Просмотр полной версии : (WAP) Web Application Pentesting by DarkNode
<~DarkNode~>
18.12.2016, 03:09
https://forum.antichat.xyz/attachments/4768354/img_ca510927e3.png
Привет колеги) У меня появилось желание посвятить цикл статей тематике Web Application Pentesting (Пентестинг Веб Приложений) и собираюсь я писать его по мотивам курса от PentesterAcademy
В каждом уроке(статье) я буду стараться вносить какие то свои коментарии не смотря на программу курса.Программа даного курса включает в себя:
Работа с HTTP/HTTPS протоколами (https://forum.antichat.xyz/threads/558644/)
Понимания архитектуры веб приложения (https://forum.antichat.xyz/threads/558690/)
HTTP -методы (https://forum.antichat.xyz/threads/558690/)
Basic HTTP Аутентификация (https://forum.antichat.xyz/threads/558814/)
Digest HTTP Аутентификация (https://forum.antichat.xyz/threads/558820/)
HTTP Cookie (https://forum.antichat.xyz/threads/558889/)
HTML Injection (https://forum.antichat.xyz/threads/559031/)
HTML Tag Injection (https://forum.antichat.xyz/threads/559039/)
Настройка подходящей лаборатории
Превращаем свой браузер в атакуемую платформу
Перехват и модификация трафика с использованием прокси
Межсайтовый скриптинг(XSS)
Типы
Отраженные
Хранимые
DOM based
Фильтры XSS
Обход XSS фильтров
Кража Cookie и session hijacking
Self-XSS
BeeF
SQL Injection (SQL инъекции)
Error based
Blind (слепые)
Другие типы SQL injections
Атаки на аутентификацию и управление сессиями
session id анализ
кастомная аутентификация
Ошибки конфигурации
Web and database server
Application framework
Небезопасные прямые ссылки на объекты (Insecure Direct Object References).
Подделка межсайтовых запросов (CSRF - Cross-Site Request Forgery)
GET and POST based
JSON based in RESTful Service
Token Hijacking via XSS
Multi-Step CSRF
Небезопасное хранение важных данных (Insecure Cryptographic Storage)
Кликджекинг (Clickjacking)
Уязвимость загрузки файлов на сервер (File upload vulnerabilities)
Обход разширения файла и прочих проверок (Bypassing extension, content-type etc. checks)
Локальное(LFI "Local File Inclusion ") и Удаленное(RFI "Remote FIle Inclusion) подключение файлов
Web to Shell
Виды веб шеллов (Web Shells)
Метерпретер сессия через PHP (PHP meterpreter)
Анализ Web 2.0 приложений
AJAX
RIAs с использованием Flash, Flex
Attacking Caching servers
Memcached
Redis
Non Relational Database Attacks
Appengine Datastore
MongoDB, CouchDB etc.
HTML5 вектори атаки
Злоупотребление тегов и использование в XSS
Web-сокеты
Clickjacking
Web Application firewalls (Фаерволы веб приложений)
Обнаружение
Техники обнаружения
Обход WAF-ов
И все это совершенно бесплатно) С тебя только нужно быть зарегистрированным на форумеи ставить лайки)
Лайки мне нужны для того что бы определится с целевой аудиторией,с количеством заинтересованных в этом курсе людей) Думаю вполне логично, что если людей будет мало - то смысла мне тратить свое время на перевод этого курса нету)
Так что - жду минимум 20 лайков на этом посте,после чего начинаю усердно трудится)))))
<~DarkNode~>
18.12.2016, 20:12
Anonymouss сказал(а):
А сколько времени будут выходить статьи и скаким интервалом
И ещё Цикл интересный буду следить мне пригодится так как веб-хакинг это интересно вообще и всегда я хотел ему научится Ну буду ждать!
О как вы быстро налайкали) Вообще буду стараться хотя бы по статье в день) Но основная работа,семья,командировки могут нарушать этот запланированный график немножко)
Может и я что подкину по этой теме.
