×

渗透测试环境搭建与工具使用-FireFox浏览器插件配置使用1
  

赵庆煜 7614

{{ttag.title}}
实验目的
了解Firefox浏览常用插件的功能和作用,掌握Hackbar的简单配置与使用。
实验环境靶机:Windows 7 安装的应用软件:Apache、MySQL(MariaDB)、PHP,SQLi-Labs;
测试主机系统:kali-2023.4
实验原理
Web渗透测试时,经常要和浏览器地址栏内容进行交互,比如添加或修改参数、变更URL等。有些服务器的响应包含重定向、重载、参数变化,所有的这些变化的获得需要花费大量的时间去在这些变量上尝试不同的参数,借助合适的工具,可以大大缩短这一过程的繁琐程度。Hackbar是一个Firefox的插件,它的功能类似于地址栏,但是它里面的数据不受服务响应触发的重定向等其它变化的影响,这一功能在我们后面测试Web应用中十分有帮助。
实验步骤
1.启动Firefox浏览器及Hackbar插件在操作机Kali上启动Firefox浏览器:

启动Firefox浏览器后,按下F12键启动Hackbar:

2.Hackbar插件的简单使用
(1)Load和Execute功能的使用
Load功能:将浏览器地址栏中的URL加载到Hackbar的输入框。
Execute功能:执行Hackbar输入框中的URL及参数。
在浏览器地址栏中输入以下URL,访问靶机上的SQLi-Labs网站第1关:http://[靶机IP]/sqli-labs/Less-1/

在Hackbar界面点击“Load URL”按钮,此时浏览器地址栏中的URL会被加载到Hackbar的输入框中:在Hackbar输入框中将原URL修改为:http://[靶机IP]/sqli-labs/Less-1/?id=1;

修改完成后点击“Execute”按钮,观察页面的变化:

(2)Split功能的使用Split功能:按照URL中的动态参数将URL进行切分。在当前状态下,直接点击“Split URL”按钮,此时输入框的URL会按动态参数被切分:

此时点击“Execute”按钮,页面显示的结果不变。
(3)Post功能的使用在Hackbar输入框中输入以下URL,并点击“Execute”按钮,访问SQLi-Labs的第11关:http://[靶机IP]/sqli-labs/Less-11/

在Hackbar界面钩选“Post data”,并在弹出的Post输入框中输入以下内容:uname=admin&passwd=admin,输入完成后,点击“Execute”按钮

页面显示成功登录:

(4)编码功能的使用取消“Post data”的钩选,在Hackbar输入框中输入以下URL,并点击“Execute”按钮,访问SQLi-Labs的Less-2:http://[靶机IP]/sqli-labs/Less-2/

将Hackbar输入框中的URL更改为以下URL,并点击“Execute”按钮:http://[靶机IP]/sqli-labs/Less-2/?id=1 and 1=1

在Hackbar输入框中,将当前URL中的第二个空格选中,并选择Hackbar菜单项“Encoding”->“URL Encode”:

最终,空格会被编码成“%20”。

说明:进行SQL注入时,在特定情况下可以利用编码技术绕过WAF的检查。在此状态下点击“Execute”按钮,此时页面显示的结果不变。
实验总结
本次实验,体验了Hackbar的功能及简单配置使用。

打赏鼓励作者,期待更多好文!

打赏
3人已打赏

头像被屏蔽
Annn 发表于 2024-8-19 14:40
  
提示: 作者被禁止或删除 内容自动屏蔽
头像被屏蔽
Annn 发表于 2024-8-19 14:40
  
提示: 作者被禁止或删除 内容自动屏蔽
头像被屏蔽
Annn 发表于 2024-8-19 14:39
  
提示: 作者被禁止或删除 内容自动屏蔽
头像被屏蔽
Annn 发表于 2024-8-19 14:39
  
提示: 作者被禁止或删除 内容自动屏蔽
头像被屏蔽
刘林1 发表于 2024-3-14 10:14
  

回帖奖励 +1

提示: 作者被禁止或删除 内容自动屏蔽
头像被屏蔽
刘林1 发表于 2024-3-13 10:04
  
提示: 作者被禁止或删除 内容自动屏蔽
发表新帖
热门标签
全部标签>
每日一问
标准化排查
新版本体验
高手请过招
【 社区to talk】
功能体验
纪元平台
技术笔记
产品连连看
信服课堂视频
每日一记
安装部署配置
社区新周刊
sangfor周刊
平台使用
S豆商城资讯
技术晨报
技术盲盒
GIF动图学习
畅聊IT
答题自测
专家问答
技术圆桌
在线直播
MVP
网络基础知识
升级
安全攻防
上网策略
测试报告
日志审计
问题分析处理
流量管理
运维工具
用户认证
原创分享
解决方案
VPN 对接
项目案例
SANGFOR资讯
专家分享
技术顾问
信服故事
SDP百科
功能咨询
终端接入
授权
设备维护
资源访问
地址转换
虚拟机
存储
迁移
排障笔记本
产品预警公告
玩转零信任
技术争霸赛
「智能机器人」
追光者计划
2023技术争霸赛专题
卧龙计划
华北区拉练
天逸直播
以战代练
秒懂零信任
山东区技术晨报
文档捉虫
齐鲁TV
华北区交付直播
每周精选
2024年技术争霸赛
北京区每日一练
场景专题
故障笔记
排障那些事
西北区每日一问
升级&主动服务
高频问题集锦
POC测试案例
全能先锋系列
安全效果
云化安全能力
专家说
热门活动
产品动态
行业实践
产品解析
关键解决方案

本版版主

13
5
2

发帖

粉丝

关注

本版达人