×

渗透测试环境搭建与工具使用-FireFox浏览器插件配置使用1
  

赵庆煜 8210

{{ttag.title}}
实验目的
了解Firefox浏览常用插件的功能和作用,掌握Hackbar的简单配置与使用。
实验环境靶机:Windows 7 安装的应用软件:Apache、MySQL(MariaDB)、PHP,SQLi-Labs;
测试主机系统:kali-2023.4
实验原理
Web渗透测试时,经常要和浏览器地址栏内容进行交互,比如添加或修改参数、变更URL等。有些服务器的响应包含重定向、重载、参数变化,所有的这些变化的获得需要花费大量的时间去在这些变量上尝试不同的参数,借助合适的工具,可以大大缩短这一过程的繁琐程度。Hackbar是一个Firefox的插件,它的功能类似于地址栏,但是它里面的数据不受服务响应触发的重定向等其它变化的影响,这一功能在我们后面测试Web应用中十分有帮助。
实验步骤
1.启动Firefox浏览器及Hackbar插件在操作机Kali上启动Firefox浏览器:

启动Firefox浏览器后,按下F12键启动Hackbar:

2.Hackbar插件的简单使用
(1)Load和Execute功能的使用
Load功能:将浏览器地址栏中的URL加载到Hackbar的输入框。
Execute功能:执行Hackbar输入框中的URL及参数。
在浏览器地址栏中输入以下URL,访问靶机上的SQLi-Labs网站第1关:http://[靶机IP]/sqli-labs/Less-1/

在Hackbar界面点击“Load URL”按钮,此时浏览器地址栏中的URL会被加载到Hackbar的输入框中:在Hackbar输入框中将原URL修改为:http://[靶机IP]/sqli-labs/Less-1/?id=1;

修改完成后点击“Execute”按钮,观察页面的变化:

(2)Split功能的使用Split功能:按照URL中的动态参数将URL进行切分。在当前状态下,直接点击“Split URL”按钮,此时输入框的URL会按动态参数被切分:

此时点击“Execute”按钮,页面显示的结果不变。
(3)Post功能的使用在Hackbar输入框中输入以下URL,并点击“Execute”按钮,访问SQLi-Labs的第11关:http://[靶机IP]/sqli-labs/Less-11/

在Hackbar界面钩选“Post data”,并在弹出的Post输入框中输入以下内容:uname=admin&passwd=admin,输入完成后,点击“Execute”按钮

页面显示成功登录:

(4)编码功能的使用取消“Post data”的钩选,在Hackbar输入框中输入以下URL,并点击“Execute”按钮,访问SQLi-Labs的Less-2:http://[靶机IP]/sqli-labs/Less-2/

将Hackbar输入框中的URL更改为以下URL,并点击“Execute”按钮:http://[靶机IP]/sqli-labs/Less-2/?id=1 and 1=1

在Hackbar输入框中,将当前URL中的第二个空格选中,并选择Hackbar菜单项“Encoding”->“URL Encode”:

最终,空格会被编码成“%20”。

说明:进行SQL注入时,在特定情况下可以利用编码技术绕过WAF的检查。在此状态下点击“Execute”按钮,此时页面显示的结果不变。
实验总结
本次实验,体验了Hackbar的功能及简单配置使用。

打赏鼓励作者,期待更多好文!

打赏
3人已打赏

头像被屏蔽
Annn 发表于 2024-8-19 14:40
  
提示: 作者被禁止或删除 内容自动屏蔽
头像被屏蔽
Annn 发表于 2024-8-19 14:40
  
提示: 作者被禁止或删除 内容自动屏蔽
头像被屏蔽
Annn 发表于 2024-8-19 14:39
  
提示: 作者被禁止或删除 内容自动屏蔽
头像被屏蔽
Annn 发表于 2024-8-19 14:39
  
提示: 作者被禁止或删除 内容自动屏蔽
头像被屏蔽
刘林1 发表于 2024-3-14 10:14
  

回帖奖励 +1

提示: 作者被禁止或删除 内容自动屏蔽
头像被屏蔽
刘林1 发表于 2024-3-13 10:04
  
提示: 作者被禁止或删除 内容自动屏蔽
发表新帖
热门标签
全部标签>
2025年技术争霸赛
每日一问
新版本体验
标准化排查
GIF动图学习
产品连连看
信服课堂视频
纪元平台
功能体验
高手请过招
安装部署配置
社区新周刊
【 社区to talk】
技术笔记
运维工具
每周精选
故障笔记
答题自测
排障笔记本
秒懂零信任
技术晨报
技术盲盒
畅聊IT
专家问答
技术圆桌
在线直播
MVP
网络基础知识
升级
安全攻防
上网策略
测试报告
日志审计
问题分析处理
流量管理
每日一记
用户认证
原创分享
解决方案
sangfor周刊
VPN 对接
项目案例
SANGFOR资讯
专家分享
技术顾问
信服故事
SDP百科
功能咨询
终端接入
授权
设备维护
资源访问
地址转换
虚拟机
存储
迁移
产品预警公告
玩转零信任
S豆商城资讯
技术争霸赛
「智能机器人」
追光者计划
2023技术争霸赛专题
卧龙计划
华北区拉练
天逸直播
以战代练
平台使用
山东区技术晨报
文档捉虫
齐鲁TV
华北区交付直播
2024年技术争霸赛
北京区每日一练
场景专题
排障那些事
西北区每日一问
升级&主动服务
高频问题集锦
POC测试案例
全能先锋系列
安全效果
云化安全能力
专家说
热门活动
产品动态
行业实践
产品解析
关键解决方案

本版版主

13
5
2

发帖

粉丝

关注

本版达人