Web安全实践教程图文版_web安全基础教程资源-CSDN文库

共2个文件

doc：1个

txt：1个

web安全

需积分: 10 139 浏览量 2017-05-27 08:50:20 上传评论 1 收藏 2.94MB RAR 举报

资源详情

资源评论

收起资源包目录

Web安全实践教程图文版 doc.rar （2个子文件）

softhy.net

softhy.net.txt 1KB

Web安全实践完整版.doc 3.34MB

源码爱好者下载：www.codefans.net

Web 安全实践完整版

作者：玄魂

Web

安全实践

web 安全实践（ 1 ）基于

http

的架构分析常用工具

 作者：玄魂

前置知识：无。

web 安全实践系列导航

http://www.cnblogs.com/xuanhun/archive/2008/10/25/1319523.html

安全技术区 

前言



正文

工欲善其事，必先利其器”，第一节里我们共同熟悉一下常用的工具，后面的章节还会探

讨如何自己动手编写这些工具的一些细节问题。

1.1hp 扩展工具。

（1）TamperIE。这是来自 Bayden 系统的浏览器辅助对象。它非常简单，只有两个选项—

—篡改 GET 和/或 POST。当我们提交这样的请求时，该工具会自动阻断提交，我们可以查

看和修改我们提交的信息。这是单单使用 IE 地址栏所不能完成的内容。

当我们安装完之后，会在 ! 的这个位置看到它。

接下来是简单的配置。

源码爱好者下载：www.codefans.net

我们可以选择其中任意一个或全选，当我们选择相应选项之后，通过 ie 访问相关页面的时

候，信息就会被截断。

这里我们可以看到相关的头信息和提交的表单信息以及 cookie，我的邮箱的用户名和密码

一目了然。当然我们可以在这个时候修改相关参数然后再提交。但是它并没有展示 web 响

应的细节信息。

（2）IEwatch 和 IEHeaders，提供了相似的功能。能查看发送和接收的信息，但是不能篡改

信息。

（3）HpWatch Professional,当前版本是 4.1.26,是一款强大的网页数据分析工具,可以查看

当前网页的 hp 数据,方便大家调试,当然也可以拿来做其他的，譬如抓 (ash 等地址.想知道

源码爱好者下载：www.codefans.net

GMail 或者是任何一个 AJAX 网页时如何和服务器进行数据交互的吗？用这个插件就可以一

览无余了。

（4）LiveHpHeaders。这是一个 FireFox 扩展工具。它能显示原始的 hp/S 或者每个请求/

响应。它的重放特性也允许对数据进行篡改。

（5）TamperData。是一个 FireFox 扩展，允许跟踪和修改 HTTP 和 Hps 请求，包括请求头

和 POST 参数。

（6）Modify Headers。FireFox 扩展工具。它更适合做永久性修改。

" 命令行工具

（1）Netcat。它可以帮助我们将网络通信的原始输入输出导出到命令行。看下面的例子。



（2）curl。是一个多平台的命令行工具。可以操作 HTTP 和 hps。当需要进行编制脚本进

行迭代分析时，Curl 是非常强大的。

1.3 hp 代理。

对于简单的 hp 分析，我们更倾向于浏览器代理，因为它简单快捷。hp 代理工具通常给

我们提供了更加多样化的功能选择。包括 hp 代理，网络爬行，会话 ID 分析，自动脚本接

口，模糊测试工具，解码等功能。好的工具如 Paros，OWASP WebScarab 等。由于代理工

具我们会很少用到，所以我们不做更详细的介绍。

1.4 扫描工具

扫描工具在其他类型的攻击是必不可少的工具，一般分为端口扫描和漏洞扫描。

常见的端口扫描工具 ScanPort ，Angry IP Scanner，Advanced Port Scanner

，linux 下的端口扫描如 nmap and nwatch 等。

