web 测试

## 0x01 ZG0T01 提问：良哥，请问一下：对于SRC的挖掘，该如何去理清楚整个框架的业务。看见很多大佬都在说要熟悉业务，但是不知道该从何入手。还有对于"业务"这一词的理解到底是什么呢？谢谢

### 回答

1、熟悉系统的所有功能，其实业务就是给用户提供的功能

2、每一个可以交互的点都要明白这个点是干嘛用的，提交的数据如何展示，被什么人看，整个处理流程是什么

3、对于黑盒来看，拿到一个网站，先点一点网站的所有链接，看看有哪些页面，这些页面都提供了什么功能，因为每一个输入点都可能存在安全问题。

总的来说，业务就是所有功能组合起来的，对网站提供的所有功能都熟悉了，那么你对业务也就熟悉了。

测试的时候，可以打开 burp，设置好代理，然后打开网站，所有网站上的链接都点一遍，然后去 burp 上看历史记录，一个页面一个页面的看数据包，看其中的数据交互，理解页面提交的参数信息，获得的结果数据，然后再去重放测试，这样可以比较快的熟悉网站的功能了。

## 0x02 刀削面 提问：良哥你好，最近领导安排了一个任务，就是针对nessus批量扫出来的漏洞(上千个漏洞，有不少重复的)，有没有什么方法可以高效快速的对这些重复的漏洞进行漏洞验证。或者说有啥方法可以减少人工验证的工作量。

### 回答

这个就写脚本吧，学习一下 python，或者 github 上找找有没有相关的代码

将扫描结果进行处理，然后去重，想要自定义还是得有脚本编写的能力，这个能力可以让很多重复的劳动自动化，大大节省时间。

二是同样的问题，一定也有人遇到过，所以相关的代码前辈可能已经写过，那么需要你有一定的代码阅读能力，找一找合适的代码，直接用或者改改都行。

## 0x03 ZG0T01 提问：良哥你好，可以问一下有什么敏感信息泄露的学习资料吗？（自己在网上没有找到。）

### 回答

关于敏感信息泄漏的问题，首先确定什么是敏感信息？

敏感信息就是不能被外人知道的信息，对于安全人员来说，主要关注的是用户的个人信息、系统的认证信息、正常功能以外的内部功能越权访问等。

敏感信息泄漏来源可能来自，网站的注释、web目录下的备份文件、github等代码共享平台的分享、网盘等文件共享平台的分享等

获取方式比如：网站的目录扫描、网页源代码、搜索引擎、github搜索、网盘搜索等方式

相关资料的话，可以去找找乌云的漏洞库，里面关于信息泄漏的漏洞都可以看看，总结整理整理就知道了，主要是敏感信息的定义以及出没的地方

## 0x04 提问：日常对客户的外网扫描，客户环境没有变化，用的是awvs扫描器，扫描工具和方式也没变化，但是扫描结果对比前面几次多了不少漏洞，这个情况大家觉得怎么跟客户解释的好？客户对这个结果有疑问。

### 回答

尴尬，分析分析原因呗，误报的可能性大，或者程序规则库更新了，或者客户网站的防护不起作用了，猜的哈

### 讨论

微雨季节：这种比较好解释，跟他们说。工具是死的，再说了，如果是验证出了漏洞，，你怎么确定客户没有动过环境，就算不是大改版，其它小的改动也会影响，是不是改变，你要让他们提供日志，再不行你就分析为什么两次不一样，不是嘴上说说，你得去分析。
2020/3/19
无状态 回复 微雨季节：嗯嗯好的，谢谢啦

## 0x05 李慢慢233 提问：学习了一段时间的web，初步的了解了sql注入xss。上传。越权。但是已经不知道如何进一步提升了。    很多漏洞看别人能发掘，自己却发掘不了，真的很难受。也找不到如何去提升了。求帮助，无力感。

### 回答

那漏洞的原理是否掌握了，别人挖掘到的漏洞，自己能否或已经进行复现过，是否有思考总结自己今后遇到类似的漏洞，如何快速去验证，挖洞大多都会有比较无聊的时候，换个思路，多试试。上层原理都搞清楚了，就研究下底层，比如浏览器的运行原理，架构，源码，自己有理解或去阅读过？

## 0x05 拥有 提问：php反序列化漏洞挖掘有什么技巧？

### 回答

给你找了个文章：[一篇文章带你深入理解PHP反序列化漏洞 - 技术文章 - 90Sec](https://forum.90sec.com/t/topic/331?mobile_view=0)

挖掘技巧的话，我没法帮你总结，因为这方面我的经验也不足，如果是我：

1、研究反序列化的漏洞原理
2、整理出序列化和反序列化的应用场景有哪些
3、反序列化漏洞如何测试，包括一些通用模块、框架还有自写的代码
4、通过一些通用的场景进行工具自动化，比如：fastjson等通用模块

