以下是第三周周五學(xué)習(xí)內(nèi)容的詳細(xì)展開聚焦瀏覽器開發(fā)者工具的 Network 面板實(shí)戰(zhàn)。今天你將變身網(wǎng)絡(luò)數(shù)據(jù)分析師從每一個(gè)請(qǐng)求的頭部、載荷和響應(yīng)中提取關(guān)鍵信息。這是后續(xù) SQL 注入、XSS、CSRF 等漏洞挖掘的“顯微鏡”務(wù)必動(dòng)手操作每一個(gè)步驟。第三周·周五開發(fā)工具 Network 面板實(shí)戰(zhàn)——分析 Headers、Response、Payload 今日學(xué)習(xí)目標(biāo)達(dá)成效果能熟練打開并配置Network 面板Preserve log、Disable cache理解其基本布局能快速過濾出 XHR、JS、CSS、圖片等類型請(qǐng)求并能按狀態(tài)碼、域名進(jìn)行篩選能完整解讀一個(gè) HTTP 請(qǐng)求的 General、Request Headers、Response Headers說(shuō)出至少 5 個(gè)常見頭部的作用能準(zhǔn)確找到GET 請(qǐng)求的 Query String Parameters 和 POST 請(qǐng)求的 Form Data / Request Payload并明白它們?cè)趯?shí)際攻擊中的角色能獨(dú)立操作打開任意一個(gè)搜索網(wǎng)站在 Network 面板中定位到搜索請(qǐng)求提取參數(shù)名和值能從安全視角判斷暴露在 URL 中的敏感參數(shù)、缺失的 HttpOnly/Secure 標(biāo)記、不安全的 CORS 頭部、信息泄露的 Server 頭等能將 Network 面板作為自己日常調(diào)試和初步滲透測(cè)試的基礎(chǔ)工具養(yǎng)成先看網(wǎng)絡(luò)請(qǐng)求再談漏洞的習(xí)慣。 一、Network 面板總覽與必設(shè)項(xiàng)在 Chrome/Edge 中按F12→ 選擇Network網(wǎng)絡(luò)面板你會(huì)看到所有瀏覽器發(fā)出的網(wǎng)絡(luò)請(qǐng)求。1. 界面基本布局工具欄錄制/停止按鈕、清除記錄、過濾框、Preserve log、Disable cache 等選項(xiàng)。請(qǐng)求列表顯示頁(yè)面加載過程中每個(gè)資源的行Name、Status、Type、Size、Time 等。請(qǐng)求詳情點(diǎn)擊某行后出現(xiàn) Headers、Payload、Preview、Response、Timing 等子標(biāo)簽。2. 兩個(gè)必須勾選的選項(xiàng)今天就要養(yǎng)成習(xí)慣?Preserve log保留日志勾選后頁(yè)面跳轉(zhuǎn)或刷新時(shí)不會(huì)清空請(qǐng)求記錄這對(duì)分析登錄前后的重定向至關(guān)重要。?Disable cache停用緩存勾選后瀏覽器每次都會(huì)重新請(qǐng)求資源而不使用緩存確保你看到的是最新交互而不是 304 狀態(tài)碼和本地緩存。注意這僅在你打開了 DevTools 時(shí)生效。 二、請(qǐng)求詳情剖析核心技能點(diǎn)擊任一請(qǐng)求右側(cè)顯示詳細(xì)面板。必須掌握的標(biāo)簽1. Headers 標(biāo)簽分為幾個(gè)區(qū)域General請(qǐng)求 URL、請(qǐng)求方法GET/POST、狀態(tài)碼、遠(yuǎn)程地址。一眼看出請(qǐng)求是否成功、是否被重定向。Response Headers服務(wù)器返回的頭部如Content-Type、Set-Cookie、Server、Cache-Control等。Request Headers瀏覽器發(fā)送給服務(wù)器的頭部如Host、User-Agent、Cookie、Content-Type、Accept等。