网络空间安全
文章平均质量分 93
CongSec
该博客主要用于记录日常笔记和经验分享
文章风格主打简洁明了
展开
-
解密XXE漏洞:原理剖析、复现与代码审计实战
在网络安全领域,XML外部实体(XXE)漏洞因其隐蔽性和危害性而备受关注。随着企业对XML技术的广泛应用,XXE漏洞也逐渐成为攻击者们利用的重点目标。一个看似无害的XML文件,可能成为攻击者入侵系统的利器。因此,理解XXE漏洞的原理,并掌握其复现与代码审计技巧,对于提升系统安全性至关重要。本文将深入剖析XXE漏洞的工作原理,展示如何在实际环境中复现该漏洞,并提供详尽的代码审计方法。无论您是网络安全初学者,还是资深开发者,都能从中获得实用的知识和技能。让我们一起解密XXE漏洞,提升我们的安全防护能力。原创 2024-08-04 00:00:00 · 603 阅读 · 0 评论 -
深入探究CSRF与SSRF漏洞复现:从原理到实践
在当今网络安全领域,已成为两种常见且严重的漏洞类型。随着Web应用程序的复杂性不断增加,这些漏洞的危害也愈发显著。作为一名开发者或安全研究人员,理解并能够复现这些漏洞对于提升自身的安全防护能力至关重要。本文将带领您深入探究CSRF和SSRF漏洞的原理,并通过实际案例进行漏洞复现。无论您是网络安全新手,还是经验丰富的专业人士,都能从本文中获取宝贵的知识和实用技能。让我们一起揭开CSRF与SSRF的神秘面纱,提升我们的安全意识和应对能力。原创 2024-08-03 09:09:51 · 474 阅读 · 0 评论 -
xss漏洞原理及利用【万字详解】
随着互联网技术的飞速发展,网络安全问题也日益凸显。在众多网络攻击方式中,跨站脚本攻击(Cross-Site Scripting, XSS)因其广泛性和高危性,成为了网络安全领域的一个重要研究课题。XSS 攻击通过在网页中注入恶意脚本,使攻击者能够窃取用户信息、劫持用户会话、篡改网页内容等,给用户和企业带来巨大的安全隐患。本文将深入探讨 XSS 漏洞的原理,并通过具体的实例演示如何复现这一漏洞,希望能帮助读者更好地理解和防范 XSS 攻击。原创 2024-08-03 09:08:43 · 608 阅读 · 0 评论 -
VMware虚拟机网络模式配置详解【原理,功能,特点层面】
**桥接模式**适用于需要虚拟机直接接入物理网络的场景,**NAT模式**适用于需要虚拟机联网但不需要独立IP的场景,**仅主机模式**适用于虚拟机与宿主机独立通信的场景。原创 2024-08-02 00:00:00 · 1483 阅读 · 0 评论 -
文件包含漏洞汇总
程序开发人员通常会把可重复使用的函数写到单个文件中,在使用某些函数时,直接调用此文件,而无须再次编写,这种调用文件的过程一般被称为文件包含。在包含文件的过程中,如果文件能进行控制,则存储文件包含漏洞原创 2024-08-02 00:00:00 · 686 阅读 · 0 评论 -
深入解析条件竞争之文件上传和文件包含
条件竞争漏洞(Race Condition)是指在多线程或多进程环境中,多个操作的执行顺序未被正确控制,导致意外行为或安全问题。在 PHP 会话管理中,特别是在文件上传和会话数据处理过程中,可能会出现这样的漏洞。网站网站:http://43.139.186.80/1.phpphp??", $file);??", $file);??", $file);??", $file);} else {?攻击者的网站:12>')?原创 2024-08-01 00:00:00 · 871 阅读 · 0 评论 -
文件上传漏洞大总结:原理与复现
文件上传漏洞的原理在于服务器没有正确验证上传文件的内容或类型,导致攻击者可以上传任意文件,包括恶意脚本(如PHP、ASP等),这些脚本一旦被执行,就可以对服务器进行各种恶意操作。原创 2024-08-01 00:00:00 · 787 阅读 · 0 评论 -
sqlmap从注入到脚本制作【超全】
SQLMap 是一个开源的渗透测试工具,专门用于自动化检测和利用 SQL 注入漏洞。它具备强大的功能和灵活的使用方式,适合安全研究人员和渗透测试人员使用。原创 2024-07-30 00:00:00 · 632 阅读 · 0 评论 -
记一篇与asp语言相关的漏洞汇总
