web安全学习笔记【09】——算法2

news2024/9/28 11:20:02

基础[1] 入门-算法逆向&散列对称非对称&JS源码逆向&AES&DES&RSA&SHA

#知识点:

1、Web常规-系统&中间件&数据库&源码等

2、Web其他-前后端&软件&Docker&分配站等

3、Web拓展-CDN&WAF&OSS&反向&负载均衡等

-----------------------------------

1、APP架构-封装&原生态&H5&flutter等

2、小程序架构-Web&H5&JS&VUE框架等

-----------------------------------

1、渗透命令-常规命令&文件上传下载

2、反弹Shell-防火墙策略&正反向连接

3、数据回显-查询带外&网络协议层级

-----------------------------------

1、抓包技术-HTTP/S-Web&APP&小程序&PC应用等

2、抓包工具-Burp&Fidder&Charles&Proxifier

-----------------------------------

1、抓包技术-全局-APP&小程序&PC应用

2、抓包工具-Wireshark&科来分析&封包

-----------------------------------

1、存储密码加密-应用对象

2、传输加密编码-发送回显

3、数据传输格式-统一格式

4、代码特性混淆-开发语言

-----------------------------------

1、单向散列加密 -MD5,HASH

2、对称加密 -AES DES

3、非对称加密 -RSA

4、解密-识别&需求&寻找(前后端)&操作

#章节点

应用架构:Web/APP/云应用/小程序/负载均衡等

安全产品:CDN/WAF/IDS/IPS/蜜罐/防火墙/杀毒等

渗透命令:文件上传下载/端口服务/Shell反弹等

抓包技术:HTTP/TCP/UDP/ICMP/DNS/封包/代理等

算法加密:数据编码/密码算法/密码保护/反编译/加壳等

演示案例:

  • 算法加密-概念&分类&类型
  • 加密解密-识别特征&解密条件
  • 解密实例-密文存储&数据传输

安全测试中:

密文-有源码直接看源码分析算法(后端必须要有源码才能彻底知道)

密文-没有源码1、猜识别 2、看前端JS(加密逻辑是不是在前端)

#算法加密-概念&分类&类型

1. 单向散列加密 -MD5

单向散列加密算法的优点有(以MD5为例):

方便存储,损耗低:加密/加密对于性能的损耗微乎其微。

单向散列加密的缺点就是存在暴力破解的可能性,最好通过加盐值的方式提高安全性,此外可能存在散列冲突。我们都知道MD5加密也是可以破解的。

常见的单向散列加密算法有:

MD5 SHA MAC CRC

2. 对称加密 -AES

对称加密优点是算法公开、计算量小、加密速度快、加密效率高。

缺点是发送方和接收方必须商定好密钥,然后使双方都能保存好密钥,密钥管理成为双方的负担。

常见的对称加密算法有:

DES AES RC4

3. 非对称加密 -RSA

非对称加密的优点是与对称加密相比,安全性更好,加解密需要不同的密钥,公钥和私钥都可进行相互的加解密。

缺点是加密和解密花费时间长、速度慢,只适合对少量数据进行加密。

常见的非对称加密算法:

RSA RSA2 PKCS

#加密解密-识别特征&解密条件

MD5密文特点:

1、由数字“0-9”和字母“a-f”所组成的字符串

2、固定的位数 16 和 32位

解密需求:密文即可,但复杂明文可能解不出

BASE64编码特点:

0、大小写区分,通过数字和字母的组合

1、一般情况下密文尾部都会有两个等号,明文很少的时候则没有

2、明文越长密文越长,一般不会出现"/""+"在密文中

AES、DES密文特点:

同BASE64基本类似,但一般会出现"/"和"+"在密文中

解密需求:密文,模式,加密Key,偏移量,条件满足才可解出

RSA密文特点:

特征同AES,DES相似,但是长度较长

解密需求:密文,公钥或私钥即可解出

AES加密主要在于Key值

DES加密主要是Key和iv值,即密码和偏移量

非对称加密RSA  公钥私钥

解密方式:如果对方用公钥加密,只有私钥也能解密,但用公钥无法解密

如果对方用私钥加密,只有公钥也能解密,但用私钥无法解密

其他密文特点见:

