敏感目录是目标服务器上包含敏感名称的目录，可以包含大量敏感文件和信息。过利用此漏洞，攻击者可以完全理解目标服务器网站的体系结构，甚至可以获取敏感文件中的敏感信息，从而获得对目标服务器的控制并实施新的攻击。文讨论了敏感目录漏洞及其缺点，解析了HTTP协议和URL，设计并实现了以字典为检测标准的自动检测脚本，确定了指定主机中是否存在漏洞，成功应用于实际测试中。键词：网站扫描，响应目录，自动检测中图分类号：TP312文档识别码：用于Web感知路径的自动检测工具的ADesign概述：敏感路径是目标服务器上的路径包含敏感名称，可能包含大量文件和敏感信息利用此漏洞，攻击者可以完全了解目标服务器站点的体系结构，甚至可以访问敏感文件中包含的敏感信息控制目标服务器导致其他攻击。
文档讨论了敏感路径的脆弱性及其影响。解析HTTP协议和URL，设计并实现已成功应用于测试本身的基于字典的自动检测脚本，以确定服务器是否存在。键词：Web分析，敏感路径，自动检测易于开发和开放使Web应用程序快速增长，而Yi安全问题突出，Web应用程序已成为攻击者的主要目标。考特证券于2015年遭到攻击。年，000Webhost网络托管公司也被黑客入侵，数百万用户的敏感信息被泄露。外，还会出现各种安全问题，例如缓冲区溢出，跨站点脚本和目录遍历。感目录漏洞是一种常见的Web漏洞，它指的是目标服务器上具有敏感名称的目录，例如/ upload，/ database，/ bak等。
击者可以通过目标服务器目录中的信息完全理解网站的体系结构，从而侵入网站并从服务器的主数据库中获取信息，从而获取敏感信息。户被披露。前，中国的国家漏洞共享平台（CNVD）对“低风险”类别的漏洞进行排名。于敏感目录漏洞的破坏和影响，网站运营和维护人员以及管理人员可以方便地定位和解决问题。于HTTP协议分析和URL分析，本文设计了一个基于字典的脚本，通过检测服务器响应信息来检测敏感的Web站点目录。后，以Intranet上具有易受攻击目录漏洞的主机（测试计算机）为例，测试运行脚本的结果。
洞简介漏洞是指系统的设计，实施，管理或操作中可能出现的可能导致安全问题的缺陷或缺陷，例如系统的完整性，可用性，访问控制和监视机制或其应用程序数据。对威胁Web漏洞可分为两类：服务器端漏洞和客户端漏洞。感目录是包含目标服务器上敏感名称或敏感文件的目录，例如/ admin，/ robots.txt，/ index.php，/ upload等。漏洞允许攻击者完全了解目标服务器网站的体系结构。外，敏感目录可以包含大量敏感文件和脚本，例如服务器配置信息，管理脚本，数据库信息和后台管理界面。以通过暴力攻击直接访问管理界面，获取目标服务器。查，进行新的攻击，并对目标服务器造成严重损坏。
然敏感目录是一个低风险的漏洞，但如果它被攻击者使用，它也会对目标服务器造成重大损害。果Web操作和维护人员或管理人员发现检测到的敏感目录包含敏感文件或脚本，您可以非常规地重命名它，您也可以设置权限用户访问和使用敏感文件或脚本。网站目录分开，放置在难以猜测的路径中，如果目录的内容不必要，可以考虑删除它。建HTTP协议扫描程序检测工具本文档中设计的发现工具向目标服务器发送请求，并根据获取的服务器的响应检测网站的敏感目录。功能基于HTTP协议。文本传输协议（HTTP）是一种网络协议，允许在WWW服务器和浏览器之间进行超文本传输。是基于请求和响应模式的无状态协议。多数Web开发都基于HTTP协议上的Web应用程序。HTTP协议的原理图如图1所示.HTTP报文包括请求报文和响应报文。求消息包括请求行，请求标题，空行和正文部分。求行通常包括HTTP / 1.1提供的八种请求方法，POST方法和GET方法中的请求模式，URI和协议版本，并且GET方法通常用于请求访问特定资源。GET方法用于检测工具。求消息的结构如图2所示.HTTP响应消息也由四部分组成，包括状态行，响应头，空行和响应主体。态行通常包括协议版本，状态代码和消息，例如：HTTP / 1.1 200 OK，其中HTTP / 1.1表示消息使用的HTTP协议的版本，200表示响应消息的状态，指示已找到所请求的特定资源。
应的正文，OK，表示一切正常，这是指服务器返回的资源信息。务器返回的响应状态代码因请求中的信息而异。共响应消息的状态代码及其相应含义如图3所示。文档中设计的敏感目录检测工具是根据响应服务器的响应信息设计和实现的。probe，即响应消息的状态代码。URL解析网站目录的敏感解析与URL紧密相关。一资源定位符（URL）是访问Internet上可用资源的位置和方法的简明表示。Internet上的每个资源都有一个URL基本URL包括协议/模式（Scheme），服务器名称（Host），端口（Port）和路径（Path），以及用户名（Name） ）和密码（密码），参数（参数），请求（查询）和片段等。URL的组成和含义如图4所示.URL的一般格式为：schema：// name：pwd @ host [：port] / path / [; params] [？查询] [#fragie]自动脚本的设计基于HTTP协议和URL格式的分析，它根据图5的思想描述和编写自动检测脚本。先，
宁波网站建设 ，目标服务器地址和字典设置是通过用户输入获得的：一旦获取完成，必须使用Python中的urlparse函数解析目标服务器的URL以获取目标服务器（主机）的名称。urlparse函数可以解析6分量URL，但在解析过程中，URL的开头必须包含“//”，否则无法正确解析服务器名称。此，必须验证或修改所获得的服务器的地址：自动检测脚本必须获取响应消息的状态代码等，并且来自第三方Python库的请求用于完成请求。requests.get（）表示请求由GET发送，返回的结果是一个响应对象，用于存储来自服务器的响应信息。
应信息包括状态代码，响应实体等。部分的关键代码是：其中target是要请求的URL。allow_redirects参数设置为False意味着不允许分页符。果发生分页，则返回的状态代码为302而不是200.请求的URL是使用用户输入的字典和服务器地址构造的，因此有必要以行为单位从字典中提取敏感目录，将它们存储在由列表命名的数组中，然后使用相应的服务器地址构造URL。键代码是：此外，您必须考虑敏感目录信息的持久存储：Python 2.5x及更高版本具有自己的sqlite3模块。必须首先通过确定表名，列名和列数据类型来创建数据库以存储服务器扫描结果。据库的名称由从URL解析获得的主机信息确定。
名包括服务器上存在的状态返回码（status_code，TEXT）和敏感目录（路径，TEXT）。requests.get（）方法获取服务器响应信息后，有必要确定所请求的URL是否已存在于数据库中。果它不存在且响应代码不是404，则将信息插入到相应的数据库表中。切都很好。钥的代码如下：执行脚本后，如果与目标服务器名称对应的数据库不为空，则表示服务器具有敏感目录，分析结果为返回并显示：正在测试实际测试环境是具有敏感目录的docker镜像，首先使用该命令加载图像，如图6所示：$ docker load
用本文档中设计的自动检测脚本，可以快速扫描目标服务器，方便管理，操作和维护人员及时发现安全问题。助项目：国家科技支撑计划（项目编号：2015BAH08F02）。
本文转载自
宁波网站建设 https://www.leseo.net
补充词条：宁波网站排名优化
宁波谷歌优化
宁波seo哪家好
宁波谷歌seo
宁波seo排名