安全必看字段Set-Cookie檢查是否有HttpOnly防 XSS 讀取和Secure僅 HTTPS 傳輸。沒有這些標(biāo)記就可能被竊取。Server暴露 Web 服務(wù)器及版本攻擊者可據(jù)此查找漏洞。理想的防御是隱藏或泛化該頭。X-Frame-Options、Content-Security-Policy是否配置了防護(hù)頭缺失則可能存在點(diǎn)擊劫持、XSS 風(fēng)險(xiǎn)。Access-Control-Allow-OriginCORS 跨域配置是否過于寬松如值為*且允許攜帶憑據(jù)容易導(dǎo)致信息泄露。Cookie請(qǐng)求頭會(huì)話 ID 是否在每次請(qǐng)求中都明文傳送。2. Payload 標(biāo)簽這個(gè)標(biāo)簽僅在請(qǐng)求帶有數(shù)據(jù)時(shí)出現(xiàn)比如 GET 的查詢字符串或 POST 的表單/JSON 數(shù)據(jù)。Query String Parameters當(dāng)方法為 GET 時(shí)參數(shù)會(huì)出現(xiàn)在這里如?qsecuritypage1。Form Data當(dāng) POST 請(qǐng)求類型為application/x-www-form-urlencoded時(shí)載荷顯示為鍵值對(duì)。Request Payload當(dāng) POST 請(qǐng)求類型為application/json等時(shí)顯示原始 JSON/XML 數(shù)據(jù)。安全意義你可以在這里看到前端提交給后端的所有原始數(shù)據(jù)這是 SQL 注入、XSS、越權(quán)的源頭。任何前端隱藏的參數(shù)、不可見字段都會(huì)完全暴露。測(cè)試題提到的搜索請(qǐng)求GET 參數(shù)直接暴露在查詢字符串中可被輕易篡改并重放。3. Preview / Response 標(biāo)簽Preview根據(jù)響應(yīng)類型HTML、JSON、圖片渲染預(yù)覽快速查看內(nèi)容。Response顯示服務(wù)器返回的原始源代碼或數(shù)據(jù)可用于查找敏感信息泄露如 HTML 注釋中的開發(fā)信息、JSON 中的多余字段。 三、過濾與搜索請(qǐng)求面對(duì)大量請(qǐng)求必須用過濾器快速定位目標(biāo)過濾器按鈕作用All顯示所有請(qǐng)求XHR / Fetch只顯示 JS 異步請(qǐng)求AJAXJSJavaScript 文件CSS樣式表文件Img圖片資源Doc文檔主 HTMLOther其他類型也可以在主過濾框中直接輸入domain:example.com僅顯示特定域名的請(qǐng)求。status-code:200僅顯示狀態(tài)碼為 200 的請(qǐng)求。larger-than:1000僅顯示大于 1KB 的響應(yīng)。-.css -.png排除 CSS 和圖片請(qǐng)求只關(guān)注數(shù)據(jù)和頁(yè)面。實(shí)踐加載一個(gè)頁(yè)面點(diǎn)擊 “XHR” 按鈕你會(huì)發(fā)現(xiàn)很多異步請(qǐng)求如動(dòng)態(tài)加載的用戶數(shù)據(jù)、評(píng)論等這些是測(cè)試邏輯漏洞和未授權(quán)訪問的重點(diǎn)對(duì)象。 四、Timing 與 Initiator 簡(jiǎn)要理解Initiator發(fā)起者顯示是誰(shuí)發(fā)起了這個(gè)請(qǐng)求如腳本、鏈接、解析器可以幫助你回溯請(qǐng)求來(lái)源。Timing展示請(qǐng)求各階段耗時(shí)DNS 解析、TCP 連接、發(fā)送、等待 TTFB、下載。在滲透中通過異常耗時(shí)判斷服務(wù)端是否存在時(shí)間盲注Sleep 注入非常有用但今天只需了解界面。?? 