漏洞靶場之 DVWA
-
為什麼要攻擊網站？常見的網站漏洞有哪些?
SQL隱碼攻擊 XSS 檔案上傳 反序列化 檔案包含 CSRF 命令執行 資訊洩露 XEE SSRF 未授權訪問
-
SQL隱碼攻擊
洩露資料庫，資料庫中可能有賬號密碼
-
命令執行
獲取目標機器命令許可權，執行非法命令，破壞或控制受害機器
-
檔案上傳
上傳後門病毒木馬到網站中，破壞網站
命令執行漏洞
-
cmd1|cmd2:無論cmd1是否執行成功，cmd2將被執行
-
cmd1;cmd2:無論cmd1是否執行成功，cmd2將被執行
-
cmd1&cmd2:無論cmd1是否執行成功，cmd2將被執行
-
cmd1||cmd2:僅在cmd1執行失敗，執行cmd2
-
cmd1&&cmd2:僅在cmd1執行成功，執行cmd2
-
常用cmd指令
whoami 檢視當前使用者名稱 ipconfig檢視網路卡 shutdown -s -t - 0關機
net user [username] [password] /add 增加一個使用者名稱為username密碼為password的新使用者
type [file_name] 檢視filename檔案內容
-
防禦命令執行漏洞
禁止輸入特殊字元|;&||&&,處理特殊符號
白盒測試
可以看到原始碼，檢視原始碼過濾機制
黑盒測試
一個個試，看不到原始碼
防禦impossible
透過演算法過濾掉不合格的輸入