网安小范-CSDN博客

原创【网络安全基础】计算机网络基础：从TCP/IP协议栈到网络攻击原理

本文系统介绍了计算机网络基础与网络安全相关知识，包括OSI七层模型和TCP/IP四层模型的对比、IP协议与子网划分、TCP/UDP协议特点及三次握手/四次挥手过程、常见应用层协议（HTTP/HTTPS、DNS等）。重点分析了ARP欺骗、DNS劫持、DDoS等常见网络攻击原理及防御措施，并介绍了Wireshark、tcpdump等网络检测工具的使用方法。文章强调网络协议知识对网络安全工作的重要性，建议初学者通过抓包分析、熟悉工具等方式夯实基础，为后续学习防火墙配置、入侵检测等技能打下坚实基础。

2026-03-29 19:09:30 480

原创【网络安全基础】网络安全概述：从核心概念到知识体系构建

本文系统介绍了网络安全的基础知识体系，核心包括：CIA三元组（机密性、完整性、可用性）三大目标；最小权限、纵深防御、零信任等安全原则；常见威胁类型与攻击方式；PDR防护模型、等保2.0及ISO 27001等标准框架。文章还梳理了网络安全的知识领域、学习路径、常用术语及认证体系，为初学者提供了完整的认知框架与实践建议。

2026-03-29 18:51:40 944

原创【网络安全】文件包含漏洞：从LFI到RCE的完整攻击链

文件包含漏洞是Web安全中通向RCE的"黄金通道"，允许攻击者读取敏感文件或执行恶意代码。文章系统梳理了该漏洞的原理、分类（LFI和RFI）、利用手法（如伪协议利用、日志注入）及防御方案。重点包括：PHP伪协议的高级利用、敏感文件读取路径、日志注入技巧，以及白名单校验、路径过滤等核心防御措施。通过真实案例展示了漏洞危害，强调"永远不要包含用户可控路径"的安全原则，并提供了完整的安全开发Checklist。掌握文件包含漏洞既能提升渗透测试能力，也能帮助开发人员构建更安全

2026-03-28 20:01:22 767

原创【网络安全】逻辑漏洞：从业务逻辑缺陷到薅羊毛实战

Web逻辑漏洞分析与防御摘要：逻辑漏洞是业务设计缺陷导致的非技术性安全漏洞，攻击者通过正常功能接口实现非法操作。主要类型包括越权访问、支付篡改、优惠券滥用、竞态条件等，危害严重且难以自动化检测。防御关键在于：服务端严格校验权限和参数、数据库添加唯一约束、使用原子操作和状态机管理业务流程。典型案例显示，60%以上的电商金融应用存在此类漏洞。安全开发需遵循"不信任前端、服务端校验"原则，通过权限控制、并发管理和日志审计构建防御体系。

2026-03-28 14:09:54 607

原创【网络安全】命令注入：从原理到服务器沦陷实战

命令注入是Web安全中可直接控制服务器的严重漏洞，攻击者通过拼接恶意命令执行任意系统操作。文章系统分析了命令注入原理、利用手法（包括回显执行、盲注、反弹Shell）及绕过技巧（空格过滤、关键字过滤等）。防御措施包括避免系统命令、严格输入过滤、白名单校验、最小权限原则和命令监控。真实案例展示了漏洞危害，强调安全开发需贯穿代码每个环节。掌握命令注入既能提升渗透测试能力，也能构建更安全的系统防护。

2026-03-27 15:34:23 621 1

原创【网络安全】文件上传漏洞：从原理到GetShell实战

文件上传漏洞是指Web应用在处理用户上传文件时，未对文件名、文件类型、文件内容进行严格校验，导致攻击者可以上传恶意脚本文件，并通过Web访问该文件，从而在服务器上执行任意代码。| MIME类型 | `Content-Type` 请求头 | 仅允许 `image/jpeg`、`image/png` || 特殊后缀 | `.php3`、`.php5`、`.phtml` | Apache仍解析为PHP |利用：上传 `shell.php.abc`，如果Apache不认识 `.abc`，则按PHP解析。

2026-03-27 14:44:04 929

原创【网络安全】XXE XML外部实体注入：从原理到内网渗透实战

XXE作为OWASP Top 10中的经典漏洞，虽然不如XSS和SQL注入常见，但一旦出现往往是**高危漏洞**，轻则泄露服务器敏感文件，重则可实现内网渗透。* 这种方法的关键在于，某些 XML 解析器会把完整的错误信息（包括外部实体的内容）带回给客户端，或者将其写入服务器日志。XXE，全称XML External Entity Injection，攻击者通过在XML文档中注入恶意外部实体，利用解析器的特性，实现文件读取、内网探测、拒绝服务等攻击。-- 内部实体定义 -->-- XML声明 -->

2026-03-25 16:28:56 404 1

原创【网络安全】SSRF服务端请求伪造：从原理到内网穿透实战

SSRF（服务端请求伪造）是一种高危Web漏洞，攻击者通过篡改服务器发起的请求目标，使其访问非预期地址（如内网或元数据服务）。典型利用场景包括内网探测、端口扫描、云服务器元数据窃取（如AWS/阿里云）、Redis未授权访问等。常见绕过手法包括IP格式转换、302跳转、DNS重绑定等。防御措施建议：实施URL白名单校验、过滤内网IP段、限制危险协议（file/gopher/dict）、统一错误信息、响应内容限制等。开发中需特别注意图片抓取、Webhook等易存在SSRF的功能点，从代码和网络层面构建多维度防护

2026-03-25 16:06:19 72

原创【网络安全】CSRF跨站请求伪造：从原理到防御全解析

5、Token与Session未绑定：如果服务器验证了Token的存在性和正确性，但没有将该Token与当前用户的会话（Session）进行强绑定，可以先自己登录网站，获取一个属于自己的合法Token，然后在构造针对受害者的CSRF攻击POC（漏洞验证代码）时，附上自己的这个Token。4、配合XSS漏洞窃取Token：如果目标网站同时存在XSS（跨站脚本攻击）漏洞，攻击者可以注入恶意脚本，让脚本去读取当前页面中的Token值（例如从隐藏域或Cookie中），然后将窃取到的Token连同恶意请求一起发出。

2026-03-24 13:26:36 362

原创【网络安全】XSS跨站脚本攻击：从零基础到防御实战

在OWASP Top 10中，注入类漏洞常年占据榜首，而XSS（跨站脚本攻击）是其中最常见、影响范围最广的漏洞之一。设置了此属性后，JavaScript将无法读取document.cookie，即使存在XSS，攻击者也无法窃取该Cookie（虽然XSS本身并未修复，但极大地降低了敏感数据泄露的风险）。XSS (Cross-Site Scripting，跨站脚本攻击) 攻击者通过将恶意脚本注入到看起来可靠的网站中，当用户浏览该网页时，脚本会在用户浏览器中执行。在开发中，我们绝对不能信任用户的输入。

2026-03-24 13:18:13 239

原创【网络安全】SQL注入：从原理到数据库渗透实战

是 mysql 对 xml 文档数据执行查询和修改的 xpath 函数（返回被替换的 xml 片段，updatexml 中存在特殊字符、字母时，会出现报错，报错信息为特殊字符、字母及之后的内容，而 hex 出的数据包含字母和数字，所以第一个字母前面的内容都会丢失，常与 concat 组合使用。挖掘流程：1、判断注入点 2、判断闭合方式 3、数据查询 /漏洞利用（1、联合查询注入 2、报错注入 3、布尔盲注 4、时间盲注）当页面没有回显信息，但当注入时会有报错信息。

2026-02-27 14:53:12 442