web渗透测试

常见的web漏洞

黑客攻击思路

• 信息收集
• 攻击测试
• 提升权限
• 扩大成果
• 清除痕迹

渗透测试思路

• 信息收集
• 攻击测试

暴力破解

1. google黑语法 inurl 网址中包含指定字符串 inurl:login.php intitle 标题中包含指定字符串 intext 内容中包含指定字符串 更多: https://blog.csdn.net/spang_33/article/details/81036172

2. burpsuite常用功能 代理拦截器 抓包 改包 重放

3. 后台暴力破解 存在爆破的特点 1. 不包含验证码/不包含token

上传漏洞

一句话木马  小马+中国军刀

防止暴力破解

1. 添加验证码
2. 添加token

防止上传漏洞