"漏洞扫描工具。有 #$%&，' ，'( 系列的安全平台，

还有如  等传统的扫描工具。

源码爱好者下载：www.codefans.net

 监听与嗅探工具

这不是我们整个实践中要重点讨论和实践的内容，但 web 攻击的最终目的还是服务器，所

以有效的利用各种资源可以事半功倍。

这方面的工具就不做介绍了，用到的时候再提。

1.6 编程工具

因为我的这个实践系列的一个主要内容是编程实现相关的工具和把一些手工过程自动化。

我会用 vs2005/2008 来做我的程序。如果你也想一起做，或者用你自己擅长的语言来写的

话，就要准备好你自己喜欢的工具。

简单的对工具做了一个介绍，第二节我们将一起讨论这些工具的综合运用，来做 web 剖析。

第三节会共同学习自己动手编写自己的剖析工具。我希望有更多的人加入进来。



Web

安全实践（ 2 ）基于

http

的

web

架构剖析

作者：玄魂

% 安全实践系列导航 %%%(

")"*+"*

安全技术区 

前言

% 安全实践系列主要是对《黑客大曝光——% 应用安全机密与解决方案（第二

版）》的内容做的实践研究和部分编程实现。所以如果您能完全理解那本书可以跳过本文

章。



正文

第一篇文章我简单的介绍了一下相关的工具，如果您已经熟悉了，今天我们就小试牛

刀吧！

" 确定目标

（）。这是最常规的方法，我们可以对已知域名做该操作来获得  地址。

源码爱好者下载：www.codefans.net

（"）,-. 查询。可以通过互联网上提供 ,-. 查询服务的网站查询  地址。

（*）端口扫描。对既定  我们可以扫描是否开通相应的知名端口来确定该服务器启

动的服务。当然服务器可以用任一的端口来做 % 服务，我们可以对相应的端口做

简单的探测，比如用  发送简单的  或  请求。看它的回应是否开通

% 服务。

"" 获取目标 % 服务器信息

/ 服务器信息采集是架构分析的主要内容，我们目前只讨论从  协议的角度来

分析。

 0 抓取。

对于 0 抓取最直接的方法是我在上一节介绍的浏览器扩展工具的使用。

下面我们以 $$ 的扩展 1(22 为例。

我们启动 1(22 的捕获选项。然后输入 %%%

这时就可以查看我们发送的请求和得到的响应信息了。

评论收藏

内容反馈

Web安全实践教程图文版

评论0

最新资源

Web安全实践教程图文版

评论0

最新资源

相关推荐

web 安全教程

web安全教材.pdf

web安全基础

Web攻防基础入门.pdf

白帽子 web安全工程师 全套教程课程

Web渗透测试（整个全流程）.pdf

Web安全实践教程图文版 doc

Web安全实践完整版.doc

Java Web开发实践教程 课件

Java Web开发实践教程源码ch10

web安全实践完整版

Web安全实践.rar

Java Web开发实践教程源码ch12

Web安全实践完整版

Java Web开发实践教程源码ch02

[ASP NET] ASP NET Web API 实践教程 英文版

Java Web开发实践教程源码ch06

Web安全实践参考资料

Web安全实践

Java Web开发实践教程——从设计到实现（第2版）PPT

Java Web开发实践教程——从设计到实现（第2版）源代码

Java Web开发实践教程ppt课件

Java Web开发实践教程源码ch07

Java Web开发实践教程源码

解决Win 10与不兼容VirtualBox操作过程文档+（附带软件）.zip

计算机网络知识点总结(谢希仁第八版).pdf

Xshell软件(配色方案&amp;高亮关键字/突出显示集)的相关文件

湖南科技大学《计算机网络》配套课件（PDF版）

白帽子 web安全工程师全套教程课程

Java Web开发实践教程课件

[ASP NET] ASP NET Web API 实践教程英文版

Xshell软件(配色方案&高亮关键字/突出显示集)的相关文件