dvwa全解
简介
说到靶机，那么经典的dvwa靶机肯定不能错过，它是一款非常适合新手入门的靶机，它集成了多种漏洞，并且可以自由选择难度，非常适合新手入门，想玩的话自己搭建就好，我这是在服务器上搭的，用来玩玩
Low
Brute Force
随便输入后便是这个返回值，说明密码错误
我们用抓包软件抓包，然后发送到repeat，yakit的爆破采用的是文件标签，原理是和bp一样的对字典有要求,利用响应的大小来判断正误
command injection
直接在ip查询后面加入的命令执行，可怕可怕，cat也可以执行
CSRF
抓取原来修改密码的报文后在yakit中修改略微，重放便可以修改密码，也可以将网址修改一部分再重放，同样修改成功
这个过程有个技巧就是长链变短链，利用站长工具即可实现，防止社工时让受击者发现
还可以页面构造
XSS(DOM)
查看页面源码，没有php代码，仅有js代码，我们可以利用js脚本
点击英文发现，存在一个明文网址，我们可以利用这个English来做个文章