測前準備工作
1)谷歌瀏覽器:設置——>高級——>打開代理設置——>局域網設置——>使用代理服務器——>確定——>確定
2)BurpSuite:Intercept is on(開始監聽)——>監聽到內容——>Ctrl+R(或者右鍵Send to Repeter)——>Repeater——>進行篡改+測試(不想監聽了或者想開始下一次監聽,則將Intercept is改成off,監聽會影響網頁的正常瀏覽請注意)——>Go
1.越權
①不同權限的賬戶Cookies或JSESSIONID互換,響應依舊成功,存在越權漏洞
② JSESSIONID爲空或者註銷後依舊可以登錄表明存在越權漏洞。
2.明文傳輸
①截取輸入密碼時的包,密碼明文顯示,表示存在明文傳輸漏洞
②AWVS掃描出現User credentials are sent in clear text(用戶憑證信息泄露)表示存在明文傳輸漏洞。
3.Sql注入漏洞
看系統的應用服務器端是否對SQL語句中使用的特殊字符“;”、“–”和“and”、“or”未做過濾,並且看是否允許其向數據庫系統提交。
4.XSS漏洞
在有輸入的地方輸入看是否有xss彈框輸出,如有則代表存在xss漏洞。
5.文件上傳漏洞
在有文件上傳的地方上傳文件,截取相應的包,修改文件後綴爲不符合的文件後綴,再請求,看是否上傳成功。
6.後臺地址泄露
關閉Weblogic後臺
7.敏感信息泄露
網站的絕對路徑
sql語句
中間件版本
Exception異常信息
需要脫敏的信息未脫敏:身份證號,手機號,電子郵件,銀行卡號,地址,車牌車架號,用戶賬戶,表名與字段名
全局搜from,email,address來判定是否是存在未脫敏的信息
8.目錄遍歷
通過…/構造特殊的文件名,如…/未過濾,則說明存在目錄遍歷漏洞。
9.關鍵會話重放攻擊
使用burpsuite攔截關鍵操作的(比如登錄操作)請求報文,連續發送該報文,觀察報文響應是否一致,如果一致則說明存在關鍵會話重放攻擊漏洞。
10.CSRF(跨站請求漏洞)
①Referer爲空或者篡改Host,看響應是否有變化,如依舊響應成功,則代表存在CSRF跨站請求漏洞
②AWVS掃描出現Host Head Attack,表明存在CSRF漏洞
11.設計缺陷邏輯漏洞(服務端未做有效驗證,響應包中返回密碼信息)
通過修改rows,pagesize等字段,看是否可以成功響應,如果可以,說明存在設計缺陷邏輯漏洞。
12.存在風險的服務和端口
使用nmap掃描端口,端口是否存在除ssh和與服務無關的端口,端口是否符合國網的要求,比如22應爲10022。445和3389都需要關閉,或者加防火牆filter狀態也是可以的
13.不安全的cookies(四者滿足其一即爲不安全)
①cookies裏包含用戶名與密碼,即使加密也不行
②退出後cookies不變,也就是說兩次登錄後cookies是一樣的
③cookies爲空或者JSESSIONID爲空請求成功(刪掉或者篡改cookies)
④cookies未設置http only屬性(通過在瀏覽器調試模式切換到console項,輸入alert(document.cookie),查看是否能將cookie彈出,能彈出,則未設置httponly屬性)
14.默認口令弱口令
口令需要滿足(數字,大寫字母,小寫字母,符號)四種選三種組合排列,並且不能有數字字母聯排的類型。
15.DDos攻擊
使用AWVS掃描出來Slow Http Denial of Service Attack 說明存在DDos攻擊漏洞。
16.不安全的http請求方法
http請求方法,僅允許GET、POST方法
以下是全的不安全的http方法:(AAA、BBB等不規則的方法也是不行的)
<web-resource-collection>
<web-resource-name>任意名稱</web-resource-name>
<url-pattern>/*</url-pattern>
<http-method>OPTIONS</http-method>
<http-method>TRACE</http-method>
<http-method>PUT</http-method>
<http-method>HEAD</http-method>
<http-method>DELETE</http-method>
<http-method>SEARCH</http-method>
<http-method>CONNECT</http-method>
<http-method>PROPFIND</http-method>
<http-method>PROPPATCH</http-method>
<http-method>PATCH</http-method>
<http-method>MKCOL</http-method>
<http-method>COPY</http-method>
<http-method>MOVE</http-method>
<http-method>LOCK</http-method>
<http-method>UNLOCK</http-method>
</web-resource-collection>