web安全学习笔记-截取http请求

继续学习笔记，截取http请求初尝——工具使用：Burp Suite Proxy、Fiddler、WinSock Expert。

截取HTTP请求

渗透测试中，通常会通过截取HTTP请求来分析web应用是否存在漏洞，诸如绕过JavaScript验证、隐藏标签内容等。

Burp Suite Proxy

Burp Suite是用于Web应用安全测试工具的集成平台，包含许多工具并提供接口便于拓展开发。

首先，推荐参考工具书：burpsuite实战指南

Burp Suite功能：

工具	说明
Proxy	一个拦截HTTP/S的代理服务器，作为一个在浏览器和目标应用程序之间的中间人，允许拦截、查看、修改在两个方向上的原始数据包
Spider	一个应用智能感应的网络爬虫，能完整地 枚举Web应用程序的内容和功能
Scanner	一个高级漏洞扫描工具，能自动发现Web应用程序的安全漏洞
Intruder	一个定制的高度可配置工具，可对Web应用程序进行自动化攻击，如：枚举标识符、表单破解和信息采集
Repeater	一个靠手动操作来补发单独的HTTP请求并分析Web应用程序响应的工具
Sequencer	一个用来分析不可预知的Web应用程序会话令牌和重要数据项的随机性工具
Decoder	一个编解码工具
Comparer	一个通过一些相关请求和响应得到两项数据可视化”差异”的工具

通过Proxy进行简单的功能体验：

burp suite默认proxy的设置监听地址和端口是127.0.0.1:8080，支持自由设置。

1. 然后在浏览器中设置代理为127.0.0.1:8080，之后所有的请求都会被Burp Suite拦截了。(windows IE设置路径：设置-Internet选项-连接-局域网设置；MacOS Safari设置路径：偏好设定-进阶-代理服务器-更改设定-http代理&https代理)
   

浏览器请求网页访问后，请求即被hook，在Burp Suite的Proxy页面上，可以看到http请求的具体内容，并可对内容参数进行修改，修改完成后，点击Forward即可进行下一步(发送请求)，另外三个按钮分别是Drop(放弃本次请求)、Intercept is on(拦截开关)和Action(动作选项，可选择将本次请求发送至Spider等其他工具)。

原书建立了一个验证页面，进行了攻击演示。(本文不做这方面的个人实践了，后续有实战再上实战截图吧。)

Fiddler

Fiddler是一款优秀的Web调试工具，可对HTTP/HTTPS通信进行断点调试，修改输入/输出(因此较多用于Android应用破解与调试中).一些基本教程

一些关键功能说明：

• 过滤器：过滤请求消息、响应消息、状态码等，用于过滤不需关注的css文件、IMAGE等会话。
• 设置断点：1、通过”Rules” -> “Automatic Breakpoints”选择在请求前、响应后进行拦截或不拦截；2、通过命令”bpu www.xxoo.com”(拦截所有该网站会话)或”bpafter **”(拦截响应消息)
• 第三方插件：
  • Intruder21：类似Burp的Intruder模块， 用于fuzzing；
  • x5s：快速发现跨站脚本漏洞；
  • Ammonite：一款web应用安全扫描插件，检测SQL注入、命令行注入、本地文件包含、缓冲区溢出和XSS漏洞。(ammonite看来是下架了-.-)
• 移动端抓包：设置”Allow remote computers to connect”，在终端上安装fiddler证书，并设置fiddler主机IP地址为代理服务器，即可对手机端HTTP/HTTPS请求进行抓包分析与劫持。

WinSock Expert

WinSock Expert可以抓取指定进程的数据包(可以监视与修改)。(其优点在于大小仅200KB)

在WinSock Expert的进程列表中选中进程，点击”Open”即可对进程的网络通信进行监控。

可参考：Winsock Expert——小白抓包学习神器

黑帽SEO之搜索引擎劫持

利用HTTP协议劫持搜索引擎做SEO优化，可能是最古老、寿命最长的黑产之一了。

黑帽SEO的一般原理是：

1. 入侵大流量网站或关键词相关网站，注入劫持代码(代码如图——原理如下)；
2. 建立劫持搜索引擎库：以baidu、google等域名为关键字；
3. 获取HTTP Referer头；
4. 遍历搜索引擎库，并与Referer的内容进行比较，如果两者相同或者存在搜索关键字，即跳转到指定页面，也就是域名劫持。

更多技术手法可参考:黑帽SEO剖析之手法篇

​