WEB源码分析

WEB源码目录结构

后台目录
模板目录–对应网站外观,用于美化,可能命名为template;
数据库目录–保护数据库操作文件;
数据库配置文件–重点,获取到该文件可获得数据库账号密码,以此下载网站源码,获取网站管理员账号密码,网站与数据库通讯信息,可能在includes/data文件夹下,命名为config;

WEB源码脚本类型

ASP、PHP、ASPX、JSP、JAVAWEB、Python(数据库存储/解释或编译型/语言安全)

WEB源码应用分类

门户–》综合类漏洞
电商–》业务逻辑突出
在这里插入图片描述
在这里插入图片描述

在这里插入图片描述

通过burp抓包,更改交易商品参数后,支付金额发生改变。
论坛–》xss,逻辑突出
博客–》漏洞较少
第三方–》据功能决定
其他

WEB源码其他说明

框架并不等于CMS,
框架或非框架–》框架漏洞或无框架
CMS(内容管理系统)识别–》人工、工具、平台识别;例如xycms、metinfo
F12查看js、jpg等文件的请求头,对应特殊路径名进行搜索然后查看框架漏洞
在这里插入图片描述
在这里插入图片描述

开源或内部–》开源-直接找漏洞或审计;内部-常规渗透测试
源码获取–》备份获取、CMS识别后获取、特定源码特定渠道

CMS在线识别:
whatweb: https://whatweb.net/
bugscanner: http://whatweb.bugscanner.com/look/
云悉指纹: http://www.yunsee.cn/finger.html
测试网站: http://www.superwing.com.cn/

源码获取渠道:咸鱼、菜鸟源码

相关推荐

  1. web3j 合约方法调用分析

    2024-07-15 18:02:04       34 阅读
  2. SDWebImage分析

    2024-07-15 18:02:04       25 阅读

最近更新

  1. docker php8.1+nginx base 镜像 dockerfile 配置

    2024-07-15 18:02:04       66 阅读
  2. Could not load dynamic library ‘cudart64_100.dll‘

    2024-07-15 18:02:04       70 阅读
  3. 在Django里面运行非项目文件

    2024-07-15 18:02:04       57 阅读
  4. Python语言-面向对象

    2024-07-15 18:02:04       68 阅读

热门阅读

  1. 网络协同新纪元:Eureka引领分布式网络管理革命

    2024-07-15 18:02:04       19 阅读
  2. deepstream tracker NvDCF未实现跟踪

    2024-07-15 18:02:04       19 阅读
  3. Mybatis

    Mybatis

    2024-07-15 18:02:04      13 阅读
  4. Kafka 入门指南

    2024-07-15 18:02:04       14 阅读
  5. 【redis】redis发布/订阅模型

    2024-07-15 18:02:04       21 阅读
  6. 理解前端内存泄露

    2024-07-15 18:02:04       25 阅读
  7. Spring Boot和Spring有什么区别

    2024-07-15 18:02:04       15 阅读
  8. python2与python3中的subprocess.Popen差异

    2024-07-15 18:02:04       19 阅读
  9. 面向开发者的提示词工程第一章-简介

    2024-07-15 18:02:04       22 阅读
  10. Python网页开发的常用框架

    2024-07-15 18:02:04       20 阅读