Board logo

标题: 了解黑客WEB站点入侵常规方法 [打印本页]

作者: 拓海之舟    时间: 2010-11-6 17:28     标题: 了解黑客WEB站点入侵常规方法

web 入侵工作流程:

远程攻击,收集情报。远程登录,获取 WEBSHELL 取得普通用户的权限,取得超级用户的权限,留下后门,清除日志。主要内容包括目标分析,文档获取,破解密码,日志清除等技术。

1:0day.

2: 已知漏洞

服务软件漏洞 , 包括已知 WEB 顺序漏洞 . 操作系统漏洞 ,EXP nday.

3:WEB 顺序上传漏洞

4: 注入漏洞

根据顺序返回的结果,获得非正常用户能得到数据,如管理员 ID, 对存在漏洞的顺序 , 用户可以提交一段数据库查询代码。密码 , 帐户信息.甚至控制数据库,通过数据库入侵系统.这个就是 sql 注入式攻击( SQLinject

5: 旁侵 ( 旁注 )

可以找下和这个站同一服务器的站点,然后在利用这个站点用提权,嗅探等方法来入侵我要入侵的站 点。打个形象的比喻,比方你和我一个楼 家很安全 , 入侵某站时可能这个站坚固的无懈可击。而你家呢 却漏洞百出 现在有个贼想入侵我家 对我家做了监视 ( 也就是扫描 ) 发现没有什么可以利用的东西 那么这个贼发现你家和我家一个楼 家很容易就进去了可以先进入你家 然后通过你家得到整个楼的钥匙 ( 系统权限 ) 这样就自然得到钥匙了就可以进入我家 ( 网站 )

6: COOKIE 诈骗

比方 IP 姓名什么的 COOKIE 上网时由网站所为你发送的值记录了一些资料。

把自己的 ID 修改成管理员的 MD5 密码也修改成他有工具可以修改 COOKIE 这样就答到 COOKIE 诈骗的目的系统以为你就是管理员了 怎样诈骗呢?如果我现在已经知道了 XX 站管理员的站号和 MD5 密码了但是破解不出来密码 MD5 加密后的一个 16 位的密码)就可以用 COOKIE 诈骗来实现。

arp 7: 嗅探 ( sniffer.

则可能通过前面几个方法入侵本 C 段下的机器 , 如果目标服务器太强悍 . 再通过这台机器嗅探目标服务器敏感信息 , 但这两台机器必须在同一个域下 , 如果是内网还可以通过 DNS 欺骗 , 主动 , 主动会话劫持等攻击目标主机 .

7: 社会工程学( Social Engineer

一种通过对受害者心理弱点、天性反应、好奇心、信任、贪婪等心理陷阱进行诸如欺骗、

从合法用户中套取用户系统的秘密,社会工程学通常以交谈、欺骗、假冒或口语等方式。例如:用户名单、用户密码及网络结构。
作者: 纷飞    时间: 2011-7-17 18:27

能看懂,写的不错
作者: 纷飞    时间: 2011-7-17 18:27

能看懂,写的不错




欢迎光临 【3.A.S.T】网络安全爱好者 (http://3ast.com./) Powered by Discuz! 7.2