Web安全:截包工具

2020-12-24 51cto

Web安全：截包工具

提及截包工具，我們自然就會想到重放攻擊。重放攻擊是一種主動的攻擊方式，一般是由中間人發起的攻擊。

作者：佚名來源：計算機與網絡安全|2020-12-23 10:30

 

提及截包工具，我們自然就會想到重放攻擊。重放攻擊是一種主動的攻擊方式，一般是由中間人發起的攻擊。一般攻擊者使用截包工具截包以後，即刻改包並重發包，這就是攻擊者通常使用的重放攻擊流程。以前常用的截包工具有Winsock Expert，現在常用的截包工具有Burp Suite、Fiddler及Wireshark等。

1、Burp Suite

Burp Suite基本上是一個截包、改包及發包的工具，裡面集成了許多滲透測試的模塊。其中常用的模塊是repeater模塊及intruder模塊。我們可以用repeater模塊實現數據包的發送測試，具體是先將數據包從瀏覽器截取下來，然後send to repeater至repeater模塊中進行測試。測試的目的是什麼？當然是觀察伺服器返回給我們的響應，以此來探測伺服器的內部情況（一般是應用程式情況）。我們一般用它來測試SQL注入、跨站腳本漏洞及敏感信息洩露等，為進一步滲透測試做鋪墊。intruder模塊則用於密碼及帳戶等的暴力破解，Burp Suite如圖1所示。

圖1  Burp Suite

2、Fiddler

Fiddler是一款強大的HTTP截包工具，可用來調試網頁和伺服器的交互情況，能夠記錄所有客戶端與伺服器間的HTTP通信請求。Fiddler具有監視、設置斷點甚至修改輸入輸出數據等功能。Fiddler對開發者或者測試者而言，都是非常有用的工具。Fiddler工具如圖2所示。

圖2  Fiddler

3、Wireshark

Wireshark是一款功能十分強大的截包分析工具。截包分析工具的功能是截取網絡數據包，並儘可能顯示出詳細的網絡數據包信息。Wireshark使用WinPcap作為接口直接與網卡進行數據包交換。我們可將截包分析工具的功能想像成電工技師使用電錶測電流、電壓及電阻的工作，二者的不同之處僅在於：截包分析是將工作場景放在了網絡上。Wireshark工具如圖3所示。

圖3  Wireshark

4、Winsock Expert

Winsock Expert是一款用來監視與修改網絡發送和接收的數據包的工具，它可用來調試網絡應用程式，分析網絡程序的通信協議（例如分析瀏覽器發送和接收的數據包），並且在必要的時候能夠重放數據包。Winsock Expert是一款「老舊」的截包工具，它已有很長的歷史，但仍是一款十分好用的工具，如圖4所示。

