渗透测试需要哪些知识!需要学习哪些编程语言!希望详细啊
asp
jsp
php
aspx
mysql
sqlserver
oracle
apache
tomcat
iis
windows2003
linux
常见的漏洞,比如命令执行,解析漏洞等等
请教一道xss练习题
XSS 练习
from my wp blog
一个不错的网站,不错的渗透教程
虽然是很基础的东西,但是涵盖了好多知识
9道XSS练习题
解题过程
url参数直接写进html里面
?name=scriptalert(1)/script
若果过滤script/script
不妨sCript/sCript
全过滤则是PentestscripterLab显示PentesterLab
则是scripscripttalert(1)/scrip/scriptt
若果怎样的script都不管用了,制造一堆事件
a href=’javascript:alert(1)’
img src=’zzzz’ onerror=’alert(1)’ /.
onmouseout, onmousemove….
alter被过滤
用 eval 和 String.fromCharCode()
把ascii数字转成字符再执行,可以获得alert(1)
prompt 和 confirm也是弹窗
若果?name=的值是写入script/script里面的,比如var s=””
那就在?name=“;alert(1);”,把东西写到双引号直接,注意每句结尾的分号
hp会把输出的内容html编码,htmlentities,,,,但是单引号’不在内
有些post提交表单是使用PHP_SELF,那么action的值就是url
这样修改url,../example8.php/scriptalert(0)/script好了
面对静态文件,不要慌,看看里面的js怎么写的
js对url进行操作,写进html里,那就改url
把script嵌进里面/script
要学习 *** 安全方面基础知识要怎么学习本人想往 ***
*** 安全,主要是以 *** 服务为主,首先应该学习一下计算机的 *** 基础。例如IP应用主要是分析 *** 抓包后的代码,然后学习一下网站的编写例如PHP等。在了解下端口应用,和计算机常规漏洞,基本就差不多了
XSS小问题
page= ;alert(document.cookie);
你没有闭合双引号,导致;alert(document.cookie); 成了变量的值了
右键网页源码中如下:var page=";alert(document.cookie);";
正确答案其实有很多种只要闭合两端的引号 中间的js代码可以有多种变化。
";\u0061lert(document.cookie);"
";alert(document.cookie);//
这是很基础的问题
慢慢学 多去wooyun知识库看看
查找储存型xss 反射型xss漏洞 HTML xml js 都要学到哪
先把最基础的html知识学好再说吧,这些所谓xss漏洞无非是熟而钻空而已
学习 *** 安全需要哪些基础知识?
1学习编程语言(php+mysql+js+html)
原因:php+mysql可以帮助你快速的理解B/S架构是怎样运行的,只有理解了他的运行原理才能够真正的找到问题/漏洞所在。所以对于国内那些上来就说渗透得培训我是很鄙视的js+html可以帮助你理解到XSS的payload构造,以及Dom型的XSS挖掘。注意我这是没有说不会 *** 就找不到XSS漏洞,只不过是不能构造payload以及DOM型的XSS挖掘的2. 学习运维原因:关于内网渗透的时候会有大用!比如说那些配置文件在哪里,DNS怎么查看之类的,这里的运维不是说什么去学Linux怎么用,而是让你去学习各个服务是怎么配置出来的,记住他们的配置文件所在3. 入门渗透学习路径:1.SQL注入2. XSS漏洞3. CSRF漏洞4. 文件上传5. 解析漏洞6. 代码执行7. 命令执行8. 文件包含9. SSRF漏洞以上漏洞的原理都在白帽子讲web安全一书中有说道。注意!必须学习完之一步才可以继续学习第三步,不然你会发现买来也没什么卵用 看不懂4. 深入漏洞这个东西是讲不出来的,只可意会不可言传最后给你一句忠告:渗透测试的本质是信息收集,深度是漏洞开发当然在你入门后可以加 *** 群一起讨论交流:752228676
几乎零基础,想从基础学习渗透测试该如何进行?
这个要根据个人的实际情况来决定的,比如你先要去了解什么是渗透测试:
1、渗透测试属于信息安全行业,准确的说是 *** 计算机/IT行业
2、现在你知道了它的行业属性,那么你是否具备一些这个行业的知识呢?
3、具备的话学习起来比较简单,直接去学习渗透测试实战就行,不具备接着往下看
4、现在知道它行业属性,你大概就能清楚需要些什么样的基础知识了;下面是我从非计算机 *** 相关专业的同学想要学习渗透测试必须掌握的知识。
5、前期入门大概需要掌握或者说了解以下知识点:
1)了解基本的 *** 知识,例如什么是IP地址(63.62.61.123)去掉点是 *** 学习群,IP地址的基本概念、IP段划分、什么是A段、B段、C段等2)广域网、局域网、相关概念和IP地址划分范围。
3)端口的基本概念?端口的分类?
4)域名的基本概念、什么是URL、了解TCP/IP协议、
5)了解开放式通信系统互联参考模型(OSI)
6)了解http(超文本传输协议)协议概念、工作原理
7)了解WEB的静态页面和WEB动态页面,B/S和C/S结构
8)了解常见的服务器、例如、Windows server2003、Linux、UNIX等
9)了解常见的数据库、MySQL、Mssql、、Access、Oracle、db2等
10)了解基本的 *** 架构、例如:Linux + Apache + MySQL + php
11)了解基本的Html语言,就是打开网页后,在查看源码里面的Html语言
12)了解一种基本的脚本语言、例如PHP或者asp,jsp,cgi等
然后你想学习入门,需要学习以下最基础的知识:
1、开始入门学习路线
1)深入学习一种数据库语言,建议从MySQL数据库或者SQL Server数据库、简单易学且学会了。
其他数据库都差不多会了。
2)开始学习 *** 安全漏洞知识、SQL注入、XSS跨站脚本漏洞、CSRF、解析漏洞、上传漏洞、命令执行、弱口令、万能密码、文件包含漏洞、本地溢出、远程溢出漏洞等等
)工具使用的学习、御剑、明小子、啊D、穿山甲(Pangolin)、Sqlmap、burpsuite抓包工具等等
2、Google hacker 语法学习
3、漏洞利用学习、SQL注入、XSS、上传、解析漏洞等
4、漏洞挖掘学习
5、想成为大牛的话、以上都是皮毛中的皮毛,但前提是以上的皮毛都是最基础的。
6、Linux系统命令学习、kali Linux 里面的工具学习、Metesploit学习
7、没事多逛逛安全论坛、看看技术大牛的文章、漏洞分析文章等