这个挑战名叫“Purple Posse Market”，比赛对挑战场景有如下描述：你任职于政府的IT取证部门，你目前正在调查一个出售违禁药品和枪支武器的违法网站，而你需要做的就是想方设法拿到网站管理员的
为您找到资讯结果约 74个
5，请模拟一次对大型商业网站的攻击，请写出你的思路和基本步骤
收集信息,多利用搜索引擎.
有些比赛中会检测CPU的使用率，如果服务器比较卡顿，会被认定该服务器不能正常服务，就会减分，所以说整个比赛中规则很多样，没有具体的非常标准化的规则，因比赛而异。
但实际上，在这家公司发布补丁之前，就已经有安全专家爆料，这个所谓的“严重漏洞”实际上是厂商预留的一个后门。
这就是个后门？
让我们本地测试还原一遍场景（注意：本地测试不需要 https）：
首先打开网站：
打开正常页面：
这时候点击被攻击页面，此页面事先被注入了 XSS
DPO发展前景
欧美国家早在2000年开始，已有至少数百家公司设有DPO的职位，如花旗集团、美国运通、惠普、微软、脸书等。
这个漏洞可让网站访问内部高权限RPC（远程过程调用）。有很多的PRC，可对LastPass扩展实现完整控制，包括密码的窃取。
不过大家也能感觉到，这似乎也不是一个万全之计，因为攻击者如果研究了网站的机制之后，总有办法测出并预先伪造cookie值的设置方法。
文件上传主要是配合一些漏洞的利用，普遍意义上的文件上传是指将信息从个人计算机传送至中央计算机，也就是我们所说的远程计算机，对站点来说，就是传到运行网站的服务器上。
0x02 HTTPS网站的情形
许多人在第一次使用BurpSuite抓取HTTPS网站报文时都会遇到『您的连接不是私密连接』（Chrome）、『此网站的安全证书存在问题』（IE）或者『您的连接不安全』