web安全专项技术培训.pptxVIP

web安全;议程;漏洞利用-商达讯网店系统注入漏洞;漏洞利用-商达讯网店系统注入漏洞(1);漏洞利用-商达讯网店系统注入漏洞(2);漏洞利用-商达讯网店系统注入漏洞(3);漏洞利用-文件包含漏洞;漏洞利用-文件包含漏洞(1);漏洞利用-文件包含漏洞(2);手工注入-Access;利用演示;利用演示;利用演示;手工注入-mysql（0）;手工注入-mysql（1-1）;手工注入-mysql（1-2）;手工注入-mysql（1-3）;手工注入-mysql（1-4）;手工注入-mysql（1-5）;手工注入-mysql（1-6）;手工注入-mysql（1-7）;Mysql-拓展（1-1）;Mysql-拓展（2-1）;Mysql-拓展（2-2）;Mysql-拓展（3-1）;Mysql-拓展（3-2）;Mysql-拓展（3-3）;Mysql-拓展（3-4）;新手注入工具-啊D;2.扫描注入点 打开啊D注入工具，选择”注入检测“的”扫描注入点“子项。在检测网址中粘贴刚复制出来的URL地址，单击“打开网页” 或者直接回车。 此时啊D注入工具会扫该链接下的所有可用注入点。;注入点会在界面的下方的“可用注入点”列表框中以红色字体显示。 (刚打开时有可能没 有可用注入点，因为此时此工具正在扫描注入点，随着扫描的时间推移就会有更多的注入点。如果当扫描结束了没有注入点的话就要更换“inurl: {asp=XXXX}”的数字了，再重复上面的步骤直到出现可用的注入点才能进行下面的步骤。);3.注入点检测 双击一条扫描出来的URL地址，界面自动跳转到“SQL注入检测”，单击“检测”按钮。（如果提示“这个链接不能SQL注入！请选择别的链接”，则重新换一条链接再执行本步骤。直到不出现提示，?左下角提示“检测完成”。）可以得出数据库类型。;4.“检测表段”和“检测字段”此时会扫描数据库中可注入的数据表。当检测完成之后没有可用的表时重新执行步骤3，直到有可用的数据表。;5.MD5解密;6.管理入口检测单击“检测管理入口”，检测到的登陆入口会在“可用链接和目录位置”的列表框中显示。然后选择一个匹配的链接输入检测到的内容即可进入网站的管理后台。注：一条数据只能和该条数据关联的页面匹配，如果在一个界面登陆不成功则考虑换一个链接从新来过。;登录后台;劫持工具-hijack;在使用hijack.exe工具进行渗透入侵前，必须安装winpcap组件;入侵控制的主机??可能是单独的一台主机，也可能位于某个网络中；主机上可能只安装了一块网卡，也可能安装了多块网块--全面地了解远程主机上的网络信息是进一步渗透入侵攻击前所必需的。 在远程控制木马的命令控制窗口中，执行命令： hijack -L ;扫描远程主机子网中所有的主机IP地址，命令格式为： hijack exe -d 网卡索引号 -s ;嗅探所有“172.16.2.*网段的主机与服务器02之间的网络信息数据，并从中捕获密码，保存在pass.log文件中。;也可以设置嗅探指定协议的密码，如嗅探FTP密码，可执行命令： hijack -d 1 -r -f -O pass.log 192.168.1.* 0 USER|PASS tcp and dst port 21 要嗅探常见的HTTP密码，可执行命令： hijack -d 1 -r -f -O pass.log 192.168.1.* 0 username=|password= tcp and dst port 80 ;假设在子网内某台计算机公网的IP地址为“02，该主机设置了IP地址限制，只允许IP地址“05访问，而攻击者本机的IP地址是“09，如果想入侵这台连接受制限的主机，可以执行命令;渗透工具包-Metasploit Framework;Metasploit Framework-核心命令;Metasploit Framework-search;Metasploit Framework-info;Metasploit Framework-use;Metasploit Framework-set;Any Questions?;9、春去春又回，新桃换旧符。在那桃花盛开的地方，在这醉人芬芳的季节，愿你生活像春天一样阳光，心情像桃花一样美丽，日子像桃子一样甜蜜。7月-217月-21Friday, July 16, 2021 10、人的志向通常和他们的能力成正比例。12:25:1512:25:1512:257/16/2021 12:25:15 PM 11、夫学须志也，才须学也，非学无以广才，非志无以成学。7月-2112:25:1512:25Jul-2116-Jul-21 12、越是无能的人，越喜欢挑剔别人的错儿。12:2