w3af 使用方法

-
运行 ./w3af_console 成功


输入Plugins 进入插件选项

list audit 列出插件模块

audit file_upload os_commanding sqli xss  blind_sqli   使用这些选项
 list crawl 列出插件

 crawl find_backdoors phpinfo web_spider 使用这些模块扫描
返回
Back
设置目标
target
Set  target http://www.xxxx.com/      目标网站              
back




输入start开始

这个表示发现了漏洞

输入exploit


输入exploit sqlmap  进行注入，注入时间有点长，等待完成后根据提示输入 interact 0 ，进入数据库shell，然后输入dbs就可以获取到数据库的信息了。



输入help 还可以执行其他命令

评论

发表评论

此博客中的热门博文

Censys：新型搜索洞察引擎使用指南

-
图片
网址：https://censys.io/ ，每天的搜索超过25次需要注册。 Censys是一款用以搜索联网设备信息的新型搜索引擎，安全专家可以使用它来评估他们实现方案的安全性，而黑客则可以使用它作为前期侦查攻击目标、收集目标信息的强大利器。其功能与十分流行的Shodan十分相似，然而与Shodan相比其优势在于这是一款免费的搜索引擎，最初由密歇根大学的研究人员在10月发行，目前由谷歌提供支持。 搜索所有开放80端口的http信息： 80.http.get.status_code: 200 搜索23.20.0.0/14网段下的含有Schneider Electric 或者 Dell 的网站 ("Schneider Electric" or Dell) and 23.20.0.0/14 根据协议搜索 protocols: "22/ssh". 根据域名搜索 a:facebook.com 搜索所有的gmail服务器 mx:gmail.com 此外还支持： 根据ip段搜索 23.0.0.0/8 or 8.8.8.0/24 根据协议搜索 location.country_code: DE and protocols: ("23/telnet" or "21/ftp") 搜索没有安全证书的网站 Popular websites without browser trusted certificates: 搜索开启ssl的网站 80.http.get.headers.server: Apache and protocols: "443/https" 根据Alexa 排行榜搜索 alexa_rank: [1000 TO 1010]
阅读全文

利用Censys进行信息侦查收集

-
Censys例子 Censys.io是一个新型的免费在线资源，它由密歇根大学的研究人员创建。这个项目提供了一个Web服务API，以及一个Python模块来提高API交互。一旦你创建了一个免费账户，那么就可以通过它使用Censys.io API。为了执行API查询，你需要API ID和与你的帐户关联的密钥值。这两个唯一的键值可以在“我的帐户”区域中找到。下面是一个在Python中与Censys.io API交互的简单例子： $ python >>> >>>   import  censys >>>   from  censys  import   * >>> >>>  api  =  censys . ipv4 . CensysIPv4 ( api_id = "[INSERT_KEY]" ,  api_secret = "[INSERT_KEY]" ) >>>  res  =  api . search ( "ip:8.8.8.8" ) >>>  res { u 'status' :  u 'ok' ,  u 'results' :   [{ u 'ip' :  u '8.8.8.8' ,  u 'protocols' :   [ u '53/dns' ]}],  u 'metadata' :   { u 'count' :   1 ,  u 'query' :  u 'ip:8.8.8.8' ,  u 'backend_time' :   34 ,  u 'page' :   1 ,  u 'pages' :   1 }}   >>>   for  i  in  res . get ( 'results' ): ...       print   "{} {}" . format ( i
阅读全文

随机生成虚拟外国人全套信息 / 信用卡 / 身份信息的网站

-
全套信息 http://www.fakenamegenerator.com/index.php http://www.haoweichi.com/Index/random http://www.fakeaddressgenerator.com/ http://www.getnewidentity.com/fake-identity.php 信用卡 https://names.igopaygo.com/credit-card/builder http://credit-card-generator.2-ee.com/q_valid-us-credit-card-number.htm http://www.getnewidentity.com/mastercard-credit-card.php https://cc.namsopro.com/ 信用卡截图： http://credit-card-generator.2-ee.com/q_free-credit-card-generator-with-cvv.htm 地址身份 美国 / 德国地址生成： http://us.2kz.net/ 台湾省身份证： http://tw.51240.com/
阅读全文