1.30余种加密编码类型的密文特征分析(建议收藏)

https://mp.weixin.qq.com/s?__biz=MzAwNDcxMjI2MA==&mid=2247484455&idx=1&sn=e1b4324ddcf7d6123be30d9a5613e17b&chksm=9b26f60cac517f1a920cf3b73b3212a645aeef78882c47957b9f3c2135cb7ce051c73fe77bb2&mpshare=1&scene=23&srcid=1111auAYWmr1N0NAs9Wp2hGz&sharer_sharetime=1605145141579&sharer_shareid=5051b3eddbbe2cb698aedf9452370026#rd

2.CTF中常见密码题解密网站总结(建议收藏)

https://blog.csdn.net/qq_41638851/article/details/100526839

3.CTF密码学常见加密解密总结(建议收藏)

https://blog.csdn.net/qq_40837276/article/details/83080460

#解密实例-密文存储&数据传输

1、密码存储(后端处理)

X3.2-md5&salt

DZ对应代码段-/uc_server/model/user.php

        function add_user() {

                $password = md5(md5($password).$salt);

    }

   

<?PHP

$h = 'd7192407bb4bfc83d28f374b6812fbcd';

$hash=md5(md5('123456').'3946d5');

if($h==$hash){

        echo 'ok';

}else{

        echo 'no';

}

?>

X3.5-hash

DZ对应代码段-/uc_server/model/user.php

        function add_user() {

                $salt = '';

                $password = $this->generate_password($password);

    }

        function generate_password($password) {

                $algo = $this->get_passwordalgo();

                $options = $this->get_passwordoptions();

                $hash = password_hash($password, $algo, $options);

        }

<?PHP

$hash = '$2y$10$KA.7VYVheqod8F3X65tWjO3ZXfozNA2fC4oIZoDSu/TbfgKmiw7xO';

if (password_verify('123456', $hash)) {

    echo 'ok';

} else {

    echo 'error';

}

?>

2、数据通讯

-博客登录-zblog(前端处理)

<script src="script/md5.js" type="text/javascript"></script>

$("#btnPost").click(function(){

    var strPassWord=$("#edtPassWord").val();

    $("form").attr("action","cmd.php?act=verify");

    $("#password").val(MD5(strPassWord));

-墨者靶场-(后端处理)

-1 union select 1,database(),user(),4_mozhe

xgd58ipTrnx8VzSBJicqCibZxIRsZKgXOYUrNQP8fCCtx9JZ+6K1hHt7RKkzV305

eGdkNThpcFRybng4VnpTQkppY3FDaWJaeElSc1pLZ1hPWVVyTlFQOGZDQ3R4OUpaKzZLMWhIdDdSS2t6VjMwNQ==

//PHP7.3加密演示代码块

<?php

//aes

namespace vendor;

class EncryptionTool{

    public static function enAES($originTxt, $key): string{

        return base64_encode(openssl_encrypt($originTxt, 'AES-128-ECB',$key, OPENSSL_RAW_DATA));

    }

    public static function deAES($originTxt, $key): string{

        $data = base64_decode($originTxt);

        return openssl_decrypt($data,'AES-128-ECB',$key, OPENSSL_RAW_DATA);

    }

   

}

//des

class DES

{

    /**

     * @var string $method 加解密方法,可通过 openssl_get_cipher_methods() 获得

     */

    protected $method;

    /**

     * @var string $key 加解密的密钥

     */

    protected $key;

    /**

     * @var string $output 输出格式 无、base64、hex

     */

    protected $output;

    /**

     * @var string $iv 加解密的向量

     */

    protected $iv;

    /**

     * @var string $options

     */

    protected $options;

    // output 的类型

    const OUTPUT_NULL = '';

    const OUTPUT_BASE64 = 'base64';

    const OUTPUT_HEX = 'hex';

    /**

     * DES constructor.

