最近讀完了《Web入侵安全測試與對策》，從中獲得了不少靈感。此書介紹了很多Web入侵的思路，以及國外著名安全站點(diǎn)，使我的眼界開闊了不少。在此，我重新把書中提到的攻擊模式整理歸納了一遍，并附上相關(guān)的一些參考資料，希望會(huì)對各位Web開發(fā)人員和安全測試人員有所幫助。

Web入侵攻擊方式

1.查找敏感信息

（1）HTML代碼中的注釋，隱藏域，及其他敏感信息。

現(xiàn)在很多工具可以幫助你分析網(wǎng)頁，比如：PageSpy，F(xiàn)irebug等等。

（2）服務(wù)端出錯(cuò)信息。比如:

（3）程序出錯(cuò)提示。

經(jīng)典例子是網(wǎng)站登陸，登陸的時(shí)候需要輸入賬號(hào)&密碼，如果服務(wù)器對于錯(cuò)誤賬號(hào)返回一個(gè)錯(cuò)誤信息“該賬號(hào)不存在”，對于錯(cuò)誤的密碼返回另外一個(gè)正確信息“賬號(hào)密碼錯(cuò)誤”。那么攻擊者就可以根據(jù)返回值猜測用戶名，并繼續(xù)下一步的攻擊。

2.猜測文件與目錄

如果你有過把一個(gè)論壇的Access數(shù)據(jù)庫下載下來的經(jīng)歷，那你應(yīng)該會(huì)對這種攻擊方式記憶猶新。另外，如果訪問配置文件沒有好好保護(hù)，后果也一樣嚴(yán)重。

3.繞過客戶端的輸入限制/驗(yàn)證（客戶端的數(shù)據(jù)不可信）

繞過客戶端的驗(yàn)證或者限制有很多方式，直接把Web頁面的JavaScript腳本去掉，另外一種方式是，攔截發(fā)送包，直接把它改掉。

4.修改Cookie

你在大學(xué)圖書館的機(jī)器上有發(fā)現(xiàn)Cookie文件嗎？你是否想過把它的過期時(shí)間修改便可繼續(xù)使用呢？

網(wǎng)上有很多關(guān)于Cookie的文章，書中也推薦了一個(gè)外國站點(diǎn)：Dutchduck。，有興趣可以了解一下。

請聯(lián)系網(wǎng)站客服，了解詳細(xì)的優(yōu)惠課程信息~

優(yōu)質(zhì)、權(quán)威、便捷、省心