web安全

本文由红日安全成员： ruanruan 编写，如有不当，还望斧正。 大家好，我们是 红日安全-Web安全攻防小组 。此项目是关于Web安全的系列文章分享，还包含一个HTB靶场供大家练习，我们给这个项目起了一个名字叫 Web安全实战 ，希望对想要学习Web安全的朋友们有所帮助。每一篇文章都是于基于漏洞简介-漏洞原理-漏洞危害-测试方法（手工测试，工具测试）-靶场测试（分为PHP靶场、JAVA靶场、Python靶场基本上三种靶场全部涵盖）-实战演练（主要选择相应CMS或者是Vulnhub进行实战演练)，如果对大家有帮助请 Star 鼓励我们创作更好文章。如果你愿意加入我们，一起完善这个项目，欢迎通过邮件形式（ sec-redclub@qq.com ）联系我们。 1. XXE概述 XXE（XML External Entity Injection）即XML外部实体注入。漏洞是在对非安全的外部实体数据进行处理时引发的安全问题。 下面我们主要介绍PHP语言下的XXE攻击. 1.1 XML基础 XML是可扩展的标记语言（eXtensible Markup Language），设计用来进行数据的传输和存储。 1.1.1文档结构 XML文档结构包括XML声明、DTD文档类型定义（可选）、文档元素。 <!--XML声明--> <?xml version="1.0"?> <!--文档类型定义--> <

内容安全策略 (CSP, Content Security Policy) 是一个附加的安全层，用于帮助检测和缓解某些类型的攻击，包括 跨站脚本攻击 (XSS) 和数据注入等攻击。 这些攻击可用于实现从数据窃取到网站破坏或作为恶意软件分发版本等用途。内容安全策略在现代浏览器中已经包含，使用的是 W3C CSP 1.0 标准中描述的 Content-Security-Policy 头部和指令。 #####那么如何应用？ CSP 可以由两种方式指定：HTTP Header 和 HTML。HTTP 是在 HTTP 由增加 Header 来指定，而 HTML 级别则由 Meta 标签指定。 CSP 有两类：Content-Security-Policy 和 Content-Security-Policy-Report-Only。（大小写无关） HTTP header : "Content-Security-Policy:" 策略 "Content-Security-Policy-Report-Only:" 策略 HTTP Content-Security-Policy 头可以指定一个或多个资源是安全的，而Content-Security-Policy-Report-Only则是允许服务器检查（非强制）一个策略。多个头的策略定义由优先采用最先定义的。 HTML Meta : <meta

前言 上一篇文章写了关于 WEB 安全方面的实战，主要是解决 SQL 盲注的安全漏洞。这篇文章本来是要写一篇关于怎样防治 XSS 攻击的，可是想来想去，还是决定先从理论上认识一下 XSS 吧。下一篇文章，再深入研究怎样防治的问题。 概念 究竟什么是 XSS 攻击呢？XSS 攻击。全称是“跨网站脚本攻击”（Cross Site Scripting），之所以缩写为 XSS，主要是为了和“ 层叠样式表 ”（Cascading Style Sheets。CSS）差别开，以免混淆。 XSS 是一种常常出如今web应用中的计算机安全漏洞，它同意恶意web用户将代码植入到提供给其他用户使用的页面中。比方这些代码包含HTML代码和client脚本。对于跨站脚本攻击，黑客界共识是：跨站脚本攻击是新型的“缓冲区溢出攻击“，而JavaScript是新型的“ShellCode”。 XSS 是针对特殊 Web 网站的客户隐私的攻击，当客户具体信息失窃或受控时可能引发彻底的安全威胁。 大部分网站攻击仅仅涉及两个群体：黑客和 Web 网站，或者黑客和client受害者。 与那些攻击不同的是，XSS 攻击同一时候涉及三个群体：黑客、client和 Web 网站。 XSS 攻击的目的是盗走client cookies，或者不论什么能够用于在 Web 网站确定客户身份的其它敏感信息。手边有了合法用户的标记

