首页 > 其他分享 >【渗透测试系列】常见网站的逻辑漏洞checklist

【渗透测试系列】常见网站的逻辑漏洞checklist

时间:2024-07-20 15:29:48浏览次数:7  
标签:漏洞 渗透 checklist 网站 WAF 行业

前言

在做网站渗透之前除了关注一些通用漏洞,这些漏洞通常能很容易的利用扫描器扫出,被WAF所防护,然而有一些逻辑漏洞WAF和扫描器就无法发现了,就需要人工来测试,根据各行业的特点总结了下网站的常见漏洞checklist。

互联网行业

P2P金融行业


电商行业


政务行业

标签:漏洞,渗透,checklist,网站,WAF,行业
From: https://www.cnblogs.com/o-O-oO/p/18313182

相关文章

  • 通过渗透拿到对方web网站服务器控制权!让对方服务器成为木偶?
    一.靶场服务器打开(模拟要攻击的对象)1.1打开web服务1.2查看IP1.3右键计算机属性 远程设置不允许远程链接 (后面会通过远程渗透打开这个功能)1.4将服务器(此电脑)用户 设置密码并将服务器锁定二.打开win11攻击机上一篇文章中已经将对方网站登录密码破开,于是......
  • 【笔记】从0开始的sql注入漏洞学习
    【笔记】从0开始的sql注入漏洞学习SQL数据库操作基础第一部分:MYSQL(MariaDB)基础操作1.连接数据库:mysql-uroot-p-u 输入登录用户名-p 输入密码(这个没有密码)2.显示系统中所有数据库的名称showdatabases;3.新建数据库studentcreatedatabasestudent;使用以下命令......
  • 开发日志:windows修复SSL漏洞CVE-2016-2183(3389端口)
    漏洞危害:具有足够资源的中间人攻击者可利用此漏洞,通过“birthday”攻击检测会在固定密码与已知纯文本之间泄露XOR的冲突,进而泄露密码文本(例如安全HTTPSCookie),并可能导致劫持经认证的会话。参见《支持SSL64位块大小的密码套件(SWEET32)-修复方案》参考资料:https://blog.cs......
  • dvwa文件上传漏洞低级,中级,以及高级的难度测试(手把手教会你文件上传)
    在开始之前我们得先了解什么是文件上传漏洞,为什么会产生漏洞?以及文件上传漏洞有什么危害?文件上传漏洞顾名思义是指开发者或者程序员在开发网站的时候没有对用户上传的文件进行识别和过滤,因为很多网站提供的功能比较多,比如前台用户注册上传头像,允许上传图片,视频等等,没有做很好......
  • 渗透测试必备的浏览器插件
    目录WappalyzerFindSomethingX-Forwarded-ForHeaderUASwitcherandManagesuperSearchPlus点击浏览器右上角三条杠,再点扩展滑到最下面,点击寻找更多功能组件搜索wapp,点击第一个,然后添加扩展Wappalyzer简介:可以帮你快速定位网站使用的语言,框架还有富文本编......
  • 【漏洞分析】Li.Fi攻击事件分析:缺乏关键参数检查的钻石协议
    背景信息2024年7月16日,Li.Fi协议遭受黑客攻击,漏洞成因是钻石协议中diamond合约新添加的facet合约没有对参数进行检查,导致call函数任意执行。且diamond合约拥有用户的approve,所以攻击者可以构造恶意参数对用户资金进行转移。攻击交易https://app.blocksec.com/expl......
  • 渗透测试常用术语
    渗透测试常用术语在渗透测试中,常用的术语包括POC、EXP、Payload、Shellcode等,以及后门、Webshell、木马、病毒等安全相关的概念。以下是对这些术语的详细解释及它们之间的区别:术语解释POC(ProofofConcept)定义:全称ProofofConcept,中文意为“概念验证”。在渗透测试中,POC......
  • Apache Tomcat文件包含漏洞复现(详细教程)
    1.漏洞原理 Tomcat服务器是一个免费的开放源代码的Web应用服务器,其安装后会默认开启ajp连接器,方便与其他web服务器通过ajp协议进行交互。属于轻量级应用服务器,在中小型系统和并发访问用户不是很多的场合下被普遍使用,是开发和调试JSP程序的首选。Tomcat和IIS等Web服务器一......
  • 常见web漏洞
    一、SQL注入漏洞描述:SQL注入是一种攻击手法,利用到了“应用程序通过合并用户提交的数据进行建立SQL语句”中的弱点,若应用程序收到用户输入时直接放入SQL语句,没有过滤敏感字符串,导致参数直接进入SQL查询语句,导致恶意攻击者通过漏洞可以获取数据库相关信息,包括数据库用户权限,数......
  • JMX 反序列化漏洞
    前言前段时间看到普元EOSPlatform爆了这个洞,ApacheJames,Kafka-UI都爆了这几个洞,所以决定系统来学习一下这个漏洞点。JMX基础JMX前置知识JMX(JavaManagementExtensions,即Java管理扩展)是一个为应用程序、设备、系统等植入管理功能的框架。JMX可以跨越一系列异构操作......