模拟web攻击软件_什么叫模拟攻击

导航：

• 1、如何进行Web渗透测试
• 2、web网页防篡改什么软件好？
• 3、如何攻击WEB应用程序
• 4、有什么软件能在本地模拟web服务器的？

如何进行Web渗透测试

什么是渗透测试？

渗透测试，是渗透测试工程师完全模拟黑客可能使用的攻击技术和漏洞发现技术，对目标网络、主机、应用的安全作深入的探测，发现系统最脆弱的环节。

如何进行Web渗透测试？

完整web渗透测试框架当需要测试的web应用数以千计，就有必要建立一套完整的安全测试框架，流程的最高目标是要保证交付给客户的安全测试服务质量。

1、立项：项目建立，时间安排，人力分配，目标制定，厂商接口人确定；

系统分析威胁分析：针对具体的web应用，分析系统架构、使用的组件、对外提供的接口等，以STRIDE为威胁模型进行对应的安全威胁分析，输出安全威胁分析表，重点关注top3威胁；

制定测试用例：根据威胁分析的结果制定对应的测试用例，测试用例按照模板输出，具备可执行性；

测试执行漏洞挖掘：测试用例执行发散测试，挖掘对应的安全问题or漏洞；

问题修复回归测试：指导客户应用开发方修复安全问题or漏洞，并进行回归测试，确保安全问题or漏洞得到修复，并且没有引入新的安全问题；

项目总结评审：项目过程总结，输出文档评审，相关文档归档。

2、Web应用的渗透测试流程

主要分为3个阶段，分别是：信息收集→漏洞发现→漏洞利用，下面仔细分析一下各个阶段流程：

一、信息收集

在信息收集阶段，我们需要尽量多的收集关于目标web应用的各种信息，比如：脚本语言的类型、服务器的类型、目录的结构、使用的开源软件、数据库类型、所有链接页面，用到的框架等

脚本语言的类型：常见的脚本语言的类型包括：php、asp、aspx、jsp等

测试方法：

1 爬取网站所有链接，查看后缀

2 直接访问一个不存在页面后面加不同的后缀测试

3 查看robots.txt，查看后缀

服务器的类型：常见的web服务器包括：apache、tomcat、IIS、ngnix等

测试方法：

1 查看header，判断服务器类型

2 根据报错信息判断

3 根据默认页面判断

目录的结构：了解更多的目录，可能发现更多的弱点，如：目录浏览、代码泄漏等。

测试方法

1 使用字典枚举目录

2 使用爬虫爬取整个网站，或者使用google等搜索引擎获取

3 查看robots.txt是否泄漏

使用的开源软件：我们如果知道了目标使用的开源软件，我们可以查找相关的软件的漏洞直接对网站进行测试。

测试方法

指纹识别（网络上有很多开源的指纹识别工具）

数据库类型：对于不同的数据库有不同的测试方法。

测试方法

1 使应用程序报错，查看报错信息

2 扫描服务器的数据库端口（没做NAT且防火墙不过滤时有效）

所有链接页面：这个跟前面的获取目录结构类似，但是这个不只是获取网站的所有功能页面，有时候还可以获取到管理员备份的源码。

测试方法

1 使用字典枚举页面

2 使用爬虫爬取整个网站，或者使用google等搜索引擎获取

3 查看robots.txt是否泄漏

用到的框架：很多网站都利用开源的框架来快速开发网站，所以收集网站的框架信息也是非常关键的。

测试方法

指纹识别（网络上有很多开源的指纹识别工具）

二、漏洞发现

在这个阶段我们在做测试的时候要对症下药，不能盲目的去扫描，首先要确定目标应用是否使用的是公开的开源软件，开源框架等、然后在做深一度的漏洞扫描。

关于开源软件的漏洞发现

开源的软件：常见的开源软件有wordpress、phpbb、dedecms等

开源的框架：常见的开源框架有Struts2、 Spring MVC、ThinkPHP等

中间件服务器：常见的中间件服务器有jboss、tomcat、Weblogic等

数据库服务：常见的数据库服务mssql、mysql、oracle、redis、sybase、MongoDB、DB2等

对于开源软件的测试方法

1 通过指纹识别软件判断开源软件的版本信息，针对不同的版本信息去开放的漏洞数据库查找相应版本的漏洞进行测试

2 对于默认的后台登录页、数据库服务端口认证等入口可以进行简单的暴力破解、默认口令尝试等操作

3 使用开源的漏洞发现工具对其进行漏洞扫描，如：WPScan

关于自主开发的应用

手动测试：这个阶段，我们需要手工测试所有与用户交互的功能，比如：留言、登入、下单、退出、退货、付款等操作

软件扫描：使用免费的软件扫描，如：appscan、wvs、netsparker，burp等

可能存在的漏洞

Owasp关键点

代码安全之上传文件

代码安全之文件包含

代码安全之SSRF

逻辑漏洞之密码重置

逻辑漏洞之支付漏洞

逻辑漏洞之越权访问

平台安全之中间件安全

三、漏洞利用

针对不同的弱点有不同的漏洞利用方式，需要的知识点也比较多。一般这个阶段包括两种方式，一种是手工测试，一种是工具测试

手工测试

手工测试是通过客户端或服务器访问目标服务，手工向目标程序发送特殊的数据，包括有效的和无效的输入，观察目标的状态、对各种输入的反应，根据结果来发现问题的漏洞检测技术。手工测试不需要额外的辅助工具，可由测试者独立完成，实现起来比较简单。但这种方法高度依赖于测试者，需要测试者对目标比较了解。手工测试可用于Web应用程序、浏览器及其他需要用户交互的程序。