一，同源策略 同源策略（Same origin policy）是一种约定，它是浏览器最核心也最基本的安全功能，如果缺少了同源策略，则浏览器的正常功能可能都会受到影响。可以说Web是构建在同源策略基础之上的，浏览器只是针对同源策略的一种实现。 设置目的： 二，内容安全策略 1，CSP指的是内容安全策略，为了缓解很大一部分潜在的跨站脚本问题，浏览器的扩展程序系统引入了内容安全策略（CSP）的一般概念。这将引入一些相当严格的策略，会使扩展程序在默认情况下更加安全，开发者可以创建并强制应用一些规则，管理网站允许加载的内容。 CSP以 白名单 的机制对网站加载或执行的资源起作用。在网页中， 这样的策略通过 HTTP 头信息或者 meta 元素定义 。CSP虽然提供了强大的安全保护，但是他也造成了如下问题：Eval及相关函数被禁用、内嵌的JavaScript代码将不会执行、只能通过白名单来加载远程脚本。这些问题阻碍CSP的普及，如果要使用CSP技术保护自己的网站，开发者就不得不花费大量时间分离内嵌的JavaScript代码和做一些调整，参考文献汇总的Content Security Policy 1.0 研究的技术可以自动化分离代码和数据，帮助网站支持CSP技术避免潜在的跨站攻击。 2，CSP语法 示例 来源： CSDN 作者： Tycoon_ys 链接： https://blog.csdn

简介 简介 1 前端JS过滤绕过 1 文件名过滤绕过 文件名过滤绕过 1 SSRF漏洞 1 SSRF漏洞 来源： https://www.cnblogs.com/xhds/p/12381395.html

12种开源Web安全扫描程序 转自：https://blog.csdn.net/wh211212/article/details/78620963 赛门铁克 的一个有趣的报告显示，76％的被扫描网站有恶意软件 如果您使用的是WordPress，那么SUCURI的另一份报告显示，超过70％的被扫描网站被感染了一个或多个漏洞。 作为网络应用程序所有者，您如何确保您的网站免受在线威胁的侵害？不泄露敏感信息？ 如果您正在使用基于云的安全解决方案，则最有可能定期进行漏洞扫描是该计划的一部分。但是，如果没有，那么你必须执行例行扫描，并采取必要的行动来降低风险。 有两种类型的扫描软件 商业(收费) - 给你一个选项来自动扫描持续的安全，报告，警报，详细的缓解说明等，行业中的一些已知的厂商是： Acunetix Detectify Qualys 开源/免费 - 您可以下载并按需执行安全扫描。但不能够覆盖所有漏洞，如商业漏洞。 看看下面的开源Web漏洞扫描器 1. Arachni Arachni 是一款基于Ruby框架构建的高性能安全扫描程序，适用于现代Web应用程序。它可用于Mac，Windows和Linux的便携式二进制文件 Arachnin能适用于下面的平台和语言 Windows, Solaris, Linux, BSD, Unix Nginx, Apache, Tomcat, IIS,

第一章 安全观 ACL 访问控制列表：是路由器和交换机接口的指令列表，用来控制端口进出的数据包。ACL适用于所有的路由协议，如IP、IPX、AppleTalk等。 SQL注入，XSS跨站脚本攻击，CSRF跨站点请求伪造 破坏永远比建设容易 机密性 完整性 可用性 可审计 不可抵赖 第二章 客户端脚本安全 2.1同源策略 web构建在同源策略之上，浏览器只是对同源策略的一种实现。 浏览器的同源策略，限制了来自不同源的“document”或脚本，对当前“document”读取或者设置某些属性。 对于当前页面来说，页面内存放javascript文件的域并不重要，重要的是 加载javascript的页面所在的域 是什么。 即b.js的源为加载了它的a.com而不是存放它的b.com。 在浏览器中，<script><img><iframe><link>等标签都可以跨域加载资源，而不受到同源策略的限制。这些带 src属性的标签每次加载时，实际上是由浏览器发起了一次GET请求 。 不同于XMLHttpRequest的是，通过src属性加载的资源，浏览器限制了Javascript的权限，使其不能读、写返回的内容。 来源： https://www.cnblogs.com/tutu-juejue/p/10479383.html