<~DarkNode~>
18.12.2016, 20:16
SooLFaa сказал(а):
Может и я что подкину по этой теме.
Занимайся написанием статей по ботнету) А я про веб буду писать) И все будет гуд)
~~DarkNode~~ сказал(а):
Занимайся написанием статей по ботнету) А я про веб буду писать) И все будет гуд)
Тема обширная. Про одни скульки можно писать целые мануалы, так что не жадничай. Договоримся.
если студент хочет учится, то преподаватель тут бессилен! )) классный будет курс!
Anonymouss сказал(а):
Может в личку
Объединяй пожалуйста посты в одно - два сообщения, а то флуд получается. Спасибо
ghostphisher
18.12.2016, 21:47
Идея отличная! Если еще и свою лабу для теста поднять, то вообще получится хорошо Приятно видеть, когда люди тему граммотно выдают.
Celestial
28.12.2016, 22:31
SiXSS входит в курс ?
посоветуйте эффективнй инструмент для обнаружения вредоносного кода и веб-шеллов на сервере, вроде этого
http://www.anpad.org.br/admin/index...m&tabela=destaque_imagens&campo=imagem&id=263
http://www.anpad.org.br/admin/index.php?c=Arquivo&m=imagem
Celestial сказал(а):
SiXSS входит в курс ?
посоветуйте эффективнй инструмент для обнаружения вредоносного кода и веб-шеллов на сервере, вроде этого
http://www.anpad.org.br/admin/index...m&tabela=destaque_imagens&campo=imagem&id=263
http://www.anpad.org.br/admin/index.php?c=Arquivo&m=imagem
И зачем она тебе? Как по мне самая бесполезная уязвимость?! Это идиотом надо быть. Бог послал тебе серверную уязвимость, а ты будешь её использовать, чтобы ломать клиента.
Celestial
28.12.2016, 23:49
SooLFaa сказал(а):
И зачем она тебе? Как по мне самая бесполезная уязвимость?! Это идиотом надо быть. Бог послал тебе серверную уязвимость, а ты будешь её использовать, чтобы ломать клиента.
применяется этот вид атаки, когда текст из базы данных выводится в HTML страницу. если попытаться использовать классические или продвинутые SQL инъекции можно получить информацию о SQL сервере и ничего более.
подробно об этом написано здесь: http://www.securitylab.ru/analytics/216380.php
заметь, не всегда можно инъекцию раскрыть (примеров полно: ( mysql 4 ветки и file_priv отключено), или конфигурация базы данных запрещает доступ к файлам, и т.д.). и тут находится уязвимый запрос, выводящий запрошенную страничку из базы данных
альтернативно применяется в тех случаях, когда кроме самой SQL injection, мы не можем ни подобрать имена таблиц (не у всех стоит, например, MySQL >5 с INFORMATION_SCHEMA), ни сделать, например, вывод в файл (masterhost)
а вот использовать XSS уязвимость для проведения DDoS атаки, действительно глупо.
<~DarkNode~>
29.12.2016, 08:07
Ну вне скоупа курса могу в какойто статье написать , например когда до скулей дойдем.
Celestial сказал(а):
применяется этот вид атаки, когда текст из базы данных выводится в HTML страницу. если попытаться использовать классические или продвинутые SQL инъекции можно получить информацию о SQL сервере и ничего более.
подробно об этом написано здесь: http://www.securitylab.ru/analytics/216380.php
заметь, не всегда можно инъекцию раскрыть (примеров полно: ( mysql 4 ветки и file_priv отключено), или конфигурация базы данных запрещает доступ к файлам, и т.д.). и тут находится уязвимый запрос, выводящий запрошенную страничку из базы данных
альтернативно применяется в тех случаях, когда кроме самой SQL injection, мы не можем ни подобрать имена таблиц (не у всех стоит, например, MySQL >5 с INFORMATION_SCHEMA), ни сделать, например, вывод в файл (masterhost)
а вот использовать XSS уязвимость для проведения DDoS атаки, действительно глупо.