MDB数据库不是MongoDB数据库,**MDB数据库是access数据库的一种文件格式**,而由于大部分ASP程序与ACCESS数据库搭建,但ACCESS无需连接,都在脚本文件中定 义配置好数据库路径即用,不需要额外配置安装数据库,所以大部分提前固定好的数据库 路径如默认未修改,当攻击者知道数据库的完整路径,可**远程下载后解密数据实现攻击**。原创 2024-07-29 00:00:00 · 681 阅读 · 0 评论 -
sql注入详解【从数据库架构分析】
SQL注入是一种常见的Web应用程序安全漏洞,它允许攻击者在Web应用程序中插入恶意SQL语句,从而操纵数据库执行非授权的操作。这种攻击利用了应用程序在处理用户输入时的不足,特别是当应用程序直接将用户输入作为SQL语句的一部分使用,而没有进行适当的验证和清理时。原创 2024-07-29 00:00:00 · 1725 阅读 · 0 评论 -
JavaScript安全编程宝典【万字详解】
JavaScript是一种强大的、多用途的编程语言,最初由Netscape公司的Brendan Eich在1995年设计,旨在为Web页面增加动态和交互功能。随着时间的推移,JavaScript已经从一种简单的脚本语言发展成为一种功能全面的编程语言,被广泛用于Web前端和后端开发、服务器端应用、桌面应用、移动应用、游戏开发以及物联网项目中。原创 2024-07-28 00:00:00 · 1476 阅读 · 0 评论 -
【XML入门精要】从零开始的开发之旅
XML,全称eXtensible Markup Language,即“可扩展标记语言”,是一种用于存储和传输数据的标准格式。它由万维网联盟(W3C)开发,目的是克服HTML(HyperText Markup Language)在表示数据结构和语义上的局限性,提供一种更灵活、更强大的数据描述方式。原创 2024-07-28 00:00:00 · 834 阅读 · 0 评论 -
掌握AJAX技术:从基础到实战
在现代Web开发中,AJAX(Asynchronous JavaScript and XML)技术已经成为一个不可或缺的工具。**它不仅提升了用户体验,还显著提高了网页的动态交互能力**。本文将为初学者详细介绍AJAX技术的基础知识,并通过简单的实例帮助大家快速上手。原创 2024-07-26 00:00:00 · 970 阅读 · 0 评论 -
反射型与dom型的xss的区别【源码分析】
攻击点反射型 XSS:恶意代码通过 HTTP 请求发送到服务器,并在服务器响应中反射回客户端。DOM 型 XSS:恶意代码直接在客户端(浏览器)中通过 JavaScript 动态生成和执行。执行位置反射型 XSS:服务器响应时执行。DOM 型 XSS:客户端 JavaScript 处理时执行。防御重点反射型 XSS:服务器端的输入验证和输出编码。DOM 型 XSS:客户端 JavaScript 的输入验证和安全的 DOM 操作。原创 2024-07-26 00:00:00 · 2109 阅读 · 0 评论 -
PHP安全编程宝典:30000字精细解析
PHP是一种广泛应用于Web开发的开源脚本语言,易学且功能丰富,可用于动态网站、Web应用、命令行脚本和桌面应用。其强大的数据库支持和社区资源使它成为开发者的重要工具。原创 2024-07-25 00:00:00 · 1443 阅读 · 0 评论 -
深入理解PHP基础【代码审计实战指南】
PHP是一种广泛应用于Web开发的开源脚本语言,易学且功能丰富,可用于动态网站、Web应用、命令行脚本和桌面应用。其强大的数据库支持和社区资源使它成为开发者的重要工具。原创 2024-07-21 00:00:00 · 1031 阅读 · 0 评论 -
掌控数据库:在 PHPStudy 中玩转 MySQL 命令行的终极指南
PHPStudy是一款集成了PHP环境的开发工具,适合初学者和小型项目的快速开发。它内置了Apache、Nginx、MySQL等常用组件,使得Web开发变得简单快捷。通过PHPStudy,开发者可以轻松地搭建本地开发环境。原创 2024-07-20 00:11:17 · 1845 阅读 · 0 评论 -
JavaScript与DOM的奇妙探险:从入门到精通的实战笔记