五、動(dòng)手實(shí)踐一分析任意搜索網(wǎng)站的 GET 請(qǐng)求任務(wù)打開一個(gè)搜索網(wǎng)站如www.baidu.com或www.bing.com在搜索框輸入“網(wǎng)絡(luò)安全”查看搜索時(shí)發(fā)送的請(qǐng)求提取參數(shù)名和值。步驟打開瀏覽器按 F12 → Network勾選 “Preserve log”。訪問搜索引擎主頁(yè)待頁(yè)面加載完成后點(diǎn)擊清除按鈕清空現(xiàn)有記錄。在搜索框輸入“網(wǎng)絡(luò)安全”或其他關(guān)鍵詞點(diǎn)擊搜索按鈕或按回車。在 Network 請(qǐng)求列表中找到類型為document或xhr的新請(qǐng)求通常路徑包含/s或search。可以過濾search或直接看第一個(gè)請(qǐng)求。點(diǎn)擊該請(qǐng)求右側(cè)選擇Headers標(biāo)簽往下滾動(dòng)到Query String Parameters區(qū)域。你會(huì)看到類似wd: 網(wǎng)絡(luò)安全 (百度) q: 網(wǎng)絡(luò)安全 (Bing)記錄下參數(shù)名wd或q和參數(shù)值“網(wǎng)絡(luò)安全” 編碼后形式如%E7%BD%91%E7%BB%9C%E5%AE%89%E5%85%A8。也可以通過Request URL直接看到完整 URL 和參數(shù)如https://www.baidu.com/s?wd%E7%BD%91%E7%BB%9C%E5%AE%89%E5%85%A8從安全視角觀察數(shù)據(jù)完全暴露在 URL 中如果搜索內(nèi)容包含敏感信息如密碼、token會(huì)被瀏覽器歷史、服務(wù)器日志、Referer 記錄。你可以直接修改 URL 中的wd參數(shù)重新請(qǐng)求而不需要經(jīng)過前端頁(yè)面這就是最簡(jiǎn)單的“參數(shù)篡改”。測(cè)試題作答今天測(cè)試題要求“打開一個(gè)搜索網(wǎng)站查看搜索時(shí)發(fā)送的請(qǐng)求提取參數(shù)名和值”你的答案就是上面的參數(shù)名和值示例。對(duì)于百度參數(shù)名wd值為網(wǎng)絡(luò)安全。?? 六、動(dòng)手實(shí)踐二分析一個(gè) POST 登錄請(qǐng)求使用昨天搭建的環(huán)境回到昨天的登錄實(shí)驗(yàn)環(huán)境或任意可登錄的測(cè)試網(wǎng)站注意只使用自己搭建的或公開測(cè)試平臺(tái)。確保 Python 登錄服務(wù)在運(yùn)行python3 server.py。瀏覽器訪問http://127.0.0.1:8080F12 → Network 勾選 Preserve log。輸入用戶名admin密碼pass123點(diǎn)擊登錄。在 Network 中找到名為login的請(qǐng)求點(diǎn)擊查看Headers→Request Method: POSTRequest Headers中Content-Type: application/x-www-form-urlencodedPayload標(biāo)簽或Headers底部 “Form Data” 顯示username: admin password: pass123嘗試在用戶名中輸入admin--SQL 注釋提交后觀察 Payload 中的值你會(huì)看到注入的字符原樣發(fā)送。服務(wù)器返回了登錄成功或失敗這預(yù)示了注入漏洞。思考如果你用 curl 重復(fù)同樣的 POST 請(qǐng)求你可以完全繞過瀏覽器前端任何 JS 限制。Network 面板揭示了一切真相。 七、課后測(cè)試題與解析測(cè)試題打開一個(gè)搜索網(wǎng)站查看搜索時(shí)發(fā)送的請(qǐng)求提取參數(shù)名和值。