Вообще не вижу смысла. У тебя скуля, ВСЁ, из базы ты можешь дернуть, что хочешь о ком хочешь, и вообще не прав, что через скулю нельзя выйти куда то дальше за пределы БД. Я тебе с десяток векторов назову как работать с консолью через БД в любой СУБД, Postgres, MySq, Mssql - без разницы. XSS на самом деле недооцененная уязвимость и она может быть вполне масштабной, но только не в SQL. P.S. Я знаю, что такое SiXSS, поэтому объяснять не стоило.
А так же не вижу смысла об этом какие то статьи целые писать, в любую скулю с выводом 'alert(document.cookie)' вот и всё об SiXSS в одну строчку.
<~DarkNode~>
29.12.2016, 11:00
SooLFaa сказал(а):
Вообще не вижу смысла. У тебя скуля, всё из базы ты можешь дернуть что хочешь о ком хочешь, и вообще не прав что через скулю нельзя выйти куда то дальше за пределы БД. Я тебе с десяток векторов назову как работать с консолью через БД в любой СУБД, Postgres, MySq, Mssql - без разницы. XSS на самом деле недооцененная уязвимость и она может быть вполне масштабной, но только не в SQL. P.S. Я знаю, что такое SiXSS, поэтому объяснять не стоило.
А так не вижу смысла об этом какие то статьи целые писать, как собрался Богдан, в любую скулю с выводом 'alert(document.cookie)'
Смысл есть тогда ,когда никакой ценной информации мы в базе не нашли, скуль не рутовая,файлы залить или прочитать через скуль не можем и остаеться только через соц.инженерию впарить админу ссылку на SiXSS для кражи кук...
~~DarkNode~~ сказал(а):
Смысл есть тогда ,когда никакой ценной информации мы в базе не нашли, скуль не рутовая,файлы залить или прочитать через скуль не можем и остаеться только через соц.инженерию впарить админу ссылку на SiXSS для кражи кук...
А что тебе дадут куки админа, если нет таблицы с пользователями, отсюда логично предположить, что нет авторизации. Так как сессия пользователей тоже хранится либо в базе либо в Reddis.
UPDATE: Хотя, если предположить, что признак админа, это какой то флаг в куках, то да. Пожалуй, здесь уместно, но как назвать человека, который такую авторизацию запилил, мы с вами догадались.
Elektrolife
01.11.2017, 17:06
Привет!
Занялся на днях изучением SQL инъекции и иже с ними. Просветите - с чего лучше начать ? Приблизительно знаю как работает скуль,немного понимаю в запросах. Лучше использовать автоматизацию в поиске инъекций или ручками ?
woolf1514
01.11.2017, 17:33
ухх я прям предвкушаю)) Хотел 20 лайков, но их уже 120. Однозначно тема интересная!
<~DarkNode~>
01.11.2017, 17:39
Elektrolife сказал(а):
Привет!
Занялся на днях изучением SQL инъекции и иже с ними. Просветите - с чего лучше начать ? Приблизительно знаю как работает скуль,немного понимаю в запросах. Лучше использовать автоматизацию в поиске инъекций или ручками ?
Анализ и поиск инъекции однозначно лучше руками. А вот после обнаружение вектора можна автоматизировать... Ведь когда понятна логика веб приложения то и тампер скрипт свой можно для скульмапа написать.
Было бы не плохо линки на первой странице поставить к статьям, для удобства
Elektrolife
03.11.2017, 11:55
~~DarkNode~~ сказал(а):
Анализ и поиск инъекции однозначно лучше руками. А вот после обнаружение вектора можна автоматизировать... Ведь когда понятна логика веб приложения то и тампер скрипт свой можно для скульмапа написать.
