檢測網站注入點的程式遇到的問題。
阿新 • • 發佈：2019-02-01
遇到一個問題：對同一個網站需要登入的才能進入的頁面進行訪問，用socket拽下的原始檔和從瀏覽器直接檢視原始檔獲得的不一樣？
幾經思考，感覺可能是cookie 在做怪，在瀏覽器登入之後，瀏覽器應該把cookie向伺服器提交了一次，
而直接通過URL訪問該資源，由於並沒有進行提交socket的操作，所以獲得的應該是沒有登入時候的網址，這樣進行的一系列的sql注入點，跨站攻擊點等的檢測就會發生錯誤。
目前還沒有解決，但是自己想了兩個思路：
1 獲取瀏覽器和伺服器互動時的cookie，然後將該cookie 按照特定的格式傳送給伺服器，這樣相當於已經登陸；
2 從登入頁面獲取提交使用者名稱的密碼的表單，然後直接向action目標直接提交，相當於一次模擬登陸；
兩種方法殊途同歸，但是感覺好像都有不足：
1 cookie： 怎麼獲取cookie， 是從瀏覽器存放cookies的的檔案中獲取還是在瀏覽器和伺服器互動時傳遞的過程中擷取？還是Java中URLConnection有什麼特殊的函式直接或的嗎？不會。假如是加密的內容，那該咋辦？？？？？能獲得使用者名稱和密碼嗎？
求各位大神指導。
幾經思考，感覺可能是cookie 在做怪，在瀏覽器登入之後，瀏覽器應該把cookie向伺服器提交了一次，
而直接通過URL訪問該資源，由於並沒有進行提交socket的操作，所以獲得的應該是沒有登入時候的網址，這樣進行的一系列的sql注入點，跨站攻擊點等的檢測就會發生錯誤。
目前還沒有解決，但是自己想了兩個思路：
1 獲取瀏覽器和伺服器互動時的cookie，然後將該cookie 按照特定的格式傳送給伺服器，這樣相當於已經登陸；
2 從登入頁面獲取提交使用者名稱的密碼的表單，然後直接向action目標直接提交，相當於一次模擬登陸；
兩種方法殊途同歸，但是感覺好像都有不足：
1 cookie： 怎麼獲取cookie， 是從瀏覽器存放cookies的的檔案中獲取還是在瀏覽器和伺服器互動時傳遞的過程中擷取？還是Java中URLConnection有什麼特殊的函式直接或的嗎？不會。假如是加密的內容，那該咋辦？？？？？能獲得使用者名稱和密碼嗎？
2 用類似與post提交的方式直接提交，是不是需要知道一個使用者和密碼？在不知道的情況下，是不是需要進行post注入？如果這樣的話，對於有驗證碼的登入表單是不是就沒有效果了呢？不懂。。。上網查了查，有Java模擬post表單提交的程式碼，但是總是在進行 屬性 什麼的，實在看不懂。
在論壇上提問，結果一天過去了，只有自己在不停的刷，沒人迴應。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。難道我的表達能力這麼差嘛？自己不覺得才是最可怕的。被黃胖子老師言中了嗎？
把這些疑問記錄下來，想辦法解決吧。
求各位大神指導。