     * @param string $key

     * @param string $method

     *      ECB DES-ECB、DES-EDE3 (为 ECB 模式时,$iv 为空即可)

     *      CBC DES-CBC、DES-EDE3-CBC、DESX-CBC

     *      CFB DES-CFB8、DES-EDE3-CFB8

     *      CTR

     *      OFB

     *

     * @param string $output

     *      base64、hex

     *

     * @param string $iv

     * @param int $options

     */

    public function __construct($key, $method = 'DES-ECB', $output = '', $iv = '', $options = OPENSSL_RAW_DATA | OPENSSL_NO_PADDING)

    {

        $this->key = $key;

        $this->method = $method;

        $this->output = $output;

        $this->iv = $iv;

        $this->options = $options;

    }

    /**

     * 加密

     *

     * @param $str

     * @return string

     */

    public function encrypt($str)

    {

        $str = $this->pkcsPadding($str, 8);

        $sign = openssl_encrypt($str, $this->method, $this->key, $this->options, $this->iv);

        if ($this->output == self::OUTPUT_BASE64) {

            $sign = base64_encode($sign);

        } else if ($this->output == self::OUTPUT_HEX) {

            $sign = bin2hex($sign);

        }

        return $sign;

    }

    /**

     * 解密

     *

     * @param $encrypted

     * @return string

     */

    public function decrypt($encrypted)

    {

        if ($this->output == self::OUTPUT_BASE64) {

            $encrypted = base64_decode($encrypted);

        } else if ($this->output == self::OUTPUT_HEX) {

            $encrypted = hex2bin($encrypted);

        }

        $sign = @openssl_decrypt($encrypted, $this->method, $this->key, $this->options, $this->iv);

        $sign = $this->unPkcsPadding($sign);

        $sign = rtrim($sign);

        return $sign;

    }

    /**

     * 填充

     *

     * @param $str

     * @param $blocksize

     * @return string

     */

    private function pkcsPadding($str, $blocksize)

    {

        $pad = $blocksize - (strlen($str) % $blocksize);

        return $str . str_repeat(chr($pad), $pad);

    }

    /**

     * 去填充

     *

     * @param $str

     * @return string

     */

    private function unPkcsPadding($str)

    {

        $pad = ord($str{strlen($str) - 1});

        if ($pad > strlen($str)) {

            return false;

        }

        return substr($str, 0, -1 * $pad);

    }

}

//rsa

define('RSA_PUBLIC', '-----BEGIN PUBLIC KEY-----

MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQCmkANmC849IOntYQQdSgLvMMGm

8V/u838ATHaoZwvweoYyd+/7Wx+bx5bdktJb46YbqS1vz3VRdXsyJIWhpNcmtKhY

inwcl83aLtzJeKsznppqMyAIseaKIeAm6tT8uttNkr2zOymL/PbMpByTQeEFlyy1

poLBwrol0F4USc+owwIDAQAB

-----END PUBLIC KEY-----');