## 0x06 dark 提问：球主，现在挖洞遇到一些困惑，常规的漏洞该防都防了，有些站点都加上waf, 一扫目录就封ip，有种无力感...查看ip开放的端口，也没发现有用的，3389爆不破，22端口被限制，还有啥挖洞的骚姿势？

### 回答

尝试找找真实IP，绕过 waf 的防护，或者更换目标尝试，或者尽量不要用扫描器，手工尝试，但是不要用一些常规的 payload

现在使用微服务架构的网站越来越多，更多的提供 api 服务，这类安全问题，其实不用扫描，找找越权、找找逻辑漏洞、找找框架的 nday、找找 xss ，通过目录扫描搞的目标现在越来越少了，真有的话价值也不大

也不要抱着一定能挖到漏洞的心态，尽量少使用工具，这种最容易被waf识别，waf 也害怕拦截真实用户的请求，如果你的操作就是正常人的操作， 一定是不会拦截的。

## 0x07 Anyonee 提问：请问一下，前后端分离的项目！xss是不是就意义不大了？前端并未存储接口的cookie.后台接口set cookie后浏览器自行处理。前后端分离csrf漏洞会比较多、xss有什么利用吗？

### 回答

根据xss的原理，只要是js能做的，xss就可以利用，有个专门的利用工具beef，专门用来玩xss的，通过xss获取到一些浏览器版本的信息，然后利用浏览器漏洞，直接挂马也是可以的，就看你怎么玩啦

### 讨论

Anyonee：前端域名和接口域名是不一样的。发现接口可以进行csrf攻击,然后发现一处后台接口返回数据未过滤标签。但是前端框架进行了html实体化。这种可以怎么结合拿到cookie吗？另外前端域名下面是没有存储api的cookie的握手
2018/4/10
晚风 回复 Anyonee：不管是否前后端分离，它就是一整个web应用。前后端分离只是开发这个网站的一种设计模式。后端如果在前端设置了cookie，那么在前端是肯定看得到的，因为前端请求后端api浏览器会自动带上前端存储的cookie 的。前端如果没有存储cookie，那就是意味着js是取不到cookie的，从而无法进行xss攻击。不知道这么说有没有解决你的疑惑。
2018/4/10
Anyonee 回复 晚风：这个我明白，后台会在头部set-cookie值。我上述的场景好像并不能xss？因为接口返回虽然没过滤干净，但是前端框架把标签转化了。好像csrf也没办法组合使用。
2018/4/10
晚风 回复 Anyonee：那你可以专门找找针对这款前端框架的xss突破方法。另外如果要进行csrf的话，要看情况。如果csrf是get请求，那么可以直接利用。如果是post请求，那么需要配合xss得到token后再利用。
2018/4/11
Anyonee 回复 晚风：谢谢解答，前端是vue框架！csrf没有token防护，可以直接利用所有接口。后端程序过滤了大多数输入，但有一处漏掉被vue过滤掉！
2018/4/11
崔广余：每次请求都有认证头的吧。遇到过，当时没思考xss的问题

## 0x08 Z 提问：地图类的网站应该怎么渗透呢，好多都像是静态页面，只有几个搜索框

### 回答

如果是纯静态网站确实无法正面搞，可以从同一台服务器的旁站入手，拿到权限之后尝试跨到目标目录。web这个东西肯定不能保证你百分之百搞定，毕竟比较局限。大家都说没有百分之百的安全是因为攻击面庞大，无法做到全部设防，防御等级都搞得很好。但是仅仅是一个web应用，本身功能不多，防御起来就很容易了。功能越强大越容易出现安全问题，像你说的都没几个功能，搞不定也属正常。

### 讨论

à ō é：看能不能进管理后台，然后做好信息收集
比如cms，子域名等等
必要的时候，社工(只要你有闲情)

## 0x09 健叻宝 提问：你好，想问一下对于一些看似比较成熟的网站进行渗透，有没有什么不一样的思路。最近接的项目有xxx这种，很难去发现问题。

### 回答

web现在的防御体系起来，明显的漏洞确实不多了，如果使用了框架可以检查框架漏洞。针对使用了框架的web应用，比较多的是越权，csrf，xss以及登录口弱口令等问题，再加上有waf的存在，更难对web进行渗透了。没有使用成熟的框架，全部自研的话，可能问题会比较多，目前来说可能不太多。

### 讨论

zsmj 回复 健叻宝：看授权范围了 如果只给你授权一个应用系统 确实思路比较窄，如果范围很广的话 可以多测试下未授权访问这类的（ldap、redis、ftp匿名访问）、不安全配置（列目录等）。做端口扫描的时候细致一些 有些服务器上面不光是搭载一个web应用系统。目录扫描有个工具dirsearch很好用扫描结果也是比较全面的，有的应用系统某些后台页面是可以访问的。有时候就会出现一些敏感信息。剩下的就是弱口令、命令执行这类的测试。一般内网防护不是很严格很多口令都是相同。拿到一个口令测试一个网段估计会有几台。国企一般都是注重外部防护 内部相对来说比较薄弱。只要细心都会有收获的。我之前做过一个项目就是 邮件系统采用ldap认证，ldap存在未授权访问 通过ldap admin链接过去就可以看到人员信息（邮箱的账户名密码、姓名 、所属部门等），最后找到信息部门领导的邮箱 通过得到的邮箱账户名密码信息登陆后 看到了他们院内所有应用系统统计的表格（包括口令）。