0x00 概述 传统的渗透方法：通过信息收集来扩大攻击面 现代的渗透方法：代码审计，挖掘漏洞。 通过代码审计，能不断学习，挖掘更新的漏洞。 SRC： 如果通过传统的渗透的方法，一个站点一个站点的找过去，可能10天能拿到10个站 但是如果通过现代的渗透方法，花10天时间审计处一个cms的0day，那么你能够通杀一整批20,40,60,80个，只要是用这个cms的站全部通杀，一下子就把src榜给占住了。 一般在工作中，给的资产都是固定的，并且补天等src上明确也规定了测试的范围。所以信息收集扩大攻击面的方式不好使。 以下是传统的信息搜集方法： 单兵完成APT：可持续性渗透攻击 一般国家层面上要用到APT这个概念：即不管目标防护怎么面，一定要拿下某个目标。 那么为了拿下某个目标，首先要做的就是信息收集，扩大攻击面。 信息搜集要点一：分析目标的特性是什么？ 比如说目标是一个高校的主站，那么该怎么做信息搜集呢？ 旁站，子域名，相关连接的爬去，因为他有非常多的web服务子站，有很多的小门户站。这边以为这有更多的功能模块能测！如果只有一个主站的登录页面，没有什么功能模块能测。 cms比较多，大家都用了通用的建站模板，或者通过二次开发来建站的 假如说目标是一个棋牌娱乐网站，该怎么做信息搜集？ 一般有app，可以做app测试 交易功能模板 短信验证模块：以上两个模块一定不是自己写的

什么是web？ web即万维网（World Wide Web）也可是说是我们通常所说的www.xxxx.com web的发展史： 第一阶段 web1.0 主要有个人网站，门户站点组成。主要是静态页面为用户提供信息，是浏览器与人之间的交互。 此时安全问题主要是SQL注入，上传漏洞，文件包含等针对web服务器的攻击 第二阶段 web2.0 如微博等，通过发表文章实现人与人之间的交互。 此时安全问题更加复杂多样，由xss为主的各种安全问题越来越针对于用户。 web流程： 用户——————浏览器————————服务器——————数据库 浏览器工作原理： 浏览器根据用户输入的域名活动web服务器的ip地址（即DNS解析），在通过ip地址和HTTP协议去访问web服务器 来源： CSDN 作者： 网络谢霆锋 链接： https://blog.csdn.net/qq_23321269/article/details/104511546

　　常见WEB漏洞：HTML5安全与防御 　　1、HTML5概述 　　HTML5 是定义 HTML 标准的最新的版本，5的原因是它是HTML的第五次重大修改，标准于14年10月29日完成。作为HTML的升级版，它有更大的技术集，引入了新的标签、属性、方法和功能等，允许更多样化和强大的网站和应用程序。 　　比如说新增了<section>, <article>, <nav>, <header>等标签，再比如说新增了现在比较流行的SVG的支持，还有比如新增了Web Storage本地存储等等，更多的HTML5新增的特性就需要大家自己进一步去了解了，具体可以参考： 　　https://developer.mozilla.org/zh-CN/docs/Web/Guide/HTML/HTML5 　　安全问题一般都伴随着功能出现，所以HTML5的出现，自然而然伴随着功能就产生一些可以被利用的安全问题或者扩大了原来的一些攻击方法的攻击面或者攻击点；由于HTML5是Web标准，所以一些问题主要是集中在前端安全。 　　2 、新功能的引入带来的新的攻击 　　2.1 新标签、属性加入，拓宽攻击方法 　　新标签、属性的出现，对于前端攻击中基于标签、属性的一些攻击方法，比如XSS，等于多了一些新的黑名单绕过方式。最简单的方式就是特征识别，举个例子：这样一个XSS Payload： 　　<script