- 博客(11)
- 收藏
- 关注
RSS订阅原创 跨站脚本攻击（XSS）
XSS（跨站脚本攻击）是常见的Web安全漏洞，攻击者通过注入恶意脚本窃取用户信息或操控用户行为。XSS分为三类：存储型（恶意脚本永久存储在服务器）、反射型（通过URL参数临时触发）和DOM型（客户端DOM操作漏洞）。危害包括窃取Cookie、伪造操作、钓鱼攻击等。防御措施包括输入验证、输出编码、使用CSP策略、保护Cookie安全及避免危险API。通过DVWA靶场演示了XSS攻击实例，分析漏洞成因并展示防御方法。
2025-08-20 15:07:00
883
原创 Web 外壳（WebShell）
摘要： WebShell是一种通过Web漏洞植入的恶意脚本，可使攻击者远程控制服务器，执行命令、操作文件/数据库等。常见类型包括PHP、ASP、JSP等，常通过混淆代码、伪装文件等方式隐藏。检测手段包括静态特征扫描、动态行为监控及日志分析。防御需修复漏洞、限制权限、禁用危险函数并定期审计。实验演示了通过文件上传漏洞植入PHP WebShell，并用蚁剑工具连接控制服务器的过程。安全建议强调最小权限原则与主动防护措施。
2025-08-20 14:33:32
1498
原创 SQL注入（SQL Injection）
SQL注入是Web安全中常见的攻击手段，攻击者通过构造特殊输入篡改SQL语句逻辑，绕过认证或获取敏感数据。攻击方式包括字符型/数字型注入、联合查询、布尔/时间盲注等，可能导致数据泄露、篡改或破坏。防御措施包括使用参数化查询、输入验证、最小权限原则和ORM框架等。实战示例展示了如何利用DVWA靶机进行SQL注入测试，通过输入特殊字符判断注入点类型并获取数据。
2025-08-20 14:22:07
888
原创 文件上传（Unsafe Fileupload）
摘要： 文件上传漏洞是Web安全高危漏洞，攻击者通过上传恶意文件（如WebShell）获取服务器控制权。主要绕过方式包括：前端JS验证绕过、扩展名混淆（如大小写、特殊字符）、MIME类型伪造、文件内容伪装（图片马）等。防御需采用后端白名单验证、文件内容校验、随机重命名、目录权限隔离等综合措施。文中以靶机pikachu演示了客户端校验绕过和MIME类型伪造攻击，通过禁用JS或修改Content-Type字段即可突破限制，凸显后端多重验证的必要性。
2025-08-20 14:01:43
837
原创 文件包含（File Inclusion）
摘要：文件包含是Web开发中常见的代码复用技术，但如果实现不当会导致严重安全漏洞。其原理是通过用户可控的路径参数包含执行文件，分为本地文件包含(LFI)和远程文件包含(RFI)两类。攻击者可通过路径遍历、伪协议利用、日志包含等方式绕过限制，导致信息泄露或代码执行。防御措施包括输入验证白名单、禁用危险配置和代码规范。靶机实验展示了本地文件包含漏洞的实际利用过程。
2025-08-20 13:45:14
1163
原创 劫持（Clickjacking）
点击劫持（Clickjacking）是一种利用视觉欺骗诱导用户点击隐藏操作界面的网络攻击技术。攻击者通过iframe嵌套或元素覆盖等方式，将目标页面的敏感按钮（如转账、授权）隐藏在诱饵页面（如抽奖按钮）下方。用户点击可见元素时，实际触发了隐藏的敏感操作。防御措施包括：服务器设置X-Frame-Options或CSP响应头阻止页面被嵌入、前端JS检测是否被iframe嵌套、敏感操作增加二次验证等。用户需警惕不明链接的诱惑性按钮，操作前确认页面真实性。该攻击可导致财产损失、账号被盗等风险。
2025-08-20 13:35:51
699
原创 反序列化漏洞
反序列化漏洞是一种高危Web安全漏洞，攻击者通过构造恶意序列化数据，在目标程序反序列化过程中触发非预期操作（如远程代码执行）。漏洞原理在于程序未严格校验输入数据，利用反序列化时自动调用的方法（如Java的readObject、PHP的魔术方法）执行恶意代码。典型案例包括Java的Apache Commons Collections链式调用、PHP的魔术方法文件写入、Python的pickle模块命令执行。防御措施包括：严格校验输入源、使用JSON等安全格式替代、限制可反序列化的类、加密签名数据、沙箱
2025-08-20 13:33:34
576
原创 XML 外部实体注入（XXE）
XXE（XML外部实体注入）是一种利用XML解析器处理外部实体时的漏洞进行攻击的技术。攻击者通过构造恶意XML文档，引用外部文件或网络资源，可能导致敏感文件泄露、内网探测甚至远程代码执行。XXE攻击分为有回显和无回显（盲XXE）两种形式，后者通过外带数据方式获取信息。防御措施包括禁用外部实体加载、过滤输入、使用安全解析库或改用JSON等替代方案。
2025-08-19 17:46:51
834
原创 远程代码执行（RCE）
RCE（远程代码执行）漏洞允许攻击者通过网络远程控制目标系统，危害极大。其核心成因包括输入验证缺失、危险函数滥用、反序列化漏洞等，攻击者通过信息收集、漏洞验证、代码注入等步骤实现系统接管。防御需多维度措施：严格输入过滤、禁用危险函数、安全序列化处理、最小权限原则及及时更新补丁。实战中，管道符等技巧可绕过限制执行恶意命令（如ping|dir）。该漏洞风险在于完全控制系统权限，需结合代码审计与监控主动防御。 （字数：149）
2025-08-19 17:42:29
1154
原创 kali Linux
Kali Linux是一款专为网络安全测试设计的Debian发行版，默认用户名为kali。文章介绍了其目录结构（如bin、etc、usr等），SSH连接方法，以及常用命令，包括系统更新、文件操作、权限管理、网络配置、信息收集工具（如Nmap、Metasploit）、Web渗透工具（如SQLmap）、密码破解工具（如Hydra、John the Ripper）和无线网络工具（如Aircrack-ng）。此外还涵盖系统信息查询、文件查找等实用命令，适合网络安全人员快速上手Kali Linux的基本操作。
2025-08-19 17:36:47
804
原创 跨站请求伪造（CSRF）
本文深入探讨了跨站请求伪造（CSRF）这一常见的Web安全漏洞。CSRF攻击利用浏览器自动携带Cookie的特性，通过诱导用户访问恶意网站，在用户不知情的情况下以用户身份执行非预期操作。文章详细分析了CSRF的工作原理、攻击流程和典型场景，并提供了多层面的防御策略，包括CSRF Token、Referer验证、SameSite Cookie设置等。通过piakchu靶机实战案例，展示了CSRF漏洞的实际利用过程，突显了该漏洞的危害性和防御的必要性。
2025-08-19 16:55:03
1022
空空如也
空空如也
TA创建的收藏夹 TA关注的收藏夹
TA关注的人