Назрел ещё один вопрос: предположим я получил доступ к скулю через инъекцию. Могу я как то получить управление над сервером,на которм крутится этот сайт ? В идеале - получить сессию meterpreter
<~DarkNode~>
03.11.2017, 13:45
Можно , но
Elektrolife сказал(а):
Назрел ещё один вопрос: предположим я получил доступ к скулю через инъекцию. Могу я как то получить управление над сервером,на которм крутится этот сайт ? В идеале - получить сессию meterpreter
Можно, но не всегда, нужно иследовать саму скуль сперва , изучить какие права в скуле , работают ли стакед квери , есть ли права на запись и чтение файлов. В любом случае самая распространенная схема примерно такая -
скуль,
чтение конфигов,
получение пасов с бд
проверка этих учётных данных из базы на всех возможных сервисах сервера где есть авторизация и попытка логина на них
Попытка записи в файл( создать веб Шелл)
Метерпретер
Закрепление в каком-то файле ,например css или картинке
Попытка обхода всякого рода ограничений
Исследование веб сервера , энумирация , анализ данных ( поиск суидников, исследование кронтаб, поиск эксплоитов по версии ядра, поиск эксплоитов по установленному ПО и т.д)
Попытка повышение в системе , получение рут доступа.
Установка руткита , закрепление в системе.
А когда продолжение? и если получится видео с переводом)))
Elektrolife сказал(а):
Привет!
Занялся на днях изучением SQL инъекции и иже с ними. Просветите - с чего лучше начать ? Приблизительно знаю как работает скуль,немного понимаю в запросах. Лучше использовать автоматизацию в поиске инъекций или ручками ?
После того, как хорошо усвоится логика построения sql запросов, можно пустить sqlmap через тот же Burp и посмотреть какие пайлоады использует он. Мне помогло в свое время расширить кругозор в этой области.
Elektrolife
03.04.2018, 10:09
p.r0phe.t сказал(а):
После того, как хорошо усвоится логика построения sql запросов, можно пустить sqlmap через тот же Burp и посмотреть какие пайлоады использует он. Мне помогло в свое время расширить кругозор в этой области.
Для этого необходимо сначала мало-мальски изучить Burp ) Вообще на мой взгляд пентест сетей и ОС существенно различается с пентестом веб
Elektrolife сказал(а):
Для этого необходимо сначала мало-мальски изучить Burp ) Вообще на мой взгляд пентест сетей и ОС существенно различается с пентестом веб
Ну в общем да - концепции разные.
По поводу Burp: просто включить прокси, натравить sqlmap на него и в хистори смотреть, какие запросы скулмап генерит к сайту.
Дальше, немного изучив его, можно перенаправлять уже в другие модули и раскручивать руками.
Даже при удачной раскрутке sqlmap'om будет виден конечный подобранный пайлоад. Далее играться с ним руками.
На начальном этапе считаю будет наглядным
<~DarkNode~>
06.04.2018, 10:32
p.r0phe.t сказал(а):
Ну в общем да - концепции разные.
По поводу Burp: просто включить прокси, натравить sqlmap на него и в хистори смотреть, какие запросы скулмап генерит к сайту.
Дальше, немного изучив его, можно перенаправлять уже в другие модули и раскручивать руками.
Даже при удачной раскрутке sqlmap'om будет виден конечный подобранный пайлоад. Далее играться с ним руками.
На начальном этапе считаю будет наглядным
Для того что бы смотреть пейлоады и запросы достаточно добавить параметр в sqlmap -v 3
Или для совсем детальной информации -v 5
сказал(а):
Для того что бы смотреть пейлоады и запросы достаточно добавить параметр в sqlmap -v 3
Или для совсем детальной информации -v 5
Согласен. Просто мне было удобней в бурпе видеть их в хистори (нежели просто текст в консоли) и нужные перенаправлять в репитер допустим. Или в другие модули.
vBulletin® v3.8.14, Copyright ©2000-2026, vBulletin Solutions, Inc. Перевод: zCarot