渗透测试环境搭建与工具使用-FireFox浏览器插件配置使用1
  

赵庆煜 10032

{{ttag.title}}
实验目的
了解Firefox浏览常用插件的功能和作用,掌握Hackbar的简单配置与使用。
实验环境靶机:Windows 7 安装的应用软件:Apache、MySQL(MariaDB)、PHP,SQLi-Labs;
测试主机系统:kali-2023.4
实验原理
Web渗透测试时,经常要和浏览器地址栏内容进行交互,比如添加或修改参数、变更URL等。有些服务器的响应包含重定向、重载、参数变化,所有的这些变化的获得需要花费大量的时间去在这些变量上尝试不同的参数,借助合适的工具,可以大大缩短这一过程的繁琐程度。Hackbar是一个Firefox的插件,它的功能类似于地址栏,但是它里面的数据不受服务响应触发的重定向等其它变化的影响,这一功能在我们后面测试Web应用中十分有帮助。
实验步骤
1.启动Firefox浏览器及Hackbar插件在操作机Kali上启动Firefox浏览器:

启动Firefox浏览器后,按下F12键启动Hackbar:

2.Hackbar插件的简单使用
(1)Load和Execute功能的使用
Load功能:将浏览器地址栏中的URL加载到Hackbar的输入框。
Execute功能:执行Hackbar输入框中的URL及参数。
在浏览器地址栏中输入以下URL,访问靶机上的SQLi-Labs网站第1关:http://[靶机IP]/sqli-labs/Less-1/

在Hackbar界面点击“Load URL”按钮,此时浏览器地址栏中的URL会被加载到Hackbar的输入框中:在Hackbar输入框中将原URL修改为:http://[靶机IP]/sqli-labs/Less-1/?id=1;

修改完成后点击“Execute”按钮,观察页面的变化:

(2)Split功能的使用Split功能:按照URL中的动态参数将URL进行切分。在当前状态下,直接点击“Split URL”按钮,此时输入框的URL会按动态参数被切分:

此时点击“Execute”按钮,页面显示的结果不变。
(3)Post功能的使用在Hackbar输入框中输入以下URL,并点击“Execute”按钮,访问SQLi-Labs的第11关:http://[靶机IP]/sqli-labs/Less-11/

在Hackbar界面钩选“Post data”,并在弹出的Post输入框中输入以下内容:uname=admin&passwd=admin,输入完成后,点击“Execute”按钮

页面显示成功登录:

(4)编码功能的使用取消“Post data”的钩选,在Hackbar输入框中输入以下URL,并点击“Execute”按钮,访问SQLi-Labs的Less-2:http://[靶机IP]/sqli-labs/Less-2/

将Hackbar输入框中的URL更改为以下URL,并点击“Execute”按钮:http://[靶机IP]/sqli-labs/Less-2/?id=1 and 1=1

在Hackbar输入框中,将当前URL中的第二个空格选中,并选择Hackbar菜单项“Encoding”->“URL Encode”:

最终,空格会被编码成“%20”。

说明:进行SQL注入时,在特定情况下可以利用编码技术绕过WAF的检查。在此状态下点击“Execute”按钮,此时页面显示的结果不变。
实验总结
本次实验,体验了Hackbar的功能及简单配置使用。

打赏鼓励作者,期待更多好文!

打赏
3人已打赏

头像被屏蔽
刘林1 发表于 2024-3-13 10:04
  
提示: 作者被禁止或删除 内容自动屏蔽
头像被屏蔽
刘林1 发表于 2024-3-14 10:14
  

回帖奖励 +1

提示: 作者被禁止或删除 内容自动屏蔽
头像被屏蔽
Annn 发表于 2024-8-19 14:39
  
提示: 作者被禁止或删除 内容自动屏蔽
头像被屏蔽
Annn 发表于 2024-8-19 14:39
  
提示: 作者被禁止或删除 内容自动屏蔽
头像被屏蔽
Annn 发表于 2024-8-19 14:40
  
提示: 作者被禁止或删除 内容自动屏蔽
头像被屏蔽
Annn 发表于 2024-8-19 14:40
  
提示: 作者被禁止或删除 内容自动屏蔽
发表新帖
热门标签
全部标签>
有一说一
纪元平台
功能体验
存储
专家分享
迁移
每日一问
新版本体验
GIF动图学习
信服课堂视频
虚拟机
每周精选
项目案例
标准化排查
地址转换
追光者计划
技术笔记
安全攻防
问题分析处理
流量管理
终端接入
「智能机器人」
专家说
声音值千金
工具体验官
答题自测
上网策略
资源访问
排障笔记本
产品预警公告
技术晨报
升级
日志审计
解决方案
设备维护
技术争霸赛
以战代练
场景专题
社区新周刊
全能先锋系列
产品连连看
VPN 对接
功能咨询
秒懂零信任
文档捉虫
齐鲁TV
高频问题集锦
【 社区to talk】
云化安全能力
产品解析
安装部署配置
2025年技术争霸赛
测试报告
SDP百科
华北区交付直播
行业实践
MVP
每日一记
运维工具
原创分享
sangfor周刊
SANGFOR资讯
授权
玩转零信任
山东区技术晨报
故障笔记
排障那些事
升级&主动服务
产品知识周周练
畅聊IT
专家问答
技术圆桌
在线直播
信服故事
卧龙计划
平台使用
技术盲盒
北京区每日一练
产品动态
用户认证
技术顾问
POC测试案例
安全效果
关键解决方案
S豆商城资讯
2023技术争霸赛专题
天逸直播
产品体验官
VMware替换
网络基础知识
华北区拉练
西北区每日一问
热门活动
高手请过招
2024年技术争霸赛

本版版主

13
6
2

发帖

粉丝

关注

本版达人