操作指引與示例答案以百度為例打開www.baidu.comF12 打開開發(fā)者工具 → Network勾選 Preserve log。清空現(xiàn)有記錄搜索“網(wǎng)絡(luò)安全”。在請(qǐng)求列表中找到/s?開頭的請(qǐng)求點(diǎn)擊。在 Headers → Query String Parameters 中看到參數(shù)wd: 網(wǎng)絡(luò)安全即參數(shù)名為wd值為網(wǎng)絡(luò)安全URL 編碼為%E7%BD%91%E7%BB%9C%E5%AE%89%E5%85%A8。以必應(yīng)Bing為例參數(shù)名通常是q。補(bǔ)充如果使用 Google參數(shù)名為q但因 HTTPS 和加密Payload 不可見實(shí)際上 Google 搜索雖然是 HTTPS但 Network 面板仍能顯示 URL 中的查詢參數(shù)因?yàn)?DevTools 是瀏覽器本地功能可以捕獲未加密前的請(qǐng)求。但如果是 POST 搜索也可以看到 Body 中的參數(shù)。測(cè)試中可靈活選擇。測(cè)試題延伸嘗試直接在瀏覽器地址欄手動(dòng)構(gòu)造搜索 URL 并回車驗(yàn)證參數(shù)名是否正確。這證明 GET 請(qǐng)求不依賴任何前端界面。? 今日學(xué)習(xí)效果自檢清單我能熟練使用 Network 面板并始終開啟 Preserve log 和 Disable cache我可以快速過濾請(qǐng)求類型XHR、Doc、Img并通過搜索框查找特定 URL我能解釋 General 部分的 Request URL、Method、Status Code 含義我從任意搜索請(qǐng)求中提取了參數(shù)名和值并理解參數(shù)直接暴露在 URL 中我知道 Response Headers 中哪些字段與安全相關(guān)Set-Cookie 的 HttpOnly/Secure、Server、CSP 等我在登錄實(shí)驗(yàn)中通過 Payload 標(biāo)簽看到了 POST 表單數(shù)據(jù)我理解 Network 面板是后續(xù)分析所有 Web 漏洞的不二工具參數(shù)未加密的部分一目了然?? 階段避坑重點(diǎn)不要只依賴 Preview 而不看 Raw ResponsePreview 會(huì)渲染 HTML可能隱藏原始注釋和腳本查看 Response 源碼才能發(fā)現(xiàn)隱藏信息。不要忘記 Preserve log尤其在分析登錄跳轉(zhuǎn)時(shí)不勾選會(huì)導(dǎo)致登錄前后的請(qǐng)求丟失無(wú)法追蹤 Set-Cookie 和重定向。不要用隱私/敏感賬號(hào)在未脫敏環(huán)境實(shí)驗(yàn)密碼等敏感數(shù)據(jù)會(huì)出現(xiàn)在 Network 面板和日志中確保僅在自己搭建的測(cè)試環(huán)境使用假數(shù)據(jù)。不要被 HTTPS“加密”誤導(dǎo)Network 面板能看到明文是因?yàn)闉g覽器擁有密鑰攻擊者無(wú)法直接看見但如果有惡意瀏覽器擴(kuò)展或本機(jī)抓包數(shù)據(jù)仍可能泄漏。所以參數(shù)敏感時(shí)仍需配合加密和不可逆哈希。不要忽略 Timing 的利用雖然今天沒深入但要記得未來(lái)盲注類漏洞基于時(shí)間的 SQL 注入可能就是通過異常的時(shí)間延遲來(lái)發(fā)現(xiàn)的。明天周六我們將進(jìn)行第三周的綜合測(cè)試搭建簡(jiǎn)單留言板或使用 pikachu 平臺(tái)觀察前后端交互。你會(huì)提交包含scriptalert(1)/script的數(shù)據(jù)并用 Network 面板觀察請(qǐng)求與響應(yīng)初探 XSS 的奧秘。請(qǐng)保留今天對(duì) Network 面板的熟練度明天的實(shí)驗(yàn)將更有趣。