标签渗透案例下的文章 - 高先生笔记

累计撰写 126 篇文章
累计收到 209 条评论

高先生笔记

搜索到 3 篇与渗透案例的结果

2023-01-19
点击劫持漏洞 1.前言点击劫持就是一种视觉上的欺骗手段，攻击者使用一个透明的、不可见的iframe，覆盖在一个网页上，然后诱使用户在该网页上进行操作，此时用户在不知情的情况下点击了透明的iframe页面。通过调整iframe页面的位置，可以诱使用户恰好点击在iframe页面的一些功能性按钮上，攻击者常常配合社工手段完成攻击。（一般能被劫持就是网站缺少X-FRAME-OPTIONS）点击劫持一般在渗透测试中比较常见2.过程如何测试，有两种方法，今天就讲一种最简单常用的方式（burpsuite模块）在这里就用测过的一个站点做例子吧1）这是一个正常的站点 2）我们需要打开burpsuite，选择burp模块，再去选择一个点击劫持模块 3)复制payload，然后打开刚才的站点，选择开发者模式，把复制的payload粘贴到console模块 3.修复建议X-FRAME-OPTIONS是目前最可靠的方法。X-FRAME-OPTIONS是微软提出的一个http头，专门用来防御利用iframe嵌套的点击劫持攻击。并且在IE8、Firefox3.6、Chrome4以上的版本均能很好的支持。这个头有三个值：DENY：拒绝任何域加载SAMEORIGIN：允许同源域下加载ALLOW-FROM：可以定义允许frame加载的页面地址
- 2023年01月19日
- 26
- 0
- 0
2022-08-19
WordPress后台渗透案例方法1（文件上传漏洞）进入后台后，找到插件，把shell加入到zip压缩包中上传别急这是一个bug 接下来要做的就是访问路径域名/wp-content/upgrade/压缩包名称/webshell.php方法2（插件文件编辑器）接下来要做的就是访问路径域名/wp-content/plugins/akismet/index.php?接下来就可以为所欲为了
- 2022年08月19日
- 329
- 0
- 0
2022-08-19
HYBBS后台渗透案例 1.登后台，后台目录不太好找，先用户登陆，再点击管理后台。2.（文件上传漏洞）进入后台后，找到模板，但只能另从网上找下载，下载下来之后，把shell加入到zip压缩包中上传随后访问木马文件域名/View/webshell.php接下来就可以为所欲为了
- 2022年08月19日
- 188
- 1
- 0