当前位置： 首页 > news >正文

新手如何对一个web网页进行一次渗透测试

news 2026/4/14 20:34:05

新手如何对一个web网页进行一次渗透测试

文章目录

  • 新手如何对一个web网页进行一次渗透测试
    • 什么是渗透测试?
    • 渗透测试和红蓝对抗的区别
    • 那么拿到一个网站后如何进行一次优雅的渗透测试呢

什么是渗透测试?

在获得web服务运营的公司书面授权的情况下，模拟攻击者的行为，以确定系统的脆弱性，并为保护系统提供有效的建议。

渗透测试和红蓝对抗的区别

渗透测试和红蓝对抗别再傻傻分不清楚了

首先呢，要知道渗透测试和红蓝对抗的区别，我们渗透测试的目的是尽可能多的找到更多漏洞，编写渗透测试报告。
而红蓝对抗的红队是为了模仿最真实网络安全对抗，是为了拿下目标最主要的服务器
其次渗透测试是有资产范围限制的，而红蓝对抗时是没有资产范围的

在这里插入图片描述

那么拿到一个网站后如何进行一次优雅的渗透测试呢

拿到域名以后想办法获得取web资产的真实ip 通过站长之家或者ipdog之类的工具进行查询
在这里插入图片描述

发现进行多地ping之后只有一个独立ip那就说明没有cdn 如果存在cdn就想办法绕过，找到真实ip
我们对其进行端口扫描 ，常见工具有 nmap、masscan、Naabu等
在这里插入图片描述
可以看到开发着80 和 443服务

扫描完成后，在获得客户同意的情况下，针对其所开放的端口，可以进行爆破，查找网站的子域名，查找网站的后台目录,常使用的工具有dirb、Nikto、dirseach、gobuster等
在这里插入图片描述
目录扫描不出来什么的时候看看是否是cms
在robots.txt文件中发现cms
在这里插入图片描述

判断网站的cms
在fofa上验证
在这里插入图片描述

如果是cms那就尝试历史漏洞进行尝试这样可以省去前期大量的信息收集和漏洞尝试的时间

在这里插入图片描述
如果还是历史漏洞都被修复了或都不能用了，就还是按照常规进行漏扫,一般使用的工具：

  • AWVS
  • AppScan
  • Owasp-Zap
  • Nessus
    等
    也可以手工进行注入常见的漏洞有
  • SQL注入
  • XSS注入
  • SSRF
  • CSRF
  • 反序列化
  • 暴力破解
  • 文件上传
  • 任意文件读取
  • 任意文件包含
  • 越权访问
    等

等漏洞挖出我们进行漏洞验证，最后在编写渗透测试报告
这样就简单完成了一次渗透测试

相关文章：

新手如何对一个web网页进行一次渗透测试

新手如何对一个web网页进行一次渗透测试 文章目录 新手如何对一个web网页进行一次渗透测试什么是渗透测试?渗透测试和红蓝对抗的区别那么拿到一个网站后如何进行一次优雅的渗透测试呢 什么是渗透测试? 在获得web服务运营的公司书面授权的情况下，模拟攻击者的行为…...

编程日记 2023/11/28 14:18:37

vs2019 - MFC对话框程序的工程名称不支持下划线命名法

文章目录 vs2019 - MFC对话框程序的工程名称不支持下划线命名法概述笔记备注END vs2019 - MFC对话框程序的工程名称不支持下划线命名法 概述 正在写账单分析程序, 用MFC 对话框. 因为比较习惯下划线命名法, 就在向导中给工程名称起了一个my_test这样的名称(下划线命名法, 小…...

编程日记 2023/11/28 14:17:35

java JDBCUtils 使用静态代码块连接数据库 全程值保持一次连接

\src\com\data\entity\JDBCUtils.java 使用静态代码块连接数据库 全程值保持一次连接 package com.data.entity;import org.springframework.jdbc.core.JdbcTemplate; import org.springframework.jdbc.datasource.DriverManagerDataSource;import javax.sql.DataSource;pub…...

