[讨论]Html站检测的思路

思路, Html, 检测, 讨论

[讨论]Html站检测的思路
信息来源：邪恶八进制信息安全团队（www.eviloctal.com）
议题作者：kahadis

最近学习Web入侵的时候碰到了一些Html的站，在Google和Baidu上了一些文章，其实自己也知道Html的站目前来说是很安全的，但是也不是无懈可击的，一般一些Html的站后台是动态的，在前台可以生成Html页面，看到一些Blog上说的用WSockExpert抓取Html的一些动态的连接，但还要有一点运气.但是小菜我也试过这样的方法没有成功过，不知是不是操作有误？

小菜的疑问有：
一、WSockExpert抓取到的数据包，怎样去分析可利用的地方？
二、服务器上只有一个站、或者有多个分站但都是Html的，不存在其他动态的站可利用旁注,C段一般很难利用，这个时候该怎么做？
三、除了抓取网页中的数据包这种方法，还有其他办法么？
希望邪八的大牛们能不吝赐教......网络上也没有太多的提示....小菜我实在想突破.....
帖子1 精华0 积分3 阅读权限40 性别男在线时间16 小时注册时间2007-1-26 最后登录2008-4-1 查看详细资料引用报告回复 TOP 您知道您年薪应是多少?

pixy

荣誉会员

alunn

3.A.S.T士兵

Rank: 1

帖子: 20
积分: 30
威望: 40
金钱: 40
在线时间: 0 小时

2楼

发表于 2008-7-21 00:51 | 只看该作者

html的注入我称他为xss(跨站)
html是静态网页文本，源码都可以直接看的。
至于抓取html的包，我还没做过,看下一楼吧

看了下面2楼，我想到了一个问题。
是的，在一些交互式登陆地方或者在一些能输入文本的地方，输入些特殊值看看，或者构造注入点！

都忘记说这点了。

TOP

top6

3.A.S.T士兵

Rank: 1

帖子: 19
积分: 25
威望: 30
金钱: 30
在线时间: 0 小时

3楼

发表于 2008-7-21 00:51 | 只看该作者

HTML站啊``貌似只有插死死（XSS）`疯狂地找能插的地方`插死为止。
嘎嘎。最简单的办法是找到后台入口或者暴力扫描存在的管理目录，然后很多事情就可以做了。
帖子3 精华0 积分5 阅读权限40 在线时间1 小时注册时间2008-1-9 最后登录2008-3-9 查看详细资料引用报告回复 TOP 您知道您年薪应是多少?

simao5399

晶莹剔透§烈日灼然

TOP

拖车文

3.A.S.T士兵

Rank: 1

帖子: 35
积分: 53
威望: 70
金钱: 69
在线时间: 0 小时

4楼

发表于 2008-7-21 00:51 | 只看该作者

一般的来说HTML有下面几个地方可以抓包分析：
，登陆口，发表口——如果有自助申请友情连接的就更完美了``这些都算是基本组成`如果一个服务器上就一个站``而且没有这些东西` ``貌似这个服务器也没啥拿的价值``

帖子3 精华0 积分5 阅读权限40 在线时间1 小时注册时间2008-1-9 最后登录2008-3-9 查看详细资料引用报告回复 TOP

est

晶莹剔透§烈日灼然

TOP

教授2

3.A.S.T士兵

Rank: 1

帖子: 14
积分: 20
威望: 26
金钱: 24
在线时间: 0 小时

5楼

发表于 2008-7-21 00:51 | 只看该作者

LZ看到的HTML应该是URL映射的，aspx和php的映射一般可以推断出原始.aspx和.php文件的，再找跨站即可
帖子15 精华0 积分26 阅读权限40 在线时间8 小时注册时间2005-11-11 最后登录2008-6-22 查看详细资料引用报告回复 TOP 让女孩一夜变的更有女人味

hackmin