渗透技术一瞥(图)

渗透是指入侵者直接用被入侵对象原有的功能来完成的入侵，它可以使用各种方法进行。无论是个人用户、数据库管理员还是网站管理员，要构造一个安全的网站论坛、数据库服务器以及安全的SQL语句脚本，了解渗透技术潜在的危害都非常有必要。

很多用户都有这样一种感觉：计算机信息安全技术或者黑客关心的一些东西都比较高深，其实不然，比如渗透技术，可能仅仅是这个专业的技术名词就已经让你有点眩晕了，但是你知道吗，在日常的计算机应用中，你常常会与渗透技术擦肩而过。

让我们举一个小例子来做个简单的说明：如果我告诉你“' or 1=1'”这是某个用户在某个论坛注册的用户名或者密码，你会想到些什么呢？如果你稍微有一点SQL语言的常识的话，就会明白这个用户名意味着什么，你就会明白“Select u_name from userlst where u_name=xxx”与“Select u_name from userlst where u_name=xxx or 1=1”之间的巨大差异。对一个安全系数不高的网站来说，黑客可以轻松地利用类似的简单SQL语句对网站 非法访问或者攻击，而这些，仅仅是渗透技术冰山之一角。

试探

“站住！干什么的？”守卫叫住这个在司令部门前徘徊了许久的年轻人。“游客。”年轻人看着守卫，眼神出奇地平静，他似乎有意无意地看了不远处的司令部一眼，落日余辉笼罩下的司令部显得如此神秘。然后，年轻人在守卫警惕的目光下潇洒离去。

渗透，或称Penetrate，它不属于某一种入侵方法，也不属于某种工具。渗透是指入侵者直接用被入侵对象原有的功能来完成的入侵，它可以使用各种方法进行。这些原有的功能看起来是那么忠心，可是当它们被入侵者掌握后，却成了入侵者得力的工具。

在一切工作开始之前，入侵者们需要试探。包括目标的功能、漏洞，这些信息在以后的工作中起着重要作用，这一过程称为“扫描”。一般，入侵者们用的扫描器都能汇报大部分已经存在的漏洞和对方提供的服务。当收集到一定数据后，入侵者们就可以决定入侵还是放弃。

偷袭

前面已经提到，渗透有多种表现形式，目前流行的渗透技术表现方式有特殊权限目录、论坛渗透、SQL注射等几种。

突破特殊权限目录

夜深了，守卫正在昏昏欲睡。突然间，一个黑影迅速翻越围墙进了司令部，正是那个白天在司令部门前逗留过一段时间的年轻人，他戴着特制手套，围墙上的玻璃也被弄了一些下来，散落在地上，在月光下闪烁着。年轻人无暇顾及这些，一个转身躲进了暗处。他是一个特工，他的任务是窃取敌方最新的战略分布图。为此，他设法观察这个司令部好几天了，今天终于发现一处戒备疏松的入口。

一般，服务器都会设置一些拥有特殊功能的目录，这些目录用于扩充服务器提供的功能，它们能执行脚本程序，例如论坛。

正因为如此，这些目录里的程序常常会做出异常的事情。服务器上的程序通过处理不同内容的数据请求来实现功能扩充和人机交互，但是，就连程序的编写者也没办法考虑到对方可能会发出什么样数据，而程序只会死板地接受指令干活，于是，危险随时都可能发生。如果入侵者发送一个特殊格式的数据给服务器，由于服务器上处理数据的程序并没有对这种数据做出处理，直接的结果就是程序被溢出，或者执行了入侵者的非法请求，例如要求进入未经允许的目录、查看非授权文件等。因为程序根本不会思考，就乖乖实现了入侵者的心愿。

还记得那个最经典的目录渗透吗——“IIS的二次编码漏洞”正是因为作者没有考虑到一些特殊字符的作用，导致入侵者使用浏览器或别人开发的工具就轻松进入了服务器（图1）。

javascript:if(this.width border=" 0?>

赞 (0)

相关推荐

  • 渗透技术一瞥(图)

    渗透技术一瞥(图)

    渗透是指入侵者直接用被入侵对象原有的功能来完成的入侵,它可以使用各种方法进行.无论是个人用户.数据库管理员还是网站管理员,要构造一个安全的网站论坛.数据库服务器以及安全的SQL语句脚本,了解渗透技术潜在的危害都非常有必要. 很多用户都有这样一种感觉:计算机信息安全技术或者黑客关心的一些东西都比较高深,其实不然,比如渗透技术,可能仅仅是这个专业的技术名词就已经让你有点眩晕了,但是你知道吗,在日常的计算机应用中,你常常会与渗透技术擦肩而过. 让我们举一个小例子来做个简单的说明:如果我告诉你"' or

  • w3c技术架构介绍

    w3c技术架构介绍

    作者:阿宏 2006-2-10 9:38:04 原文:http://www.w3.org/Consortium/technology 原作者:w3c 翻译:阿宏 图例说明 W3C技术架构图描绘了一个两层的模型:万维网体系结构(被标注为"One Web")建立在互联网(Interner)体系结构之上.图中丰富的Web层显示了W3C关心的领域和发展的技术. Web体系结构被描绘成一系列的层,每一层都建立在另一层之上.从底至顶依次为: URI/IRI, HTTP Web Architectu

