web应用攻击方法有哪些阶段

web应用攻击方法有以下这些阶段：

• 设定目标阶段：在渗透测试中设置正确的目标是非常重要的，因为攻击者将更多地关注特定的脆弱系统，以获得基于kill-chain方法的系统级访问。

• 爬虫和枚举阶段：在此阶段，攻击者已经确定了Web应用程序的列表，以深入挖掘特定的漏洞。利用多种方法将爬虫应用于各种网页，并发现与之相关的东西进入下一阶段。

• 漏洞扫描阶段：在这个阶段，所有已知的漏洞都是从众所周知的漏洞数据库收集而来，这些数据库具有公开的漏洞或已知的常见安全错误配置。

• 利用阶段：该阶段用户可以利用已知和未知的漏洞，包括应用程序的业务逻辑。例如，如果一个应用程序管理界面被曝光，这个应用是脆弱的。攻击者可以直接试着访问接口执行各种类型的攻击，如密码猜测、蛮力攻击，或利用特定管理界面漏洞（JMX控制台攻击管理界面，无须登录和部署特别文件，并且运行一个远程shell）。

• 覆盖痕迹阶段：在这个阶段，攻击者通过跟踪他们前进的每一步来清除所有的证据。例如，如果一个系统已经被上传文件漏洞和服务器上执行的远程命令破坏了，那么攻击者将尝试清除应用服务器日志、Web服务器日志、系统日志和其他日志。

• 维持访问阶段：当痕迹被覆盖时，要确保没有日志被留下用于追溯到入侵的源地址。攻击者可能会利用系统执行特权升级，或可以使用系统作为一个僵尸来执行更多的内部攻击，如在共享的驱动器上传播勒索软件，或者将受害系统都加到一个域，在更大组织的情况下控制这个企业域。