Web 渗透测试思路总结

1.不管什么站，不管什么语言，我要渗透，第一件事就是扫目录，最好一下扫出个上传点，直接上传shell，诸位不要笑，有时候你花好久搞一个站，最后发现有个现成的上传点，并且很容易猜到，不过这种状况发生在asp居多！ 　　2.asp（aspx）+MSSQL先考虑注入，通常的注入都有DBowner权限能够直接写shell；若是写不了，或者web与数据库分离，那就猜数据，从后台下手了，后台能够上传或者改配置

>>阅读原文<<