编程日记 2023/11/28 14:16:34

剑指 Offer（第2版）题解（C++ Version）

剑指 Offer（第2版）题解（C Version） 剑指 Offer（第2版）题解（C Version）面试题 3：数组中重复的数字面试题 4：二维数组中的查找面试题 5：替换空格面试…...

编程日记 2023/11/28 14:15:32

6.15合并二叉树（LC617-E）

算法： 前序、中序、后序都可以，这道题正常逻辑一般都是用前序 正确代码： 这里就是在root1这颗树上改的，也可以新建一个树。 /*** Definition for a binary tree node.* public class TreeNode {* int val;* TreeNode …...

编程日记 2023/11/28 14:13:31

百度智能小程序系统源码+关键词排名优化 附带完整的搭建教程

百度智能小程序系统的开发背景是基于百度强大的技术实力和对用户需求的深入理解。在移动互联网时代，用户对便捷、高效、智能的服务需求越来越高。而小程序作为一种轻量级的应用程序，恰好能够满足用户的这些需求。然而，开发一个小程序需要掌握…...

编程日记 2023/11/28 14:12:29

2019年11月7日 Go生态洞察：Go Modules v2及更高版本

🌷🍁 博主猫头虎（🐅🐾）带您 Go to New World✨🍁 🦄 博客首页——🐅🐾猫头虎的博客🎐 🐳 《面试题大全专栏》 🦕 文章图文…...

编程日记 2023/11/28 14:09:25

vue3通过provide和inject实现多层级组件通信

父组件 <template><div><h1>我是父组件 {{num}}</h1><hr><child></child></div> </template><script setup> import child from ./child.vue; import { ref,provide } from vue; let num ref(520) provide(pare…...

编程日记 2023/11/28 14:08:24

【Java学习笔记】72 - 满汉楼 - 餐饮管理系统

项目代码 https://github.com/yinhai1114/Java_Learning_Code/tree/main/IDEA_Chapter26 一、需求说明 满汉楼项目功能多&#xff0c;界面复杂&#xff0c;涉及到复杂的awt和swing技术和事件编程&#xff0c;做如下调整: 1.去掉界面和事件处理(工作中使用很少)&#xff0c;使…...

编程日记 2023/11/28 14:07:23

【我的创作纪念日】

机缘 大家好&#xff0c;我是圥忈ゼ&#xff0c; 2023 年 07 月 20 日&#xff0c;我撰写了第 1 篇技术博客&#xff1a;《我的编程未来规划》&#xff0c;也是由于我高考后的专业选择&#xff0c;和就业方向的选择&#xff0c;加上想立志成为一名专业 IT 作者&#xff0c;我结…...

编程日记 2023/11/28 14:05:20

车载通信架构 —— 传统车内通信网络MOST总线（光纤传输、专精多媒体）

车载通信架构 —— 传统车内通信网络MOST总线（光纤传输、专精多媒体） 我是穿拖鞋的汉子，魔都中坚持长期主义的汽车电子工程师。 老规矩，分享一段喜欢的文字，避免自己成为高知识低文化的工程师： 屏蔽力是信息过载时代一个人的特殊竞争力，任何消耗你的人和事，多看一眼都…...

编程日记 2023/11/28 14:04:19

使用Pytorch从零开始构建Energy-based Model

知识回顾: [1] 生成式建模概述 [2] Transformer I&#xff0c;Transformer II [3] 变分自编码器 [4] 生成对抗网络&#xff0c;高级生成对抗网络 I&#xff0c;高级生成对抗网络 II [5] 自回归模型 [6] 归一化流模型 [7] 基于能量的模型 [8] 扩散模型 I, 扩散模型 II 在本教程中…...

