最近讀完了《Web入侵安全測(cè)試與對(duì)策》，從中獲得了不少靈感。此書介紹了很多Web入侵的思路，以及國(guó)外著名安全站點(diǎn)，使我的眼界開闊了不少。在此，我重新把書中提到的攻擊模式整理歸納了一遍，并附上相關(guān)的一些參考資料，希望會(huì)對(duì)各位Web開發(fā)人員和安全測(cè)試人員有所幫助。

Web入侵攻擊方式

1.查找敏感信息

（1）HTML代碼中的注釋，隱藏域，及其他敏感信息。

現(xiàn)在很多工具可以幫助你分析網(wǎng)頁(yè)，比如：PageSpy，F(xiàn)irebug等等。

（2）服務(wù)端出錯(cuò)信息。比如:

（3）程序出錯(cuò)提示。

經(jīng)典例子是網(wǎng)站登陸，登陸的時(shí)候需要輸入賬號(hào)&密碼，如果服務(wù)器對(duì)于錯(cuò)誤賬號(hào)返回一個(gè)錯(cuò)誤信息“該賬號(hào)不存在”，對(duì)于錯(cuò)誤的密碼返回另外一個(gè)正確信息“賬號(hào)密碼錯(cuò)誤”。那么攻擊者就可以根據(jù)返回值猜測(cè)用戶名，并繼續(xù)下一步的攻擊。

2.猜測(cè)文件與目錄

如果你有過(guò)把一個(gè)論壇的Access數(shù)據(jù)庫(kù)下載下來(lái)的經(jīng)歷，那你應(yīng)該會(huì)對(duì)這種攻擊方式記憶猶新。另外，如果訪問(wèn)配置文件沒(méi)有好好保護(hù)，后果也一樣嚴(yán)重。

3.繞過(guò)客戶端的輸入限制/驗(yàn)證（客戶端的數(shù)據(jù)不可信）

繞過(guò)客戶端的驗(yàn)證或者限制有很多方式，直接把Web頁(yè)面的JavaScript腳本去掉，另外一種方式是，攔截發(fā)送包，直接把它改掉。

4.修改Cookie

你在大學(xué)圖書館的機(jī)器上有發(fā)現(xiàn)Cookie文件嗎？你是否想過(guò)把它的過(guò)期時(shí)間修改便可繼續(xù)使用呢？

網(wǎng)上有很多關(guān)于Cookie的文章，書中也推薦了一個(gè)外國(guó)站點(diǎn)：Dutchduck。，有興趣可以了解一下。

請(qǐng)聯(lián)系網(wǎng)站客服，了解詳細(xì)的優(yōu)惠課程信息~

優(yōu)質(zhì)、權(quán)威、便捷、省心