  • javascript的函数劫持浅析

    javascript的函数劫持浅析

    javascript的函数劫持是什么? 函数劫持,顾名思义,即在一个函数运行之前把它劫持下来,添加我们想要的功能.当这个函数实际运行的时候,它已经不是原本的函数了,而是带上了被我们添加上去的功能.这也是我们常见的钩子函数的原理之一. 乍一看上去,这很像是函数的改写.函数的改写也可以理解为是函数劫持的一种,但是这种方式太恶心了.作为一个劫持者,在绑票获得好处以后也应该遵守职业道德,把人原封不动地还回去,所以我们得在合适的地方把函数原本的功能给重新调用回来. 推而广之,其实"劫持"这一概念

  • 多面分析HarmonyOS与Android的特点

    多面分析HarmonyOS与Android的特点

    目录 一.前言 二.HarmonyOS与Android的对比 2.1 HarmonyOS并不是Android的替代品 2.2 系统定位 2.3 内核对比 2.4 运行速度 三.方舟编译器 一.前言 这段时间我在寻思着学习一下鸿蒙,第一是因为在着手做一个自己的开源项目,技术选型的时候想到了鸿蒙:第二是我个人非常看好鸿蒙系统的未来,清楚明白华为和一些民族企业担负的责任和国人的期待,虽然带着一些民族感情:鸿蒙刚发布的时候自己是非常激动的,但是后来项目太忙一直没有认真的去了解过,这次打算花一部分时间认认

  • Java架构师的5大基本能力你知道吗

    Java架构师的5大基本能力你知道吗

    目录 业务架构师与基础架构师区别 如何做技术选型? 总结 总体而言,架构师负责软件领域的顶层设计.架构师需要根据公司的发展,规划企业未来若干年的架构,制定可落地的架构方案,解决技术难题,做技术选型与攻关,落地具体的架构.优秀的架构师既能做架构方案,也能写具体的架构代码. 架构师要求比较高,要有架构的广度.深度,需要掌握一系列的架构技术栈,要求有架构实战经验,要有很强的系统分析.系统架构.系统设计,业务分析的能力 首先要有架构师的思维,对分布式.高并发.高性能.高可用.可扩展.松耦合.高内聚.可复

  • 一文详解Java拦截器与过滤器的使用

    一文详解Java拦截器与过滤器的使用

    目录 流程图 拦截器vs过滤器 SpringMVC技术架构图 项目Demo 依赖 Interceptor拦截器 Filter过滤器 1.多Filter不指定过滤顺序 2.多Filter指定过滤顺序 流程图 拦截器vs过滤器 拦截器是SpringMVC的技术 过滤器的Servlet的技术 先过过滤器,过滤器过完才到DispatcherServlet: 拦截器归属于SpringMVC,只可能拦SpringMVC的东西: 拦截器说白了就是为了增强,可以在请求前进行增强,也可以在请求后进行增强,但是不一

  • 14张图看懂什么是区块链技术

    14张图看懂什么是区块链技术

    区块链技术最初源于解决"拜占庭将军"问题,金融科技的发展使得区块链技术有了更好的应用场景.它最显著的特征是去中心化,当然在应用中也存在一些技术和安全的挑战.欲知何为区块链?且看图示详解. 以上就是本文的全部内容,希望对大家的学习有所帮助,也希望大家多多支持我们. 您可能感兴趣的文章: 用不到50行的Python代码构建最小的区块链 Python学习入门之区块链详解 你应该知道的区块链运作7个核心技术 200行代码轻松实现一个简单的区块链 利用swoole+redis实现股票和区块链服务

  • 最新的黑客技术：XSS跨站脚本攻击详细介绍

    总体上介绍 简单介绍什么是XSS攻击 如何寻找XSS漏洞 对于XSS攻击的总体思路 来自内部的攻击: 如何寻找内部的XSS漏洞 如何构造攻击 如何利用 结何实例攻击,如DVBBS&BBSXP 来自外部的攻击 如何构造XSS攻击 如何欺骗管理员打开 XSS与其它技术的结何 与mssql injection的结合 QQ跨站的结何 国内大型统计网站的跨站漏洞 社会工程学 制作恐怖的flash木马 制作方法由李丰初写 总结 正文: XSS总体介绍 什么是XSS攻击 XSS又叫CSS  (Cross Si

  • JavaScript 常见安全漏洞和自动化检测技术

    JavaScript 常见安全漏洞和自动化检测技术

    前言 随着 Web2.0 的发展以及 Ajax 框架的普及,富客户端 Web 应用(Rich Internet Applications,RIA)日益增多,越来越多的逻辑已经开始从服务器端转移至客户端,这些逻辑通常都是使用 JavaScript 语言所编写.但遗憾的是,目前开发人员普遍不太关注 JavaScript 代码的安全性.据 IBM X-Force 2011 年中期趋势报告揭示,世界五百强的网站及常见知名网站中有 40% 存在 JavaScript 安全漏洞.本文将结合代码向读者展示常见

  • Web技术实现移动监测的介绍

    Web技术实现移动监测的介绍

    Web技术实现移动监测的介绍 由上述引用语句可得出"移动监测"需要以下要素: 一个拥有摄像头的计算机用于判断移动的算法移动后的处理 注:本文涉及的所有案例均基于 PC/Mac 较新版本的 Chrome / Firefox 浏览器,部分案例需配合摄像头完成,所有截图均保存在本地. 对方不想和你说话,并向你扔来一个链接: 体验链接>> 综合案例 该案例有以下两个功能: 拍好 POST 后的 1 秒会进行拍照静止 1 秒后音乐会停止,产生移动会恢复播放状态 上述案例也许并不能直接

随机推荐