编程日记 2023/11/28 14:03:18

基于C#实现梳排序

为什么取名为梳&#xff0c;可能每个梳都有自己的 gap 吧&#xff0c;大梳子 gap 大一点&#xff0c;小梳子 gap 小一点。上一篇我们看到鸡尾酒排序是在冒泡排序上做了一些优化&#xff0c;将单向的比较变成了双向&#xff0c;同样这里的梳排序也是在冒泡排序上做了一些优化。 …...

编程日记 2023/11/28 14:00:15

盘点72个Android系统源码安卓爱好者不容错过

盘点72个Android系统源码安卓爱好者不容错过 学习知识费力气&#xff0c;收集整理更不易。 知识付费甚欢喜&#xff0c;为咱码农谋福利。 链接&#xff1a;https://pan.baidu.com/s/1qiWeLjF2i4dlgmTYgPPSvw?pwd8888 提取码&#xff1a;8888 项目名称 A keyboardlisten…...

编程日记 2023/11/28 13:59:14

nodejs+vue+elementui足球篮球联赛系统

系统主要是以后台管理员管理为主。管理员需要先登录系统然后才可以使用本系统&#xff0c;管理员可以对个人中心、用户管理、赛事信息管理、球队信息管理、球员信息管理、比赛分值板管理、系统管理等进行添加、查询、修改、删除&#xff0c;以保障足球联赛管理系统的正常运行。…...

编程日记 2023/11/28 13:58:13

18.Oracle的过程和函数

oracle11g的过程和函数 一、过程&#xff08;Procedure&#xff09;1、子程序2、过程的相关语法 二、函数&#xff08;Function&#xff09;1、函数的概念2、函数的创建3、 案例 在Oracle数据库中&#xff0c;过程和函数都是用来封装一系列SQL语句和逻辑操作的数据库对象&#…...

编程日记 2023/11/28 13:55:11

A JSONObject text must begin with ‘{‘ at 1 [character 2 line 1]

今天调用一个接口&#xff0c;返回的是json数据&#xff0c;但是拿到数据进行转换的报错&#xff0c; JSONObject resultJson new JSONObject(resuStr);报错信息是&#xff1a; Exception in thread "main" org.json.JSONException: A JSONObject text must begin …...

编程日记 2023/11/28 13:54:10

C#中openFileDialog控件的使用方法

目录 一、OpenFileDialog基本属性 二、使用 OpenFile 从筛选的选择中打开文件 1.示例源码 2.生成效果 3. 其它示例 三、使用 StreamReader 以流的形式读取文件 1.示例源码 2.生成效果 四、一种新颖的Windows窗体应用文件设计方法 在C#中&#xff0c;OpenFileDialog控件…...

编程日记 2023/11/28 13:53:09

多线程04 死锁,线程可见性

前言 前面我们讲到了简单的线程安全问题以及简单的解决策略 其根本原因是cpu底层对线程的抢占式调度策略,随机调度 其他还有一些场景的问题如下 1.多个线程同时修改一个变量问题 2.执行的操作指令本身不是原子的 比如自增操作就分为三步,加载,自增,保存 3.内存可见性问题 4.指令…...

编程日记 2023/11/28 13:52:07

java中文转拼音（去除音调）

一、jar包 <dependency><groupId>com.belerweb</groupId><artifactId>pinyin4j</artifactId><version>2.5.1</version></dependency> 二、代码 /*** 中文转换拼音*/ public class PinyinConvert {/**** param str 钱多多* r…...

编程日记 2023/11/28 13:51:06

【词汇专栏】向量数据库：RAG的弹药库

向量数据库&#xff1a;RAG的弹药库 一句话理解 向量数据库是AI时代的"图书馆索引系统"——不是按字母排序&#xff0c;而是按语义相似度组织&#xff0c;让AI能够快速找到"意思相近"的内容。2026年&#xff0c;向量数据库已从"可选项"变成RAG…...

