码迷,mamicode.com
首页 > Web开发 > 详细

Web系统安全初识

时间:2015-09-22 18:35:35      阅读:226      评论:0      收藏:0      [点我收藏+]

标签:

Web系统的构建有很多语言,不过对Web系统安全做检测大概也差不多,以前没有接触过这方面的知识,所以呢,也就不能说太深

我们主要是做了两个事,一个是SQL注入,一个是XSS漏洞检测,网上资料很多,都对他们的原理做了一个很详细的说明,如果你搜XSS漏洞语句大全,你还是会很震惊的。。。不过,说到代码部分,我只想说,好少,倒是软件多一点,如果想了解,可以去开源中国和github上下很多软件的源码,基本都是python。。。然后是一堆版本的问题。。。 不过基本整个软件的编写都是这么个流程:

技术分享(本图截取自 电子科技大学 陶亚萍同学的学位论文《Web应用安全漏洞扫描工具的设计与实现》)

基本上来讲,就是先爬后改最后发——先用爬虫得到网站其他链接和表单信息,然后修改表单值,最后重新构造包模拟浏览器发包,最终分析返回数据判断是不是有漏洞。

或者可以看这个:技术分享(截取自西安电子科技大学 沈寿忠 硕士学位论文 《基于网络爬虫的SQL注入与XSS漏洞挖掘》)

两篇论文可以在百度文库get,介绍的很详细

关于代码:

代码确实不好找,可以开源找到sqlmap 和xsser的,不过使用上,额,还是要琢磨一下的,可能版本问题吧。。。python以前没用过,一上手还是有点茫然。。

这里有一篇100行XSS漏洞扫描的,满满的正则,内心已然崩溃,不过条理挺清晰的:

https://github.com/stamparm/DSXS

正则:

https://msdn.microsoft.com/zh-cn/library/az24scfc.aspx#atomic_zerowidth_assertions

正则表达式分析器(这个大神):http://regexper.com/

关于爬虫,我没用过,不过还挺好的样纸:

http://www.oschina.net/code/snippet_1044667_46011

就这么多吧,说多了也是废话,有机会深入再加

Web系统安全初识

标签:

原文地址:http://www.cnblogs.com/puluotiya/p/4829630.html

(0)
(0)
   
举报
评论 一句话评论(0
登录后才能评论!
© 2014 mamicode.com 版权所有  联系我们:gaon5@hotmail.com
迷上了代码!