位置: IT常识 - 正文
Web渗透测试---Web TOP 10 漏洞(Web渗透测试新手实操详解)
编辑：rootadmin推荐整理分享Web渗透测试---Web TOP 10 漏洞(Web渗透测试新手实操详解)，希望有所帮助，仅作参考，欢迎阅读内容。
文章相关热门搜索词:Web渗透测试分类,Web渗透测试工具,Web渗透测试攻击与安全加固答辩问题,Web渗透测试书,Web渗透测试新手实操详解,Web渗透测试的过程排序,Web渗透测试的过程排序,Web渗透测试新手实操详解,内容如对您有帮助，希望把文章链接给更多的朋友！
常见的漏洞有注入漏洞，文件上传漏洞，文件包含漏洞，命令执行漏洞，代码执行漏洞，跨站脚本（XSS）漏洞，SSRF漏洞，XML外部实体注入漏洞（XXE），反序列化漏洞，解析漏洞等，因为这些安全漏洞的存在，可能会被黑客利用从而影响业务，黑客通过一系列的攻击手段可以发现目标的安全弱点，若是安全弱点被成功利用将导致目标被黑客控制，从而威胁到目标资产或正常功能的使用，最终导致业务受到影响
一、注入漏洞注入漏洞由于其严重性和危害性一直位居Web TOP 10 漏洞的第一，常见的注入有: SQL、LDAP、OS命令，ORM和OGNL。用户可以通过任何可输入的点输入构造的恶意代码，若应用程序对用户的输入过滤不严，一旦将输入的恶意代码作为命令或查询的一部分发送到解析器，则可能会导致注入漏洞的产生 如SQL注入，攻击者通过浏览器或者其他客户端，将恶意SQL语句注入到参数中，而网站应用程序对参数的值没有进行合法性校验和过滤，直接将恶意SQL语句带入数据库并进行执行，最后导致数据库中的数据被破坏和泄露
二、跨站脚本（xss)漏洞XSS漏洞全称是跨站脚本漏洞，为了不和前端中的层叠样式表CSS重名，将跨站脚本攻击漏洞缩写改为XSS，XSS漏洞允许用户将恶意代码植入到Web页面中，当其他用户访问此页面的时候，植入的恶意代码会被执行，通过XSS漏洞可以获取用户的信息，如用户登录常用的Cookie信息，可以通过过XSS蠕虫进行信息传播，可以在客户端中植入木马，可以结合其他漏洞攻击服务器，在服务器中植入木马
三、文件上传漏洞
文件上传漏洞一般发生在具有上传功能的应用中，如果应用程序对用户的上传文件没有控制或者存在缺陷，攻击者可以利用应用上传功能，上传木马和病毒文件到服务器中，对服务器进行控制 产生的原因：应用中存在上传功能，但是上传的文件没有经过严格的合法性校验，或者校验函数存在缺陷，如PHP中的preg_relpace()等函数，导致可以上传木马文件到服务器 直接上传恶意代码到服务器上，可能会造成服务器的网页篡改，网站挂马，服务器被远程控制和被安装后门等严重的后果 文件上传落地主要是通过前端JS绕过、文件名绕过和Content-Type绕过等几种方式进行恶意代码上传
四、文件包含漏洞文件包含函数包含的文件参数没有经过过滤或者严格的定义，并且参数可以被用户控制，就可能包含非预期的文件，如果文件中存在恶意代码，无论文件时什么样的后缀类型，文件内的恶意代码都会被解析执行，就导致了文件包含漏洞的产生。 文件包含漏洞可能会造成服务器的网页篡改、网站挂马、远程控制服务器、安装后门等危害。
五、命令执行漏洞应用程序的某些功能需要调用可以执行系统命令的函数，如果这些函数或者函数的参数可以被用户控制，就可能通过命令连接符将恶意命令拼接到正常的函数中，从而随意执行系统命令
六、代码执行漏洞应用程序中提供了一些可以将字符串作为代码执行的函数，比如PHP的eval函数，可以将函数中的参数当作PHP代码来执行，如果这些函数的参数控制不严格，可能会被利用，造成任意代码执行
七、XML外部实体（XXE）漏洞XML外部实体（XML External Entity XXE）产生的原因时应用程序解析XML时，没有过滤外部实体的加载，导致了恶意的外部文件加载，造成命令执行、文件读取、内网扫描、内网应用攻击等危害
八、反序列化漏洞不同语言，一般常见在前端和后端进行数据传输，为了保证数据有效的存储和传递，同时不丢失数据的类型和结构，经常要序列化和反序列化的函数对数据进行处理 序列化：返回字符串，此字符串包含了标识value的字节流，可以存储于任何地方 反序列化：对单一的已序列化的变量进行操作，将其转换回原来的值 这两个过程结合，可以轻松的存储和传输数据，使程序更具有维护性，但是不全的反序列化回导致远程代码执行，即使反序列化缺陷不会导致远程代码执行，攻击者也可以利用它们来执行攻击，包括重播攻击、注入攻击和特权升级攻击。
九、 SSRF漏洞SSRF全程是服务端请求伪造（Server-Side Request Forge,SSRF)漏洞，攻击者利用SSRF漏洞通过服务器发起伪造请求，这样就可以访问内网的数据，进行内网信息探测或者内网漏洞利用。 SSRF漏洞形成的原因是应用程序存在可以从其他服务器获取数据的功能，但是服务器的地址没有进行严格的过滤，导致应用程序可以访问任意的URL连接，攻击者通过进行构造URL连接，可以利用SSRF漏洞进行以下攻击
可以通过服务器获取内网主机、端口和Banner信息对内网的应用程序进行攻击，如Redis、Jboss等利用file协议读取文件可以攻击内网程序并造成溢出十、解析漏洞Web容器解析漏洞会将其他类型的文件都当作脚本语言的文件进行解析，执行里面的代码，Web容器解析漏洞产生的原因是Web容器存在漏洞，导致在解析恶意构造的文件时，无论此文件是什么类型的文件，都会执行里面的代码 Web容器解析漏洞的危害极大，会造成服务器被远程控制，网页篡改，网站挂马，植入后门等危害 一般解析漏洞是配合文件上传的功能进行利用，常见的Web容器有IIS、Nginx、Apache、Tomcat和Lighttpd等。
上一篇：大雾山国家公园，田纳西州 (© Tony Barber/Getty Images)(大雾山国家公园在哪里)
下一篇：睡在海滩上的竖琴海豹，纽约长岛 (© Vicki Jauron, Babylon and Beyond Photography/Getty Images)(睡在海面上)
