- 博客(17)
- 资源 (1)
- 收藏
- 关注
RSS订阅原创 逻辑漏洞及防御
逻辑漏洞就是基于开发人员设计程序的时候，逻辑不严密，导致攻击者可以修改、绕过或者中断整个程序，让程序按照开发人员的预料之外去执行。相比SQL注入、XSS漏洞等传统安全漏洞，现在的攻击者更倾向于利用业务逻辑层的应用安全问题。之所以称为逻辑漏洞，是因为代码之后是人的逻辑，人更容易犯错，是编写完程序后随着人的思维逻辑产生的不足。
2024-04-13 23:48:08
873
1
原创 远程代码执行漏洞及防御
远程命令/代码执行漏洞（RC（command/code）E）：RCE漏洞，可以让攻击者直接向后台服务器远程注入操作系统命令或者代码，从而控制后台系统；
2024-03-25 22:22:22
1305
原创 SSRF及防御
服务端请求伪造是一种安全漏洞，攻击者可以利用该漏洞向目标服务器发起恶意请求，从而绕过访问控制和安全策略，可能导致信息泄露、服务拒绝、甚至服务器被入侵。攻击者通常会利用SSRF漏洞来获取内部系统信息、执行未经授权的操作或攻击内部系统。实质：是一种由攻击者构造形成由服务端发起请求的一个安全漏洞。curl_exec() //执行 cURL 会话file_get_contents() //将整个文件读入一个字符串fsockopen() //打开一个网络连接或者一个Unix套接字连接扫描资产；
2024-03-24 23:03:48
652
2
原创 文件包含漏洞及防御
出现的问题：可能会导致允许访问敏感文件或者执行恶意代 码，造成漏洞；这就被称为文件包含漏洞；文件包含漏洞是一种常见的Web应用程序漏洞，允许恶意用户通过在URL或表单字段中注入恶意代码来访问和执行服务器上的文件。这种漏洞通常出现在PHP等动态网页语言中，当应用程序使用用户提供的输入直接包含文件时容易发生。攻击者利用文件包含漏洞可以执行各种恶意操作，比如读取敏感文件、执行系统命令、获取数据库信息等。
2024-03-23 22:47:11
2136
1
原创 文件上传漏洞及防御
文件上传漏洞是指网站或应用程序中存在的一种安全漏洞，攻击者可以利用该漏洞向服务器上传恶意文件。通过文件上传漏洞，攻击者可以上传包含恶意代码的文件，如Web shell、恶意脚本、恶意软件等，从而获取服务器的控制权或执行恶意操作。这可能导致服务器被入侵、敏感数据泄露、服务拒绝等安全问题。通常，攻击者利用文件上传漏洞来执行远程代码，控制服务器或网站，进而实施更广泛的攻击。
2024-03-22 19:19:24
3126
1
原创 XSS及防御
XSS（跨站脚本攻击，Cross-Site Scripting）是一种常见的安全漏洞，攻击者通过在网页中注入恶意脚本，使得用户在浏览网页时执行这些恶意脚本，从而达到窃取用户信息、会话劫持等恶意目的。通常恶意脚本不仅限于JavaScript，还包括Java，VBScript，Flash，ActiveS；
2024-03-17 11:53:35
861
1
原创 CSRF漏洞及防御
CSRF（Cross-Site Request Forgery）是一种网络安全漏洞，攻击者利用用户已经认证过的会话来执行未经用户授权的操作。攻击者会诱使用户在受信任的网站上执行恶意操作，从而利用用户的身份来发送恶意请求。这种攻击通常通过在受害者浏览器中注入恶意代码或链接来实施。CSRF攻击的目标是利用用户在目标网站上已经建立的会话，来执行一些可能危害用户的操作，比如更改用户密码、发送恶意邮件等。CSRF攻击的危害性很大，因此开发人员和网站管理员需要注意并采取相应的措施来保护用户的信息安全。
2024-03-17 10:42:12
1000
1
原创 SQL注入及其防御
sqlmap是一个开源的渗透测试工具，用于自动化检测和利用Web应用程序中的SQL注入漏洞。它被广泛用于安全专业人员和研究人员测试Web应用程序的安全性，并识别潜在的漏洞，这些漏洞可能会被攻击者利用。sqlmap能够检测各种类型的SQL注入漏洞，如盲注、基于错误的注入和基于时间的注入，并可用于提取数据库信息、转储表格，甚至接管底层数据库服务器。sqlmap适用于市面上的大部分数据库；SQL注入是一种常见的网络安全漏洞，攻击者通过在输入字段中插入恶意的SQL代码来攻击数据库系统。
2024-03-09 14:06:40
1534
1
原创 密码的暴力猜解与防御
密码安全是指保护用户账户和个人信息不受未经授权的访问和使用的一种安全措施。密码学在网络空间安全中扮演着至关重要的角色。密码学是研究加密、解密和信息安全的学科，它通过使用密码技术来保护数据的机密性、完整性和可用性。在网络空间安全中，密码学的应用包括以下几个方面：1. 加密通信：密码学可以用于保护网络通信的机密性，确保数据在传输过程中不被未经授权的人访问或窃取。通过使用加密算法，数据可以在发送和接收过程中被加密和解密，从而保护通信内容的安全。
2024-01-21 10:54:36
1091
原创 信息收集(Web 安全)
首先来看IP地址，IP地址是一组用于在网络上标识和定位设备的数字标识符。它可以用来识别设备的位置和连接到网络的方式。IP地址通常由四个十进制数构成，每个数的取值范围是0到255，192.168.1.1， IP地址可以是公共的，用于在互联网上进行通信，也可以是私有的，用于在局域网内进行通信。而域名是用于在互联网上标识和定位特定网站或服务的文字标识符。域名通常由多个部分组成，以点号分隔，比如www.example.com。域名的最后一部分被称为顶级域名如.com、.org、.net等。
2024-01-12 20:21:11
1150
原创 RIP 的应用
RIP（）是早期第一代动态路由协议，是一种基于距离矢量(Distance-Vecto)算法来计算到达目的网络的最佳路径路由协议，它通过UDP报文进行路由信息的交换，使用的端口号为520，RIP是基于跳数（最多支持15跳）来衡量到达目的地址的距离，称为度量值；
2023-12-06 16:47:53
1165
原创 VLAN 应用的实现
交换机VLAN 及端口规划如上网络拓扑图所示，其中SW-1 ，SW-2 上接口Ethernet 0/0/1，Ethernet 0/0/2为VLAN 10 ，Ethernet 0/0/3，Ethernet 0/0/4，为VLAN 20 ，其接口类型都为Access，分别连接PC1~PC8，交换机 GE 0/0/1 接口用于两个交换机互联，所属VLAN ID 为1，10，20，接口类型为Trunk。（1），部署网络，设置主机的IP地址，子网掩码，网关，并且查看交换机的初始信息，测试网络的连通性；
2023-12-02 21:23:25
882
1
原创 虚拟局域网（VLAN）的应用
在实际应用中，需要对交换机构成的广播域进行划分，这便要用到虚拟局域网（VLAN）技术，本文介绍如何在交换机上划分虚拟局域网，从而分割交换机的广播域。
2023-11-28 15:19:17
1128
3
空空如也
空空如也
TA创建的收藏夹 TA关注的收藏夹
TA关注的人