圖4  Winsock Expert

【編輯推薦】

【責任編輯：

龐桂玉

TEL：（010）68476606】

點讚 0

相關焦點

  • web安全-HTTP截取工具講解(1/3)(連載)
    很多網站為了減少伺服器端的壓力，在後臺方面減少驗證，而在web前端使用JS進行驗證，殊不知這樣增加了很多安全隱患，在滲透測試中會對HTTP請求的攔截進行分析發現一些隱秘的漏洞。（例如：JS繞過，隱藏標籤，等其它很多有用的信息）一：BP（burp suite proxy）工具bp發展到今天已經成長為一個比較全面的工具集了，包括基本的攔截請求、代理設置、自動訪問等還包括自動注入檢測目錄爬行等更多全面的框架。
  • Web安全:編解碼工具
    Web安全：編解碼工具 編碼是信息從一種形式轉換為另一種形式的過程，例如URL編碼、Base64編碼及十六進位編碼等。也指將編碼後的字符或者字符串還原為信息的過程，如解碼與編碼互逆。現在常用的編碼、解碼工具有XSSEncode、小葵多功能轉換工具等。
  • Sitadel:Web安全掃描工具
    Sitadel Web安全掃描工具基本上是WAScan的更新，使其與 語言（PHP，Ruby等） Cookie安全 內容交付網絡（CDN） 攻擊次數： 蠻力 管理界面 常見的後門 通用備份目錄
  • 白帽子黑客抓包工具排行榜
    網絡安全的白帽子黑客都有一些心水的抓包工具，抓包工具是攔截查看網絡數據包內容的軟體。白帽子黑客用抓包工具來分析報文，針對漏洞做一些滲透測試。下面對白帽子黑客常用的五種網絡抓包工具做了個整理。而TCPdump恰好是一種功能強大的網絡數據採集分析工具。簡單來說就是，可以根據用戶的定義來截獲網絡上數據包的包分析工具。TCPdump的功能和截取策略，捕獲了高級系統管理員的芳心，成為其分析和排除問題的一種必備工具。
  • 如何利用MyEclipse開發工具開發基於Velocity模板的Web應用
    軟體項目實訓及課程設計指導——如何利用MyEclipse開發工具開發基於Velocity模板的Web應用1、在MyEclipse開發工具中新建一個名稱為WebVelocity的Web項目在名稱為WebVelocity的J2EE Web應用項目中的lib目錄下添加
  • SpringBoot:搭建第一個Web程序
    本文簡單介紹一下spingBoot搭建web程序的流程，希望對入門學習spingBoot的朋友有所幫助。本文採用的開發工具是IDEA。1、打開IDEA，創建項目。5、點擊下一步，咱們只需要創建一個基礎的web項目只需要按照下圖勾選相應的依賴就可以了。6、選擇好依賴後，然後點擊下一步，進入如下頁面：7、然後點擊Finish，一個spingboot的基本工程就創建完成了。
  • 北大青鳥整理:一名web前端工程師需要必備哪些技術和工具?
    最近，有小夥伴私信留言讓我總結一下：「一個合格的web前端需要會什麼技術？」我想了半天，合格的web前端當然符合企業的用人要求啊！那麼一名web前端工程師需要必備哪些技術和工具？想要成為一個高薪高職的Web前端工程師並不容易，你不僅需要掌握專業的技能點，還要具備較多的項目經驗。優秀的Web前端工程師需要掌握哪些技術工具嗎？接下來就給大家一一介紹。
  • 競對網站分析工具-SimilarWeb
    SimilarWeb這個工具的名稱或許大家都不陌生，但是具體這個工具怎麼使用，又能幫助我們做些什麼呢？今天這篇文章就來給大家解答。 不管是處於前端的銷售人員還是後端的網站運營人員來說，這款工具都是適用的。對於銷售人員，我們可以通過產品關鍵詞，用谷歌搜索出幾個相關行業的網址，然後通過SimilarWeb，找出同行的網站進行分析。
  • 愛站SEO工具包
    愛站SEO工具包是愛站推出的一款功能豐富的SEO優化工具，愛站SEO工具包提供了豐富的SEO功能，非常適合網站優化人員下載使用的SEO優化工具。
  • IT挑戰高薪必備Go語言常識-Go WEB框架
    Echo：Echo web框架是go語言開發的一種高性能，可擴展，輕量級的極簡主義的Go Web框架。echo框架真的非常簡單，幾行代碼就可以啟動一個高性能的http服務端。Echo框架默認其實只包含了MVC框架的C部分，就是負責url路由和控制器部分。Echo web框沒有對項目結構做出限制，我們可以根據自己項目需要自行設計。
  • 碩/博不得不知道的文獻查詢工具-web of science
    1 Web of science界面簡介對web of science 的界面進行了一個簡單的介紹，大家就直接看圖吧，話不多說，我們以一個例子進行說明：在web of science上搜索：celestial navigation2.對搜索結果進行篩選
  • Google Web Design 10.0發布 帳號登錄方式更加安全
    它是適用於 Windows、Mac 和 Linux 的 HTML5 內容生成工具，憑藉著用戶友好性和豐富的輔助功能，而成為各種 Web 內容的首選。 Google Web Design 10.0.0.1123 版本新增了 4 個方面的功能，並修正了 12 個問題。
  • 常見Web安全漏洞和測試方法簡介
    如果開發人員的安全意識不強，將導致無休止的Web應用程式安全問題。我們通常指的Web應用程式攻擊是指攻擊者通過瀏覽器或其他攻擊工具向URL或其他輸入區域（例如表單）中的Web伺服器發送特殊請求，以發現Web應用程式的存在。 反過來，通過操作和控制網站來達到入侵者的目的。
  • 簡單直觀的python爬蟲程序,從flask建立web程序到爬取過程
    有很多時候，要說清楚一個爬蟲程序對於新手來說有點抽象，不是那麼好理解，有一個好的辦法，爬蟲爬取的都是web網站的資源，那麼就可以用輕量級web框架flask來搭建一個web網站，然後寫一個爬蟲腳本來爬取這樣就可以比較容易的理解其工作原理。
  • 人工智慧與黑客帝國,Web安全從入門到放棄|佛系 FIT 2018 大會
    思科認為，從發生威脅，到檢測威脅，再到安全響應，整個環節的時間要足夠短才能夠保證安全。而要縮短響應時間，不能依靠傳統的方法。在思科 Stealthwatch 和 Stealthwatch Cloud 中就應用了機器學習檢測加密流量中的安全威脅。加密流量分析(ETA)並非解密加密協議而是採集大量數據，利用機器學習技術尋找流量包特徵，並且對威脅進行分類。
  • Web安全:明文密碼漏洞
    Web安全：明文密碼漏洞 明文是未加密的信息，明文密碼自然就是未加密的密碼信息，而明文密碼傳輸、明文密碼存儲、密碼弱加密及密碼存儲在攻擊者能訪問的文件等都可以看作明文密碼漏洞。
  • 十三種好用的免費安全測試工具
    有時候，人們會認為與安全相關的測試是最難以實現自動化的部分。此類測試往往缺乏容易上手的簡單工具。其實，這主要是由於測試人員未找到合適的資源。本文將向您介紹十三種頂級易用的、且免費開源的安全測試工具。Excercise in a BoxExcercise in a Box是由英國國家網絡安全中心(National Cyber Security Center)所推出的在線工具。它可以幫助用戶獲悉自己的應用是否容易遭受到網絡攻擊。
  • 英特爾為XPU軟體開發推出oneAPI工具包正式版本
    英特爾的oneAPI基礎工具包基於英特爾豐富的開發者工具經驗，包括編譯器、性能庫、分析和debug工具以及一個兼容性工具，可以幫助開發者把在CUDA上編寫的代碼遷移到Data Parallel C++（DPC++）。
  • 10 款程式設計師必備的免費開源安全工具,助你成為極客
    信息安全工程師、網絡安全產品以及相關的技術和流程都需要耗費企業大量的成本，對於大部分企業來說，往往會縮減這一部分的支出，因此許多開發人員都會首選免費的開源安全工具。
  • 盤點5個熱門的web後端開發框架
    web應用程式成功的後端開發的關鍵是選擇正確的堆棧、學習新的資料庫和程式語言以及理解伺服器體系結構。目前可選的web後端框架還是比較多的，在這篇文章中，快快小編想為大家分享熱門的5個web後端開發框架，下面就來給大家一個個介紹。