define('RSA_PRIVATE','-----BEGIN PRIVATE KEY-----

MIICdgIBADANBgkqhkiG9w0BAQEFAASCAmAwggJcAgEAAoGBAKaQA2YLzj0g6e1h

BB1KAu8wwabxX+7zfwBMdqhnC/B6hjJ37/tbH5vHlt2S0lvjphupLW/PdVF1ezIk

haGk1ya0qFiKfByXzdou3Ml4qzOemmozIAix5ooh4Cbq1Py6202SvbM7KYv89syk

HJNB4QWXLLWmgsHCuiXQXhRJz6jDAgMBAAECgYAIF5cSriAm+CJlVgFNKvtZg5Tk

93UhttLEwPJC3D7IQCuk6A7Qt2yhtOCvgyKVNEotrdp3RCz++CY0GXIkmE2bj7i0

fv5vT3kWvO9nImGhTBH6QlFDxc9+p3ukwsonnCshkSV9gmH5NB/yFoH1m8tck2Gm

BXDj+bBGUoKGWtQ7gQJBANR/jd5ZKf6unLsgpFUS/kNBgUa+EhVg2tfr9OMioWDv

MSqzG/sARQ2AbO00ytpkbAKxxKkObPYsn47MWsf5970CQQDIqRiGmCY5QDAaejW4

HbOcsSovoxTqu1scGc3Qd6GYvLHujKDoubZdXCVOYQUMEnCD5j7kdNxPbVzdzXll

9+p/AkEAu/34iXwCbgEWQWp4V5dNAD0kXGxs3SLpmNpztLn/YR1bNvZry5wKew5h

z1zEFX+AGsYgQJu1g/goVJGvwnj/VQJAOe6f9xPsTTEb8jkAU2S323BG1rQFsPNg

jY9hnWM8k2U/FbkiJ66eWPvmhWd7Vo3oUBxkYf7fMEtJuXu+JdNarwJAAwJK0YmO

LxP4U+gTrj7y/j/feArDqBukSngcDFnAKu1hsc68FJ/vT5iOC6S7YpRJkp8egj5o

pCcWaTO3GgC5Kg==

-----END PRIVATE KEY-----');

$password='xiaodisec';

//md5

echo "原始数据:$password". "<br/>";

echo "MD5加密后:".md5($password). "<hr/>";

//base64

echo "原始数据:$password". "<br/>";

echo "BASE64编码后:".base64_encode($password). "<hr/>";

//aes

echo "原始数据: " . $password . "<br/>";

$data = EncryptionTool::enAES($password, "1234567891234567");

echo "AES加密后: " . $data . "<hr/>";

//echo "解密后: " . EncryptionTool::deAES($data, "1234567891234567") . "<br/>";

//des

echo "原始数据:$password". "<br/>";

$key = 'key123456';

$iv = 'iv123456';

// DES CBC 加解密

echo 'DES CBC 加解密:';

$des = new DES($key, 'DES-CBC', DES::OUTPUT_BASE64, $iv);

echo $base64Sign = $des->encrypt($password);

echo "<br>";

//echo $des->decrypt($base64Sign);

echo "<hr>";

// DES ECB 加解密

echo "原始数据:$password". "<br/>";

echo 'DES ECB 加解密:';

$des = new DES($key, 'DES-ECB', DES::OUTPUT_BASE64);

echo $base64Sign = $des->encrypt($password);

echo "<hr>";

//echo $des->decrypt($base64Sign);

//rsa

//公钥加密

$public_key = openssl_pkey_get_public(RSA_PUBLIC);

if(!$public_key){

    die('公钥不可用');

}

//第一个参数是待加密的数据只能是string,第二个参数是加密后的数据,第三个参数是openssl_pkey_get_public返回的资源类型,第四个参数是填充方式

$return_en = openssl_public_encrypt($password, $crypted, $public_key);

if(!$return_en){

    return('加密失败,请检查RSA秘钥');

}

$eb64_cry = base64_encode($crypted);

echo "RSA公钥加密数据:".$eb64_cry;

echo "<br>";

//私钥解密

$private_key = openssl_pkey_get_private(RSA_PRIVATE);

if(!$private_key){

    die('私钥不可用');

}

$return_de = openssl_private_decrypt(base64_decode($eb64_cry), $decrypted, $private_key);

if(!$return_de){

    return('解密失败,请检查RSA秘钥');

}

echo "RSA私钥解密数据:".$decrypted;

echo "<hr>";

//私钥加密

$private_key = openssl_pkey_get_private(RSA_PRIVATE);

if(!$private_key){

    die('私钥不可用');

}

$return_en = openssl_private_encrypt($password, $crypted, $private_key);

if(!$return_en){

    return('加密失败,请检查RSA秘钥');

}

$eb64_cry = base64_encode($crypted);

echo "RSA私钥加密数据".$eb64_cry;

echo "<br>";

//公钥解密

$public_key = openssl_pkey_get_public(RSA_PUBLIC);

if(!$public_key){

    die('公钥不可用');

}

$return_de = openssl_public_decrypt(base64_decode($eb64_cry), $decrypted, $public_key);

if(!$return_de){

    return('解密失败,请检查RSA秘钥');

}

echo "RSA公钥解密数据:".$decrypted;

echo "<hr>";

?>

本文来自互联网用户投稿,该文观点仅代表作者本人,不代表本站立场。本站仅提供信息存储空间服务,不拥有所有权,不承担相关法律责任。如若转载,请注明出处:http://www.coloradmin.cn/o/1409943.html

如若内容造成侵权/违法违规/事实不符,请联系多彩编程网进行投诉反馈,一经查实,立即删除!

