常見web漏洞的流量分析

工具

• 攻擊機
• 受害機
• wireshark

sql注入的流量分析

啟動靶場

進行攻擊

查看wireshark分析流量包

可以看到大量請求報文中明顯帶有sql語句

XSS注入的流量分析

啟動靶場

進行攻擊

查看wireshark分析流量包

明顯的可以看到在請求報文中帶有js語句

文件上傳漏洞流量分析

啟動靶場

進行攻擊

查看wireshark分析流量包

在請求報文中的多媒體數據幀封裝部分的data字段里有明顯的php危險函數和代碼

文件包含漏洞流量分析

啟動靶場

進行攻擊

查看wireshark分析流量包

在請求報文中帶有明顯的../或者是敏感文件名還有像file、ftp、http、data、glob等封裝協議字樣

文件讀取漏洞流量分析

寫一個php文件讀取代碼

進行攻擊

查看wireshark分析流量包

有著明顯的../../目錄穿越和絕對路徑，請求一些敏感文件

ssrf流量分析

啟動靶場

進行攻擊

查看wireshark分析流量包

很明顯的出現了一些gopher、php、dict等偽協議和探測端口、訪問敏感文件

shiro反序列化流量分析

啟動靶場

進行攻擊

查看wireshark分析流量包

可以看到大量的請求包和cookie值異常的長將remember me 的值復制然后進行base64解碼后在解碼就會發現利用鏈

可以使用ysoserial工具

jwt流量分析

啟動靶場

進行攻擊

wireshark流量分析

因為簽名會過期，失效所以修改后會舍棄最后的簽名字段，還有一種可能就是簽名密鑰爆破會引發大量http請求

暴力破解流量分析

啟動靶場

進行攻擊

wireshark流量分析

全都來自一個ip很短的時間發起的大量http請求，在每個請求包中都含有不同的用戶名密碼登錄請求

命令執行流量分析

啟動靶場

進行攻擊

wireshark流量分析

可以明顯的看到在請求包中有cmd命令

反彈shell

kall開啟nc監聽

使用nc反彈

使用wireshark分析流量

發現大量的tcp數據包，并且數據包中的ip端口都相同說明建立了穩定的連接伴隨數據字段中還有大量的代碼執行