web安全专项技术培训.pptx

;议程;漏洞利用-商达讯网店系统注入漏洞;漏洞利用-商达讯网店系统注入漏洞(1);漏洞利用-商达讯网店系统注入漏洞(2);漏洞利用-商达讯网店系统注入漏洞(3);漏洞利用-文件包含漏洞;漏洞利用-文件包含漏洞(1);漏洞利用-文件包含漏洞(2);手工注入;利用演示;利用演示;利用演示;手工注入（0）;手工注入（1-1）;手工注入（1-2）;手工注入（1-3）;手工注入（1-4）;手工注入（1-5）;手工注入（1-6）;手工注入（1-7）;拓展（1-1）;拓展（2-1）;拓展（2-2）;拓展（3-1）;拓展（3-2）;拓展（3-3）;拓展（3-4）;新手注入工具-啊D;2.扫描注入点 打开啊D注入工具，选择”注入检测“的”扫描注入点“子项。在检测网址中粘贴刚复制出来的地址，单击“打开网页” 或者直接回车。 此时啊D注入工具会扫该链接下的所有可用注入点。;注入点会在界面的下方的“可用注入点”列表框中以红色字体显示。 (刚打开时有可能没 有可用注入点，因为此时此工具正在扫描注入点，随着扫描的时间推移就会有更多的注入点。如果当扫描结束了没有注入点的话就要更换“: {}”的数字了，再重复上面的步骤直到出现可用的注入点才能进行下面的步骤。);3.注入点检测 双击一条扫描出来的地址，界面自动跳转到“注入检测”，单击“检测”按钮。（如果提示“这个链接不能注入！请选择别的链接”，则重新换一条链接再执行本步骤。直到不出现提示，?左下角提示“检测完成”。）可以得出数据库类型。;4.“检测表段”和“检测字段”此时会扫描数据库中可注入的数据表。当检测完成之后没有可用的表时重新执行步骤3，直到有可用的数据表。;55解密;6.管理入口检测单击“检测管理入口”，检测到的登陆入口会在“可用链接和目录位置”的列表框中显示。然后选择一个匹配的链接输入检测到的内容即可进入网站的管理后台。注：一条数据只能和该条数据关联的页面匹配，如果在一个界面登陆不成功则考虑换一个链接从新来过。;登录后台;劫持工具;在使用""工具进行渗透入侵前，必须安装组件;入侵控制的主机，可能是单独的一台主机，也可能位于某个网络中；主机上可能只安装了一块网卡，也可能安装了多块网块全面地了解远??主机上的网络信息是进一步渗透入侵攻击前所必需的。 在远程控制木马的命令控制窗口中，执行命令： ;扫描远程主机子网中所有的主机地址，命令格式为： 网卡索引号 ;嗅探所有“172.16.2.*"网段的主机与服务器"172.16.2.102"之间的网络信息数据，并从中捕获密码，保存在""文件中。;也可以设置嗅探指定协议的密码，如嗅探密码，可执行命令： 1 192.168.1.* 192.168.1.10 "" " 21" 要嗅探常见的密码，可执行命令： 1 192.168.1.* 192.168.1.10 "" " 80" ;假设在子网内某台计算机公网的地址为“172.16.2.102"，该主机设置了地址限制，只允许地址“172.16.2.105"访问，而攻击者本机的地址是“172.16.2.109"，如果想入侵这台连接受制限的主机，可以执行命令;渗透工具包 ; 核心命令; ; ; ; ;Any Questions?;1在企业内部，只有成本。 21世纪，没有危机感是最大的危机。 如果有一个项目，首先要考虑有没有人来做。 如果没有人做，就要放弃，这是一个必要条件。 20世纪是生产率的世纪，21世纪是质量的世纪，质量是和平占领市场最有效的武器。 把一件简单的事做好就不简单，把每一件平凡的事做好就不平凡。 自古以来的伟人，大多是抱着不屈不挠的精神，从逆境中挣扎奋斗过来的。08-五月-2006:03五月-20 科学技术的进步将会给人们的生活带来巨大的影响，而人们要不断适应这种时代的变化，而不要坐等未来，失去自我发展的良好机2020-05-08会。2020-05-08 06:03:03 不只奖励成功，而且奖励失败。 一个人想要成功，就要学会在机遇从头顶上飞过时跳起来抓住它。这样逮到机遇的机会就会增大。06:03:0306:03五月-20 公平不是总存在的，在生活学习的各个方面总有一些不能如意的地方。但只要适应它，并坚持到底，总能收到意想不到的成效。 花费数百元买一本书，便可以获得别人的智慧经验。然而，如果你全盘模仿，不加思考，那有时就会画虎不成反类犬。 不能搞平均主义，平均主义惩罚表现好的，鼓励表现差的，得来的只是一支坏的职工队伍。五月-2006:03 利人为利已的根基，商业经营上老是为自己着想，而不顾及到他人，利也就可能随之“飞”了。 管理就是把复杂的问题简单化，把混乱的事情规范化。 质量等于利润。五月-200