

C/S架构

1. windows远程桌面3389
2. ssh远程管理
3. 数据库账号密码（mysql，mssql，oracle）

ftp账号密码

---

xss

  

---

业务逻辑漏洞

定义

由于程序不严谨，逻辑特别复杂导致分支不能处理或处理错误。

注：扫描器几乎无法识别

 

常见问题

1.密码重置问题

2.cookies验证问题

3.越权操作问题

检验方法

用户体系，在线支付，顺序执行，本地限制，抓包绕过。

 

 

危害

1.任意密码修改

2.越权访问

3.密码任意修改

4.交易金额任意修改

---

CSRF

常见危害

发送邮件

修改账户信息

网页挂马

账户转账

检测方式

手工监测：poc代码

版自动监测

crsftester，burpsuite

 

常见利用：

修改个人信息，转账操作，后台增加管理员，csrf getshell/脱裤

---

信息收集

https://www.freebuf.com/articles/wireless/11570.html

https://www.ibm.com/developerworks/cn/downloads/r/appscan/