这种方式对于有特殊过滤等操作，或者网络上没有成型的利用工具的时候可以使用。

工具测试

网络上有很多好用的免费利用工具，比如针对sql注入的sqlmap、针对软件漏洞的matesploit等。

web网页防篡改什么软件好？

很多的防篡改应用防篡改效果其实并不大理想。可以考虑下云尖软件，云尖软件的ieGuard网页防篡改安全系统。云尖软件是国内资深的网站安全、数据安全提供商；专业为政府、金融、电信等大行业客户提供全方面的信息建设咨询和安全服务。云尖（北京）软件有限公司的技术团队拥有多年互联网应用安全攻防、WEB应用和数据库安全防御和审计的深厚技术背景与丰富安全实践经验，以全球领先具有完全自主知识产权的专利技术，致力于为客户提供WEB应用安全和数据库安全的深度风险评估、安全加固、安全审计、不良网站监测等全面解决方案。

如何攻击WEB应用程序

当然，我们对安全问题越来越重视，影响安全的因素有很多。如，病毒、间谍软件、漏洞等。而恶意软件由来已久，远远超出了我们的记忆。特别是在当今，特洛伊木马等恶意代码日益横行，这种趋势好像并没有减缓的迹象。不过，恶意软件问题比起攻击者通过利用脆弱的应用程序服务器窃取大量的关键信息来说，显得还是相形见绌。

南昌网站建设

带你了解对WEB应用服务器的三种攻击:

Blind SQL 注入式攻击

Blind SQL注入式攻击是发动攻击的另一个方法，但却是另一种略有不同的方法。在执行一次标准的SQL注入式攻击时，攻击者将一个SQL查询插入到一个WEB应用程序中，期望使服务器返回一个错误消息。这种错误消息能够使攻击者获得用于执行更精确的攻击所需要的信息。这会致使数据库管理员相信只要消除这种错误的消息就会解决引起SQL注入式攻击的潜在的问题。管理员可能不会认识到虽然这样会隐藏错误消息，这种脆弱性仍然存在。这样会为攻击者增加点儿困难，却不能阻止攻击者使用错误消息收集信息，攻击者会不断地将伪造的SQL查询发送给服务器，以期获得对数据库的访问。

SQL 注入式攻击

SQL注入式攻击如今日益成为互联网上窃取机密信息的受欢迎的途径。一次SQL注入式攻击都包含这样一种方法：攻击者在一个WEB表单的搜索字段中输入一个SQL查询，如果这个查询被WEB应用程序接受，就会被传递到后端的数据库服务器来执行它，当然这要建立在从WEB应用程序到数据库服务器的读/写访问操作被准许的前提下。这可以导致两种情况发生，一是攻击者可以查看数据库的内容，二是攻击者删除数据库的内容。无论哪一种情况发生，对用户来说都意味着灾难。

很多人可能认为，SQL注入式攻击需要高深的知识。其实恰恰相反，实质上，任何人，只要对SQL有一个基本的理解并拥有一定的查询程序（这种程序在互联网上比比皆是），这种攻击就可以实施。

跨站点脚本攻击

跨站点的脚本攻击，也可称为XSS或CSS，是黑客损害那些提供动态网页的WEB应用的一种技术。当今的许多WEB站点都提供动态的页面，这些页面由为用户动态建造的多个源站点的信息组成。如果WEB站点管理员不注意这个问题，恶意内容能够插入到Web页面中，以收集机密信息或简单地用户端系统上执行。对抗手段

有许多对抗Web应用服务器攻击的对策和措施。对问题的清醒的认识无疑是最重要的。许多企业组织正专注于一些需要执行的预防性的措施，不过却不知晓这些攻击是如何执行的。如果不理解WEB应用服务器攻击是如何工作的，将会使对抗措施不能真正起作用，简单地依靠防火墙和入侵防御系统不能从根本上解决问题。例如，如果你的WEB应用服务器没有对用户输入进行过滤，你就很容易遭受上述类型的攻击。

领先于攻击者的另一个关键问题是定期对你的WEB应用进行彻底的检查。在技术领域，亡羊补牢，未为晚也可能不太适用，因为如果你不及时检查修补你的墙，你丢失的将不仅仅是羊，很有可能是你的整个羊圈甚至更多。

有什么软件能在本地模拟web服务器的？

如果是win system，用IIS就可以搭建web服务器。如果是动态的，可能还需要数据库支持。

如果是其他system，也有类似的web扩展功能。

标签：模拟web攻击软件