Uncategorized

從頭開始學習網站駭客/滲透測試

Soft & Share

前一陣子在 FB 塗鴉牆看到了一位朋友放了一張圖片關於他寫信去一家知名網路書店告知收到客服的詐騙電話,但是這家線上網路書店回答並沒有讓客服人員直接與客戶聯絡,看到這位朋友底下留言,還不少人回應也接到類似的詐騙電話,這有兩種可能,一個是內鬼通外神,IT 人員將客戶資訊給洩漏出去了,另一種可能就是公司的網站被駭客入侵下載了所有的客戶資訊卻渾然不知。

這堂課主要針對網站的安全漏洞要如何偵測?講師將教你如何入侵網站發現安全漏洞也會教你如何修復這些安全漏洞。

附帶一提,在那位朋友圖片看到有網友聲稱再也不會到這家網路書店買書,網站出現安全漏洞,不僅危害到使用者權益 (洩漏個資,信用卡資訊 ) 也損害到了商譽,因此只要你的網站有從事購物,交易等商業行為,網路安全技術可是非比尋常的重要。

我將從這門課程中學到什麼?

  • 設置實驗室環境以練習駭客入侵
  • 安裝Kali Linux  – 一個滲透測試作業系統
  • 安裝 Windows 和易受攻擊的作業系統作為虛擬機器進行測試
  • 學習 linux 指令以及如何與終端機進行互動
  • 學習linux基礎
  • 了解網站和Web應用程式的工作原理
  • 了解瀏覽器如何與網站進行通訊
  • 收集有關網站的敏感資訊
  • 發現目標網站上使用的伺服器,技術和服務
  • 發現與特定網站相關聯的電子郵件和敏感數據
  • 尋找與網站相關聯的所有子網域
  • 發現與目標網站關聯的未發布目錄和檔案
  • 尋找與目標網站託管在同一伺服器上的所有網站
  • 發現,利用和修正檔案上傳漏洞
  • 利用進階檔案上傳漏洞並獲得對目標網站的完全控制
  • 使用 Proxy 攔截請求
  • 發現,利用和修正程式碼執行漏洞
  • 利用進階程式碼執行漏洞並獲得對目標網站的完全控制
  • 發現,利用和修正本地端檔案包含漏洞
  • 利用進階本地端檔案包含漏洞並獲得對目標網站的完全控制
  • 利用進階遠端檔案包含漏洞並獲得對目標網站的完全控制
  • 發現,修正和利用 SQL 注入漏洞
  • 繞過登錄表單並使用SQL注入以管理員身份登錄
  • 編寫SQL查詢以搜尋資料庫,表單和敏感資料,例如使用 SQL 注入的使用者名稱廣告密碼
  • 繞過過濾,並使用SQL注入以無密碼的管理員身份登錄
  • 採用SQL查詢以在更安全的頁面中發現和利用SQL注入
  • 繞過過濾和安全測量
  • 發現和利用盲目 SQL 注入
  • 使用 SQL 注入對伺服器讀取/寫入文件
  • 使用SQL注入完全控制目標伺服器
  • 快速補丁SQL注入
  • 學習正確的方法編寫 SQL 查詢以防止 SQL 注入
  • 發現基本和高級反射 XSS 漏洞
  • 發現基本和高級儲存的 XSS 漏洞
  • 發現基於DOM的XSS漏洞
  • 如何使用BeEF框架
  • 使用反射鉤受害者到 BeEF ,儲存和基於DOM的XSS漏洞
  • 從鉤到的受害者竊取憑證
  • 對鉤到的受害者執行 javascript 程式碼
  • 創建一個不可檢測的後門
  • 入侵鉤住的電腦,並獲得對它們的完全控制
  • 修復XSS漏洞並保護自己免於作為被他們控制的使用者
  • 使用暴力和wordlist攻擊的用意
  • 創建 worldlist 或是字典
  • 啟動 wordlist 攻擊和猜測管理員的密碼
  • 使用 Web proxy 自動發現所有上述漏洞
  • 在目標 Web 伺服器上執行系統命令
  • 訪問檔案系統(在目錄之間導航,讀/寫檔案)
  • 下載,上傳檔案
  • 繞過安全測量
  • 進入同一網路伺服器上的所有網站
  • 連接到資料庫並執行SQL查詢或將整個資料庫下載到本地機器

規定為何?

  • 基本IT技能

課程說明

歡迎來到我的Web應用程式駭客入侵全面課程網頁!在本課程中,你從沒有關於滲透測試或是駭客的先前知識初學者開始,。

本課程專注於滲透測試的實踐方面,但不忽視每次攻擊背後的理論。在進入滲透測試之前,你將首先學習如何設置實驗室並安裝所需的軟體,在自己的機器上進行滲透測試。

然後你將學習什麼是網站,它是如何運作,它依賴什麼,一台 Web 伺服器,資料庫是什麼用途,以及所有這些組件如何協同運作,以支援我們運行的網站,

一旦你了解網站如何運作,我們將開始談論如何利用這些組件和這種通訊方法來執行一些強大的攻擊。本課程將帶你從初學者到更高級的水平 – 到你完成的時候,你將能夠發動攻擊和測試網站和Web應用程式的安全性,與黑帽駭客做的完全相同,不僅如此,但你將能夠修復這些漏洞並保護網站。本課程中解釋的所有攻擊都是針對我實驗室中的真實設備發起的。

課程分為三個主要部分:

1.資訊收集 – 本節將教你如何收集有關目標網站的資訊,你將了解如何發現使用的 DNS 伺服器,服務,子網域,未發布的目錄,敏感檔案, 使用者電子郵件,同一伺服器上的網站,甚至是網路託管供應商。此資訊至關重要,因為它增加了能夠成功入侵目標網站的機會。

2. 發現,利用和修復 – 在本節中,你將學習如何發現,利用和修復大量的漏洞,本節分為多個子部分,每個都包括一個特定的漏洞,首先你將了解該漏洞是什麼它允許我們做什麼,然後你將學習如何利用這個漏洞,最後,我們將看看導致此漏洞的程式碼,並告訴你如何解決它,並保護網站,以下漏洞被覆蓋在課程中:

  • 檔案上傳:此漏洞允許攻擊者在目標Web伺服器上上傳可執行的檔案,利用這些漏洞正確地讓你對目標網站的完全控制。
  • 程式碼執行 – 此漏洞允許使用者在目標 Web 伺服器上執行系統程式碼,這可以用於執行惡意程式碼,並獲得反向 shell 訪問,這使攻擊者完全控制目標 Web…

View original post 95 more words

Advertisements
Standard

Leave a Reply

Fill in your details below or click an icon to log in:

WordPress.com Logo

You are commenting using your WordPress.com account. Log Out / Change )

Twitter picture

You are commenting using your Twitter account. Log Out / Change )

Facebook photo

You are commenting using your Facebook account. Log Out / Change )

Google+ photo

You are commenting using your Google+ account. Log Out / Change )

Connecting to %s