专栏首页FreeBufHacker101白帽黑客进阶:会话固定、点击劫持、文件包含分析

Hacker101白帽黑客进阶:会话固定、点击劫持、文件包含分析

内容介绍

本课程是HackerOne出品的Web安全免费在线课程(Hacker101),以“LEARN HOW TO HACK”为主旨,包含了相关的视频、资源和动手实验,目的在于教授Hacking思维和知识,入门Bug Bounty Hunter(漏洞赏金猎人)。课程内容涵盖了XSS、SQL、会话劫持、文件包含等当前流行漏洞的分析,另外还涉及漏洞报告、加密解密、BurpSuite使用和移动端APP测试分析等版块。总体来说,Hacker101是安全初学者入门提高的理想选择,无论你是对漏洞众测(Bug Bounty)感兴趣的程序员,还是经验丰富的安全专家,都会在Hacker101课程中有所收获。

本节课程,我们一起来简单讨论会话固定(Session Fixation)、点击劫持(ClickJacking)和文件包含(File Inclusion)三种攻击形式的成因、检测和缓解措施。

Session Fixation:会话固定攻击,是利用服务端的session会话信息固定机制,借他人之手获得认证和授权,然后冒充他人。会话固定攻击的简要流程如下:

1、Bob先打开一个网站http://abc.com/,然后服务器会回复他一个session id,比如SID=ssswioq,Bob把这个id记下; 2、Bob给Alice发送一个电子邮件,迷惑Alice点击链接:http://abc.com/?SID=ssswioq,SID后面是Bob自己的session id; 3、Alice上当点击了http://abc.com/?SID=ssswioq,如平时一样输入了自己的帐号和口令从而登录到网站abc.com; 4、由于服务端的session id固定,现在Bob点击http://abc.com/?SID=ssswioq后,他就进入了Alice的账户,拥有了Alice的身份,就可以为所欲为了。

ClickJacking:点击劫持,是一种视觉欺骗攻击手段,在web端就是iframe嵌套一个透明不可见的页面,让用户在不知情(被欺骗)的情况下,点击攻击者想要欺骗用户点击的位置,它通常使用一个ifream覆盖掉当前页面,欺骗用户点击iframe中的恶意内容。点击劫持可实现以下攻击:

通过Flash开启受害者的摄像头或麦克风; 诱使受害者在不知情情况下成为某人粉丝(国外Facebook的刷粉等); 控制受害者去传播分享广告链接间接实现宣传目的; 诱使用户点击恶意链接。

File Inclusion:文件包含,是指当服务端开启allow_url_include选项时,就可以通过php的某些特性函数(include(),require()和include_once(),require_once())利用url去动态包含文件,此时如果没有对文件来源进行严格审查,就会导致在服务端实现任意文件读取或者任意命令执行。文件包含攻击/漏洞分为本地文件包含(LFI)和远程文件包含(RFI),远程文件包含漏洞是因为开启了php配置中的allow_url_fopen选项,选项开启之后,服务端允许在其中包含一个远程文件,间接让服务端来请求该文件。

观看视频

*本课程翻译自Youtube精选系列教程,喜欢的点一波关注(每周更新)!

*本文视频编辑willhuang,由clouds 编译,FreeBuf视频组荣誉出品,转载须注明来自FreeBuf.COM

本文分享自微信公众号 - FreeBuf(freebuf),作者:willhuang

原文出处及转载信息见文内详细说明,如有侵权,请联系 yunjia_community@tencent.com 删除。

原始发表时间:2020-01-20

本文参与腾讯云自媒体分享计划,欢迎正在阅读的你也加入,一起分享。

我来说两句

0 条评论
登录 后参与评论

相关文章

  • 走近科学:三星电脑恶意禁用Windows更新“丑闻”

    近期有Windows用户反映称,自己的三星电脑上Windows自动更新程序会被随机禁用,这个给他们的PC安全带来了安全隐患。禁用Windows更新的程序名为Di...

    FB客服
  • Netwalker无文件勒索软件分析

    攻击者正不断研究更复杂的方式逃避恶意软件检测,近期发现攻击者利用PowerShell编写Netwalker勒索软件,直接在内存中执行,没有将实际的勒索软件二进制...

    FB客服
  • 关于Web点击劫持的一些实例

    https://www.xxx.com/aaa?returnUrl=javascript:(alert)()//

    FB客服
  • 李飞飞之后谷歌再失华裔高管,谷歌AI中国中心总裁李佳离职创业

    2016年11月,谷歌官方宣布李飞飞加盟,任职谷歌云首席科学家,负责谷歌云业务新成立的机器学习部门。

    量子位
  • 如何实现指数级扩张:分享经济的五大精神内核

    张孝荣  腾讯研究院总监 孙 怡  腾讯研究院研究员   正所谓“忽如一夜春风来,千树万树梨花开”,分享经济如同一阵浪潮,将千千万万的大众群体卷入其中,...

    腾讯研究院
  • 分享经济席卷全球背后的“秘密”:6大区域的启迪意义

    张孝荣  腾讯研究院高级研究员   当下,分享经济热潮正席卷全球,已经有几十亿消费者从中受益。最著名的两家龙头企业,Airbnb业务已经覆盖了190余个国家...

    腾讯研究院
  • 你为什么不敢分享?

    前日我在《怎样实习才能成长最快》的 Chat 中提到了分享的问题。我发现,无论再怎么说尽分享的好处,同学们可能还是不知道从何处入手。就像大家都知道吸烟后果很严重...

    姬小光
  • 忍不住分享

    分享 ?

    JavaQ
  • 2016分享经济海外发展报告

    课题策划:司晓 顾问统筹:张孝荣 报告主笔:孙怡 参与撰写:刘烔言、郝璞璞 调研支持:金宁、刘嘉琪 要点抢先看:   分享经济风潮已然席卷全球,不仅在美洲、...

    腾讯研究院
  • 风潮乍起——中国分享经济全景解读

    ?        3月11日,由腾讯研究院主办的《中国分享经济风潮全景解读报告》研讨会在京举行,来自分享经济领域的专家、企业代表及媒体就分享经济如何释放经济增...

    腾讯研究院

扫码关注云+社区

领取腾讯云代金券