web渗透测试如何判断防护

web渗透测试判断是否有防护也就是判断是否有waf的方法如下：

• 手工检测：通过构造一些简单的SQL注入语句并将这些语句直接添加在测试网站的URL后面，如果被拦截则说明存在防护手段，如果通过则说明没有防护，如果想确定还是多试验几个SQL注入语句；

• SQLmap检测：该工具也是构造SQL注入命令来检测是否有waf，比手工检测更准确也更全面同时还可以检测waf的类型。检测命令是sqlmap.py -u "http:\\www.xxxxxx.com" --identify-waf --batch;

• WAFW00f检测：该工具是向网页发送正常的HTTP请求并将网页返回的数据进行分析来判断是否存在waf。如果发送一次请求未收到回复则会发送多个数据包来造成恶意请求通过简单的逻辑推理出是那种waf，如果上述两种办法都不行则会先分析先前返回的数据通过算法来猜测waf类型，这种方法成功率不高。