## 0x10 mitang 提问：sqlmap跑出来的数据库为none，这是什么原因？

![](/media/202201/2022-01-17_111827_821435.png)

### 讨论

à ō é：我也遇到过这种情况，
自我感觉应该是
1. 数据库本来就是空的
2.当前数据库用户权限很低
3.有其他防护
4.测试语句不对
等等

看看能不能手工注入
或拿下服务器权限
2018/7/19
darknight：盲注有时候会跑不出数据，因为sqlmap根据前几步的判断跑ascii码，比较ascii码大小判断返回数据，有时候判断大小方向跑反了。就是比较数据库名的第一个字符的ascii码，第一个字符是97，他判断跟95比较，判断反了，实际是比95大，他判断为比95小了，会一直往小的ascii码比较，最后为空。至于什么情况下会判断错，每个站的情况都不一样，情况复杂，有时候会出现返回数据错乱的情况。程序是死的。怎么解决？→手工注入
2018/7/19
Pa55w0rd：用--no-cast试试
2018/7/19
Pa55w0rd：或-hex试试
2018/7/19
GYP 回复 darknight：请问hibernate sql这种我也用sqlmap跑不出来，貌似它是通过对象来做的，和一般的语句还有点不一样，有办法破吗？
2018/7/19
mitang 回复 Pa55w0rd：--no-cast可行 感谢表哥

## 0x11 Z 提问：那种一遇敏感词就封ip的网站，一个敏感词就封一段时间，要如何去渗透

### 回答

跟他耗？哈哈，开玩笑的，可以测试他封你ip的规则，能否通过换UA来绕过，实在不行就收集一些免费代理，通过更换IP来测。

## 0x12 Z 提问：客户给了个网站，只有个登录框，其他没有，好像只有爆破进去，但很难爆破，扫目录扫了很多，不知真假，打开又跳转到登录框，良哥，该怎么办

### 讨论

Remix：前台留言看看，一般pass，不可能每个站都那么好日，不要浪费时间
2018/7/31
Z 回复 Remix：什么都没有，就个登录框，客户给的，不能浪费也得浪费啊
2018/7/31
LandGrey：多看看网页源码和js文件
2018/7/31
Reven：如果是测试环境可以要求提供测试账号，生产环境就只能尝试爆破了。
2018/7/31
Z 回复 Reven：不给，更多得是想模拟黑客的吧

## 0x13 匿名用户 提问：一个站库分离的网站，有后台权限，但是后台只有操作数据库内容功能，其他功能都没有，有什么进一步渗透的方法吗

###  回答

看看利用数据库能不能执行系统命令

## 0x14 神話, 提问：请问大佬，web方面解密有什么好思路和方法没？比如
ECEEVg0A6lSRv1QCAAA=
GMKD4YpjflLV2m70iq3Bjw==
G9hq8DYL8AjK/VD4PePQJQ==
解出来是什么啦？

### 回答

这种看上去是base64编码，你可以尝试用base64解码一下看看结果，如果是乱码，那就可能在base64之前做了其他的加密，比如AES，DES等

### 讨论

Akay：首先用Base64解码，再看看
2018/8/9
forever：一般这种看类似base64的加密无法解密的都是先被其他加密方式加密了再混淆了字符的，这种如果需要解密可能还得有密匙，没有源码的话很难解

## 0x15 熊三 提问：已经查出了网址有注入漏洞，但是用sqlmap只查出他得数据库名，表名查不到，这个是怎么回事呢，他的数据库是access的，服务器是2003的

### 讨论

access数据库查表名的原理是枚举，所以能否查出来表名字典有关，这个运气的成分比较大！

access可以试试下载看看，说不定在哪个目录下存着，网上有很多资料可以试试看，还有就是尝试收集更多的表名字典进行尝试，没有保证你百分之百成功的方法！

## 0x15 吴小呆 提问：良哥，对于在爆破的时候ip地址登陆失败有限制次数，如何轮换代理ip进行爆破，或者说有相关的攻击利用文档和工具吗？谢谢。

### 讨论

你要看他的策略是什么，如果是单位时间次数限制，可以慢速攻击，测试单位时间的阈值，如果是只要错几次就封的，需要你有大量的ip地址池，否则没办法绕过，攻击工具的话我没有，百万代理池更没有，这种东西的成本还是挺高的，有防御的情况建议不要硬刚，即使有这种资源，字典也不一定很强，因为有安全意识的密码不会让你暴力破解出来的！