网络安全实训Day22

news/2024/11/20 21:44:28/

网络空间安全实训-渗透测试

  • CSRF

    • 定义:跨站伪造请求攻击

      • 攻击者透过诱骗受害者点击攻击者提前构造的恶意链接,从而以受害者的身份向网站服务器发起请求,达到攻击的目的

    • 通过CSRF在网站后台创建管理员

      • 1.搭建创建管理员账号的站点

        • 1.将对方网站创建管理员账户的源代码复制并修改后,创建本机的页面

        • 2.创建另一个页面,用iframe包含恶意界面,并将iframe设置为不可见,达到隐蔽效果

      • 2.将构建好的页面地址发送给网站管理员访问

    • 防御方法及绕过

      • 1.检查用户提交的Refer

        • 绕过:在攻击机本地创建站点,本机页面的名字包含合法Referer,在本机页面中通过iframe嵌入攻击页面地址

      • 2.通过随机token进行验证

  • Web爆破

    • HTTP工作流程

      • 1.客户端向DNS服务器发送域名查询请求,DNS服务器返回网站的IP地址给客户端

      • 2.客户端与Web服务器通过三次握手建立TCP连接

      • 3.客户端向服务器发送GET请求

        • Host

          • 客户端希望访问的站点URL

        • User-Agent

          • 客户端的操作系统和浏览器

        • Referer

          • 描述是从哪个页面请求的该站点

        • Cookie

          • Web服务器用于识别身份的字符串

      • 4.服务器向客户端发送相应

        • 响应状态码

          • 1xx

            • 正在处理请求

          • 2xx

            • 请求成功

            • 200:ok

          • 3xx

            • 重定向

            • 302:临时重定向

            • 307:永久重定向

          • 4xx

            • 客户端错误

            • 404:页面未找到

            • 403:无权限访问

            • 子主题 4

          • 5xx

            • 服务器错误

            • 500:服务器内部错误

        • Server

          • 服务器的Web应用版本

      • 5.服务器将页面内容发送给客户端

      • 6.服务器与客户端通过四次挥手结束TCP连接

    • Web爆破的防御及绕过

      • 图形验证码

      • 设置登录错误达到指定次数后锁定账户

      • 短信验证码

      • 设置一个更复杂的密码

      • 不同地方的账户设置不同的密码

      • 定期更换密码


http://www.ppmy.cn/news/1439791.html

相关文章

【MongoDB】--MongoDB的组合索引

目录 一、前言二、Query查询条件转换shell输入命令1、常用shell输入命令2、explain()解析计划三、组合索引的说明一、前言 本文章主要介绍Mongodb的组合索引的使用。 二、Query查询条件转换shell输入命令 1、常用shell输入命令 Query: {"tenantsid": {"$num…

MAC系统升级问题记录

一、 场景 新购置一台MAC mini盒子作为开发使用,系统版本为macOS Sonoma 14.2, 由于是新机器,从新开始安装开发工具,从AppStore中获取XCode 15.3 版本,编译现有工程项目,报如下错误: SDK does not contai…

AI数字人给网络安全带来新的威胁

随着人工智能技术的快速发展,AI数字人已经成为我们日常生活和工作中的一部分。它们以其高度的智能化和仿真性,为我们提供了许多便利。与此同时,AI数字人也给网络安全带来了新的威胁。在这一背景下,使用SSL证书显得尤为重要&#x…

Zookeeper集群部署和单机部署

Zookeeper集群部署和单机部署 Zookeeper单机部署 cd /data/softwarewget http://mirror.bit.edu.cn/apache/zookeeper/zookeeper-3.4.12/zookeeper-3.4.12.tar.gztar -zxvf zookeeper-3.4.12.tar.gz mv zookeeper-3.4.12 /data/apps/zookeeper-3.4.12cd /data/apps/zookeeper…

时间序列预测:基于PyTorch框架的循环神经网络(RNN)实现销量预测

之前随手一写,没想到做预测的同学还挺多,但是之前那个效果并不好,于是在之前的基础上重新修改完善,到了现在这一步才感觉预测算是初步能应用。 上文地址:LSTM模型预测时间序列:根据历史销量数据预测商品未…

金三银四,备战数据结构与经典算法面试

随着春招季节的临近,面试备战成为许多求职者的痛点。如何在激烈的竞争中脱颖而出,成为众多求职者思考的问题。学习Python编程与算法内容,成为面试开发、测试开发等热门岗位的基础。 为了帮助大家更好地应对技术类面试挑战,霍格沃…

面试题:判断一个完全平方数

面试题:判断一个完全平方数 方法一:平方根法 bool isPerfectSquare(int n) {int sqrt_n int(sqrt(1.0 * n));return sqrt_n * sqrt_n n; }方法二:连续奇数和法 // 一个完全平方数可以表示为前n个连续奇数的和,如1 3 5 // 不…

QFD赋能人工智能:打造智能化需求分析与优化新纪元

在科技飞速发展的今天,人工智能(AI)已经渗透到我们生活的方方面面。然而,如何让AI更加贴合用户需求,提供更加精准和个性化的服务?这成为了一个亟待解决的问题。质量功能展开(Quality Function Deployment,简…