- 博客(37)
- 收藏
- 关注
RSS订阅原创 XXE（XML外部实体注入）
XML是一种可扩展标记语言，用于传输和存储数据，但不展现数据。相较于HTML语言，XML更加灵活，可自主创建专属标签、能够在保证关键信息完整性的情况下，数据库和网站之间传输数据、高效定位标签。XML语法大小写敏感、不允许特殊字符。DTD文档是为了定义合法XML文档构建模块，用于约束XML文档。当允许引用外部实体时，攻击者可以通过构造恶意内容，进行文件读取、构造SSRF、DOS等危险动作，即XXE（XML外部实体注入）。
2023-07-27 07:25:28
113
原创 常见逻辑漏洞
程序逻辑输入管控不严或者逻辑太复杂，导致程序不能够正常处理或处理错误时，产生的漏洞。常出现于登录注册、密码找回、验证方式、交易支付等。其特点为普遍存在、隐蔽且不固定。
2023-07-26 10:30:22
74
原创 SSRF服务器请求伪造
攻击者构造服务器端请求所产生的安全漏洞，由于服务器端提供从其他服务器获取数据的功能，且没有对目标地址进行过滤限制，所产生的漏洞。能够对外发起网络请求、从远端服务器请求资源、数据库内置功能、webmail收取邮件、文件处理，编码处理，属性信息处理时，常存在SSRF漏洞。主要用于攻击内部系统。
2023-07-26 09:35:55
67
原创 CSRF漏洞
跨站请求伪造（CSRF），点击攻击（one click）属于高危漏洞，当用户访问恶意网站时，用户自动触发恶意攻击。用户与服务器要保持会话。
2023-07-26 09:11:42
66
原创 命令执行漏洞
在web应用开发中，通过调用代码或系统函数去提高应用灵活性、简洁性，而忽略用户输入是否可以被控制时，所产生的漏洞。可以获取服务器权限、获取敏感数据、写入恶意shell。
2023-07-26 08:12:17
64
原创 文件包含学习
文件包含是通过文件包含函数将文件当做脚本执行。是为了更好的使用代码的重用性所产生的漏洞。常见的文件包含函数--------------------------遇到错误时，不会中断代码，且包含返回值-------------------------------
2023-07-25 10:30:40
69
原创 任意文件上传下载
当网站存在文件下载功能时，网站对该功能不加以限制过滤，则恶意用户能够任意访问下载敏感文件，属于失效的访问控制。可结合目录穿越漏洞使用。常出现于文件下载处、URL链接处。
2023-07-25 09:27:29
84
原创 XSS学习笔记
跨站脚本攻击是恶意攻击者通过插入恶意Script代码至web页面中，当用户浏览页面时，恶意代码被执行，从而实现恶意攻击，属于客户端攻击。用户可以提交数据且服务器可以展示数据，常存在于用户交互处（标签、属性、URL、样式，Script）。
2023-07-24 11:27:42
83
原创 网络通信基础------TCP/IP体系结构
内网IP是路由以内的网络，可以连接互联网，但互联网无法直接连接内网。使用ipconfig/ifconfig查询。端口是应用程序在计算机中的唯一标识。端口范围0-65535。公网IP即互联网IP，可以进行资源互通，不需要端口映射。是互联网中的唯一标识，用来寻找设备。
2023-07-23 09:30:57
55
原创 Python Scrapy框架中间件
预处理request和response对象，对headers、cookies进行更换和处理，使用代理ip，或其他定制操作，默认情况下在middlewares.py文件中存储。settings.py中添加USER_AGENT_LIST。返回Response对象：将response返回给引擎。返回Response对象：将response返回给爬虫。middlewares.py中修改User-Agent。返回Request对象：将request交给调度器。返回Request对象：将request交给调度器。
2023-06-28 10:59:55
137
原创 Python Scrapy框架基础知识(三)
cookie过期时间很长，能够在过期前获取cookie，或配合其他程序，获取本地cookie。settings.py中修改请求头。
2023-06-28 09:48:39
79
1
原创 Python Scrapy框架基础知识(二)
在itrms.py中，定义数据字段，配合注释提示所需字段，及配合管道类使用。在爬虫文件parse方法中使用。
2023-06-28 09:16:51
88
1
原创 Python Scrapy框架基础知识(一)
定义管道类class 管道(object):# 定义方法# 存入文件# 序列化# 写入文件# 返回数据至引擎return i。
2023-06-28 08:39:05
98
1
原创 Selenium 框架学习使用
find_element(s)_by_partial_link_text 根据链接所包含的文本返回元素列表‘’find_element(s)_by_class_name 根据class名返回元素列表。find_element(s)_by_name 根据标签name值返回元素列表。find_element(s)_by_tag_name 根据标签名返回元素列表。find_element(s)_by_link_text 根据文本返回元素列表。
2023-06-27 09:07:26
69
原创 Python数据提取学习笔记
bookstore/book[price>35.00]/title 选取bookstore下book元素中title元素，且 price元素值大于35.00。/bookstore/book[last()-1] 选取属性bookstore子元素中倒数第二个book元素。
2023-06-27 07:49:42
56
原创 Requests模块学习笔记（一）
匿名代理：无法知道真实IP，但可以得知使用代理。https代理：目标url为https协议。高匿代理：无法知道是否使用代理及真实IP。http代理：目标url为http协议。socks隧道代理：不关心协议种类。发送http请求，获取响应数据。透明代理：可以看到真实IP。
2023-06-26 09:04:53
76
1
原创 爬虫基本情况学习
网络爬虫（又称网络机器人），以模拟客户端，发送网络请求，接收响应，按照制定规则，自动抓取信息的程序（模拟浏览器-->发送请求-->获取响应）理论上，客户端能够做到的，爬虫都可以实现，但也仅能完成客户端所展现的数据。
2023-06-26 07:42:49
554
1
原创 Python Scrapy框架下，从0开始全流程爬虫（NBA球员数据）
【代码】Python Scrapy框架下，从0开始全流程爬虫（NBA球员数据）
2023-06-23 09:02:32
905
原创 Python脚本实现雷神模拟器启动APP（非APPium）
由于不想使用appium启动APP，所以在网上参考，查找资料，完成自定义编写，仅供参考
2023-06-20 11:47:34
2170
2
原创 Python爬虫实测，选取历史数据统计存储
由于我们需要的数据分别为，期号、日期以及中奖号码，所以根据页面内容，分别进行获取。以期号为例，在页面内容js中，首先是字典格式，所以选择索引【result】，其次为列表，选择当前数据，最后由于依旧为字典，选择相应索引进行搜索Lottery_period=json_s['result'][i]['code'] # 期号。由于检测到数据为JSON，进行一个数据转化。
2023-06-19 11:41:33
479
网络安全渗透测试报告模板-2023下载
2023-09-05
空空如也
TA创建的收藏夹 TA关注的收藏夹
TA关注的人