编程新知 2026/4/14 19:49:21

C2000系列DSP中CLB模块的Syscfg配置问题排查指南

1. 遇到CLB模块配置问题的常见表现 最近在调试C2000系列DSP的CLB模块时&#xff0c;发现使用Syscfg配置工具后&#xff0c;编译通过但没生成预期的.vcd和.html文件。这个问题困扰了我好几天&#xff0c;相信不少开发者也会遇到类似情况。今天我就把排查过程和解决方案详细分享给…...

编程新知 2026/4/14 18:51:23

避开这些坑！用Multisim做模电仿真时，为什么你的增益计算和仿真结果对不上？

避开这些坑&#xff01;用Multisim做模电仿真时&#xff0c;为什么你的增益计算和仿真结果对不上&#xff1f; 在电子电路设计与分析中&#xff0c;仿真软件已成为不可或缺的工具。Multisim作为业界广泛使用的电路仿真平台&#xff0c;其强大的功能和直观的界面深受工程师和学生…...

编程新知 2026/4/14 18:27:08

Rocket.Chat频道管理终极指南：创建、归档与权限控制全解析

Rocket.Chat频道管理终极指南&#xff1a;创建、归档与权限控制全解析 【免费下载链接】Rocket.Chat The Secure CommsOS™ for mission-critical operations 项目地址: https://gitcode.com/GitHub_Trending/ro/Rocket.Chat Rocket.Chat作为一款注重数据保护的通信平台…...

编程新知 2026/4/14 17:30:24

杰理之用cis 实现对讲机功能【篇】

增加回音消除算法节点。...

编程新知 2026/4/14 16:18:31

如何通过Performance Fish让你的环世界运行速度提升400%：终极性能优化指南

如何通过Performance Fish让你的环世界运行速度提升400%&#xff1a;终极性能优化指南 【免费下载链接】Performance-Fish Performance Mod for RimWorld 项目地址: https://gitcode.com/gh_mirrors/pe/Performance-Fish 你是否曾经在环世界中建造了一个庞大的殖民地&am…...

编程新知 2026/4/14 16:00:20

AI手势识别入门必看：MediaPipe彩虹骨骼版部署与使用常见问题全解答

AI手势识别入门必看&#xff1a;MediaPipe彩虹骨骼版部署与使用常见问题全解答 1. 快速了解MediaPipe彩虹骨骼版 1.1 什么是MediaPipe Hands模型 MediaPipe Hands是Google开发的一款轻量级手部关键点检测模型&#xff0c;能够在普通CPU上实现实时手势识别。它能够精准定位手…...

编程新知 2026/4/14 14:25:30

商家如何根据IP归属地工具做差异化服务？

在全球化电商和本地化服务的浪潮中&#xff0c;商家面临的共同痛点是&#xff1a;不同地区的用户需求差异巨大&#xff0c;提供一刀切的页面和服务&#xff0c;往往导致转化率低下。研究表明&#xff0c;近70%的中国用户更愿意响应与自身地理位置相关的营销内容。而IP归属地工具…...

编程新知 2026/4/14 13:38:38

小白程序员必备：收藏！从运维到网络安全，开启高薪新篇章

小白程序员必备&#xff1a;收藏&#xff01;从运维到网络安全&#xff0c;开启高薪新篇章 运维是确保IT系统高效稳定运行的核心岗位&#xff0c;工作内容包括系统监控、故障排查、性能优化、安全防护等。随着网络安全人才缺口达70万&#xff0c;运维转型网络安全成为高薪新趋势…...

编程新知 2026/4/14 12:16:23

PeachPie性能优化10个技巧：让您的PHP应用在.NET平台上飞起来

PeachPie性能优化10个技巧&#xff1a;让您的PHP应用在.NET平台上飞起来 【免费下载链接】peachpie PeachPie - the PHP compiler and runtime for .NET and .NET Core 项目地址: https://gitcode.com/gh_mirrors/pe/peachpie PeachPie作为将PHP代码编译为.NET平台可执行…...

编程新知 2026/4/14 11:57:12