在现代Web开发中,JavaScript与DOM(文档对象模型)是每个开发者必不可少的工具和技能。无论你是刚踏入前端开发领域的新手,还是希望深入了解并掌握高级技巧的经验丰富者,这篇笔记都会为你提供宝贵的指导。本文将带你全面了解JavaScript与DOM的关键概念、基本操作和高级应用,帮助你在开发过程中游刃有余,创造出更加动态和交互性强的网页原创 2024-07-20 00:00:00 · 718 阅读 · 0 评论 -
深入理解CSS基础【代码审计实战指南】
在没有CSS之前,我们想要修改HTML元素的样式需要为每个HTML元素单独定义样式属性,费心费力。所以CSS就出现了原创 2024-07-19 00:00:00 · 817 阅读 · 0 评论 -
深入理解HTML基础【代码审计实战指南】
本文主要讲述HTML的基础使用,标签及其语法原创 2024-07-19 01:44:06 · 1380 阅读 · 0 评论 -
微信小程序反编译工具安装【PC端程序包详解】
微信小程序已经成为现代应用开发的一个重要部分。如果你想深入了解它们的内部工作机制,反编译是一种有效的方法。本文将为初学者详细讲解如何反编译微信小程序。通过这篇文章,你将学会反编译小程序所需的工具和步骤。原创 2024-07-18 00:00:00 · 639 阅读 · 0 评论 -
轻松绕过CDN:全面掌握查找真实IP的技巧
在网络安全和渗透测试过程中,**绕过CDN找到真实IP** 是一个常见的挑战。本文将介绍多种有效的方法,帮助你快速掌握这一技能原创 2024-07-18 00:00:00 · 550 阅读 · 0 评论 -
快速上手FFUF:一款高效的网络模糊测试js文件爆破工具
借助FFUF,你可以快速高效地进行网络模糊测试,发现潜在的安全漏洞。不仅是一款功能强大的工具,适用于目录发现、子域名发现、以及HTTP方法模糊测试,还是一款js爆破工具。本文将引导你快速掌握FFUF的使用方法,不需要复杂的背景知识,适合基础小白学习。它可以帮助你在短时间内发现网站的隐藏目录、文件和子域名,从而找到潜在的安全漏洞。:仅输出状态码为200和301的响应结果,有助于精确发现有效目录。:通过代理进行扫描,可以隐藏真实IP地址,提高安全性。:递归扫描可以深入每个目录层级,发现更多的隐藏目录。原创 2024-07-17 00:00:00 · 934 阅读 · 0 评论 -
OneForAll工具:安装指南、使用方法及常见问题解决(超全)
在网络安全领域,子域名收集是信息收集过程中非常重要的一步。OneForAll 是一款功能强大的子域名收集工具,能够帮助我们高效地进行子域名收集。本文将详细介绍 OneForAll 的安装和使用方法,并解决在使用过程中可能遇到的问题。介绍:OneForAll 是由 shmilylty 在 Github 上开源的子域名收集工具。它具有强大的收集能力和灵活的处理功能,支持多线程操作,速度极快。介绍:安装 OneForAll 需要 Python 3.8 以上版本和 pip3 包管理工具。原创 2024-07-17 00:00:00 · 1306 阅读 · 3 评论 -
Pikachu之RCE全解:Windows与Linux系统网站的rce~payload~
Pikachu靶场是一个极具挑战性的网络安全练习平台,其中的远程代码执行(RCE)漏洞更是许多初学者学习和掌握的重要课题。本文将针对Pikachu靶场中的RCE漏洞,分别介绍在Windows和Linux服务器上的rce详细解决方案。原创 2024-07-15 00:00:00 · 339 阅读 · 0 评论 -
渗透测试入门指南:关键术语一览
在信息安全领域,**渗透测试**(Penetration Testing)是一项重要的技能。对于初学者而言,理解一些常用的专业术语是迈向渗透测试的第一步。本文将为基础小白详细介绍渗透测试中的关键术语,帮助你快速上手。原创 2024-07-15 00:00:00 · 908 阅读 · 0 评论 -
深度解析攻击工具:哥斯拉、冰蝎与蚁剑的流量特征全揭秘
网络安全攻防中,不同的攻击工具各有其独特的流量特征。本文将深入浅出地介绍哥斯拉、冰蝎和蚁剑的流量特征,并详细分析菜刀的流量特征,帮助基础小白更好地理解这些工具在网络流量中的表现。原创 2024-07-14 00:00:00 · 1025 阅读 · 0 评论