相关文章

Allegro PCB如何关联原理图?

在用Allegro进行PCB设计时,我们可以点击Orcad原理图上的器件,然后PCB会自动跳转到该器件。那如何操作PCB上的器件点击跳转到原理图呢? 这种方式可以提高设计的效率。具体操作如下。 选择菜单栏Display

springboot农机电招平台源码和论文

随着农机电招行业的不断发展&#xff0c;农机电招在现实生活中的使用和普及&#xff0c;农机电招行业成为近年内出现的一个新行业&#xff0c;并且能够成为大群众广为认可和接受的行为和选择。设计农机电招平台的目的就是借助计算机让复杂的销售操作变简单&#xff0c;变高效。…

node多版本管理工具nvm安装

开发前端项目&#xff0c;有时候新老项目交替&#xff0c;不同项目需要不同的node.js&#xff0c;本机电脑需要安装多个版本的nodejs&#xff0c;手动切换十分麻烦&#xff0c;有了nvm就可以轻松解决这个问题&#xff0c;nvm全名node.js version management 它是一个nodejs的版…

使用redisson控制多个springboot实例负载同时只有一个实例执行任务

一 redisson依赖 <!-- redisson 依赖--><dependency><groupId>org.redisson</groupId><artifactId>redisson-spring-boot-starter</artifactId><version>3.23.4</version></dependency> 二 定时任务代码 pack…

1、【vue篇】vue框架快速上手

注意事项&#xff1a; methods必须要加s 导入vue&#xff1a;<script src"https://cdn.jsdelivr.net/npm/vue/dist/vue.js"></script>导入Axios:<script src"https://unpkg.com/axios/dist/axios.min.js"></script> 简单Vue程序…

【grafana】使用教程

【grafana】使用教程 一、简介二、下载及安装及配置三、基本概念3.1 数据源&#xff08;Data Source&#xff09;3.2 仪表盘&#xff08;Dashboard&#xff09;3.3 Panel&#xff08;面板&#xff09;3.4 ROW&#xff08;行&#xff09;3.5 共享及自定义 四、常用可视化示例4.1…

探索编程世界的利器!选择哪个IDE,成就新手开发之路?

文章目录 一、IDE的概念和作用IDE是什么&#xff1f;为什么说选择一款IDE对开发者来说可以起到事半功倍的作用&#xff1f; 二、当下备受推崇的IDE有哪些&#xff1f;1. Visual Studio Code2. PyCharm3. IntelliJ IDEA 三、如何选择一个适合自己的IDE&#xff1f;四、IDE的使用…

1.17堆模板,黑匣子(对顶堆应用,找动态第i大的数),合并果子(哈夫曼树),荷马史诗(多叉哈夫曼树,补空叶子结点)

二叉堆树状数组 P3378 【模板】堆 向上调整唯一&#xff0c;向下调整要看孩子 #include<iostream> #include<iomanip> #include<vector> #include<string> using namespace std; const int maxn 1e6 3; int h[maxn], n, op, num, cnt 0; void swa…

【C++入门到精通】智能指针 shared_ptr循环引用 | weak_ptr 简介及C++模拟实现 [ C++入门 ]

阅读导航 引言一、std::shared_ptr的循环引用1. 概念2. 示例分析 二、std::weak_ptr1. 简介2. weak_ptr模板类提供的成员方法3. 使用示例&#xff08;1&#xff09;weak_ptr指针的创建&#xff08;2&#xff09;完整示例&#xff08;解决上面循环引用问题&#xff09; 4. C模拟…

幻兽帕鲁PalWorld服务器搭建教程,1分钟开服,纯小白教程,无需基础

雨云面板服快速开幻兽帕鲁PalWorld服务器的教程&#xff0c;配置文件修改方法和配置项中文注释。 最近这游戏挺火&#xff0c;很多人想跟朋友联机&#xff0c;如果有专用服务器&#xff0c;就不需要房主一直开着电脑&#xff0c;稳定性也好得多。 幻兽帕鲁简介 《幻兽帕鲁》…

Revit二次开发 设置材质

设置此处材质&#xff0c;需要在材质浏览器中创建材质&#xff0c;根据材质名字设置此材质。 代码如下&#xff1a; Material material new FilteredElementCollector(doc).OfClass(typeof(Material)).FirstOrDefault(x > x.Name "窗框") as Material; Element…

掼蛋的文化价值

近几年&#xff0c;掼蛋成为人们在各种场合休闲娱乐时的首选&#xff01;掼蛋的魅力在于它不仅是一款简单有趣的游戏&#xff0c;更是中国传统文化和智慧的缩影&#xff01;它所积淀的文化价值、所蕴含的文化元素、所散发的文化气息具体包括&#xff1a; 1.社交文化&#xff1a…

android camera的使用以及输出的图像格式

一、Camera 1.1、结合SurfaceView实现预览 1.1.1、布局 <?xml version"1.0" encoding"utf-8"?> <LinearLayout xmlns:android"http://schemas.android.com/apk/res/android"xmlns:app"http://schemas.android.com/apk/res-au…

3d导模型赋予材质方法---模大狮模型网

给3D模型赋予材质的方法可以根据您使用的软件和工作流程而有所不同。以下是一般的步骤&#xff0c;您可以根据自己的情况进行调整&#xff1a; 准备模型&#xff1a;首先&#xff0c;确保您的模型已经完全建模并进行了UV映射。UV映射是将2D纹理坐标应用到3D模型表面的过程&…

对 MODNet 网络结构直接剪枝的探索

文章目录 1 写在前面2 遇到问题3 解决方案4 探索过程4.1 方案一4.2 方案二4.3 方案三 5 疑惑与思考5.1 Q15.2 Q2 1 写在前面 在前面的文章中&#xff0c;笔者与小伙伴们分享了对 MODNet 主干网络部分以及其余分支分别剪枝的探索历程&#xff0c;即先分解、再处理、后融合的手法…

DB2数据库,时间类型插入数据

DB2数据库,时间类型插入数据 1、TIMESTAMP类型 1.1、创建表 CREATE TABLE BI_varchar ( id INTEGER NOT NULL GENERATED ALWAYS AS IDENTITY (START WITH 1, INCREMENT BY 1 ), hide_zero varchar(1000), simulation_cphone_de varchar(1000), disorder_de varchar(…

Cortex-M4 处理器 内存模型

内存模型 处理器有一个固定的默认内存映射&#xff0c;提供最多4GB的可寻址内存。 SRAM和外设的区域包括可选的位带区域。 位带提供了对位数据的原子操作 处理器为核心外设寄存器保留专用外设总线&#xff08;PPB&#xff09;地址范围的区域。 内存区域、类型和属性 内存映…

3D打印机 拓竹A1 Combo 开箱体验

拓竹&#xff08;Bambu Lab&#xff09;A1 Combo FDM 3D打印机开箱体验。 最近想玩玩3D打印&#xff0c;所以入手了一台拓竹A1 Combo的3D打印机&#xff0c;A1 Combo对比A1多了个AMS lite&#xff0c;支持多色打印&#xff08;4种颜色&#xff09;&#xff0c;京东买的&#x…

Redis——关于它为什么快?使用场景?以及使用方式?为何引入多线程?

目录 1.既然redis那么快&#xff0c;为什么不用它做主数据库&#xff0c;只用它做缓存&#xff1f; 2.Redis 一般在什么场合下使用&#xff1f; 3.redis为什么这么快&#xff1f; 4.Redis为什么要引入了多线程&#xff1f; 1.既然redis那么快&#xff0c;为什么不用它做主数据…

在线SM4加密/解密工具

在线SM4加密/解密 - BTool在线工具软件&#xff0c;为开发者提供方便。在线SM4加密/解密工具支持快速、便捷地对数据进行SM4算法加密与解密。适用于各类业务场景&#xff0c;确保信息安全传输&#xff0c;操作简易直观&#xff0c;只需几步即可完成加解密过程。采用国家标准SM4…