luluoluoa的博客

log文件log即日志，log文件就是日志文件，记录jar文件phar文件

RCE：remote command/code execute，即远程代码/命令执行漏洞攻击者可以直接在web页面向后台服务器远程注入操作系统命令或者代码，从而控制后台系统，这就是RCE漏洞。

Saas服务WebRTCservice workerC2通信

cookie最近一定写，正在学-----------http是无状态的，关于无状态，可以看这一文http无状态无连接，也就说说http连接中，用户端请求一次，服务器响应一次，然后就断开连接，不会记录双方的状态。那么我们登陆一个网站时，每次发起请求，都要输入用户名和密码，很麻烦，因此就出现了cookie。cookie是能够让网站服务器把少量文本数据存储到客户端的硬盘、内存，或者从客户端硬盘、内存读取数据的一种技术。cookie可以随着http请求一起传递，用来标识用户，维持会话，不用每次都输入

htmlhtml是超文本标记语言，因此html只是用来展现一些格式，展示网页。现在有html5其实也是增加了很多新功能的html。csscss是层叠样式表，帮网页中的东西如按钮定义样式，甚至可以加一些动画，使网页更加好看。css代码一般嵌入html代码中，也有外部定义的一些css格式文件，在html中需要这些样式的时候就引用。JavaScript上边介绍的html、css都是静态的，只是展示而已，不能与页面的用户交互，不能提交表单把数据传到后台服务器。但是这些JavaScript可以。

域名一个正常的域名，比如我们去阿里云注册一个域名格式是xxx.xxx的，我注册的是luluoluo.xyz，前边的可以自定义如luluoluo，但最后的顶级域名如xyz是只能选不能自定义的，有.com、.cn、.store、.xyz等等，只不过价格不一样。子域名买了一个域名后，就可以自己设置无数的子域名，然后解析就可以使用了。比如腾讯的域名qq.com，就可以自己定义域名mail.qq.com，www.qq.com，game.qq.com.但是这些子域名的ip地址都是同一个，也就是说一个

beefBeEF-XSS是一款非常强大的web框架攻击平台，集成了许多payload，可以实现许多功能BeEF-XSS可以说是最强大的XSS漏洞利用工具，可以收集浏览器信息、键盘记录、社会工程等总之就是使用beef这个工具来利用xss漏洞的beef安装我在kail虚拟机上安装的，很简单的在终端输入一句命令sudo apt setup beef-xss，然后安装成功设置密码就行了，因为之后在浏览器打开需要登陆，登陆名beef，密码就是安装时设置的那个beef打开在终端输入命令beef

这次要干两个事情：1.自己使用phpstudy搭建的网站可以不仅只通过127.0.0.1访问，还可以通过自己任意设置的域名访问2.自己使用phpstudy搭建的网站，同局域网的其它设备可以访问，如手机、虚拟机等修改域名使用phpstudy搭建好网站后，我这里搭建一个靶场，具体方法phpstudy搭建dvwa打开phpstudy>设置>配置文件>hosts，会打开记事本文件，然后在文件末尾添加我们想要的域名就可以了，格式是：127.0.0.1 任意域名，具体如下：.

数据库我们把数据存在数据库（Database）中，具体来说就是，数据存储在被称为表的数据库对象中，表是相关的数据的集合，由列和行组成，多个表单组成database。我们通过数据库管理系统使用数据库查询语言，对这些数据进行增删等操作。数据库管理系统RDBMS 指关系型数据库管理系统（Relational Database Management System），它是一个应用。不同的数据库管理系统有MySQL、SQL Server、Access、Oracle、Sybase、DB2 。其中MyS

WebshellWebshell就是一个脚本，是以asp、php、jsp或者cgi等网页文件形式存在的，可以对web服务器进行操作的权限.Webshell一般是被网站管理员用于网站管理、服务器管理等等一些用途，但是由于Webshell的功能比较强大，可以上传下载文件，查看数据库，甚至可以调用一些服务器上系统的相关命令(比如创建用户，修改删除文件之类的)，通常被黑客利用,这时可以叫做”后门“。黑客在入侵了一个网站后，通过一些上传方式会将asp或php这些后门文件与网站服务器WEB目录下正常的网页文

同源策略同源：两个页面（接口）的协议、域名、端口号都相同同源策略就是浏览器的一个安全策略，它阻止了不同源之间进行的数据交互，不然其它网站的js脚本如果可以控制本网站就麻烦了。不同源的客户端脚本在没有明确授权的情况下，不能读写对方资源。同源策略其实就是为了防止csrf的。但是嵌入到页面中的<script src="..."></script>，<img>，<link>，<iframe>是没有限制的，会导致csrf攻击XSSXSS.

http连接使用http连接就是使用TCP连接+一些规则去安全可靠的传输信息TCP就是为http传输提供了一条可靠的比特传输管道，数据从tcp连接的一端输入，然后会以原来的顺序正确的传输出来。TCP数据流与IP数据包tcp数据流（我们使用http传输的数据）在传输时，会将这些数据流切割成小块，每个小数据块都封装在一个IP分组中传输，这就是我们所说的数据包。所以数据整个流程就是http--TCP--IP数据包，每个数据包经过这个流程都会增加tcp首部和ip首部，ip首部包括源/目的ip地址

url通用格式<协议>：//<用户名>：<密码>@<主机域名或者ip地址>：<端口号>/<路径>；<参数>？<查询>#<片段>其中最重要的是<协议><主机域名><路径>总之，url（统一资源定位符）的作用就是通过浏览器发送给服务器，告诉服务器我们想要什么资源在什么位置，并发送给我们的浏览器，通过上边的格式，我们举几个例子：http://www.bai

vulhub介绍vulhub是一个开源漏洞靶场，可以在安装 docker和docker-compose 后，使用简单的指令搭建漏洞环境，具体介绍可以看官网。可以安装在windows、linux上。vulhub官网：https://vulhub.org/#/index/docker介绍docker意思就是容器，可以把我们配置好的环境等打包到这个容器里，使用的时候就可以直接使用它的镜像。这个容器可移植性强，很方便，有windows和linux版本。docker也有很多用法，但是我们这里是为了使用

普通用户切换root用户的指令：sudo su密码我看有的文章说默认密码是kali，但是我这里提示输入原普通用户的密码，反正就输入然后enter就可以了root用户切换普通用户的指令：su 普通用户名如我的普通用户名为yaya，所以root切换时输入：su yaya...

是的，切换root账户或者安装文件需要输入密码，但是输入时候什么显示也没有，甚至连******也没有，直接输完点击enter就行。第一次用linux切换root账户，还以为终端有问题或者中文界面的问题，原来并没有问题。...

web端口首先关于端口的介绍可以看前文简单介绍 http请求响应参数、无连接无状态、MIME、状态码、端口、telnet、curlweb服务器有很多服务，端口号区分服务器不同的服务。我们发送请求后服务器根据端口号把请求输送到不同的端口进行响应。web服务器默认端口是80，平时我们直接访问浏览器就是默认80端口。80端口80端口是http协议的默认端口，使用浏览器就是默认80端口如访问百度https://www.baidu.com:80，不过80可以省略8080端口8080端口一般是连

目录HTTP头部http与https的区别localhost与127.0.0.1phpStudy搭建dvwaSEO搜索引擎劫持C段旁段 子域名查询HTTP头部上一篇 简单介绍 http请求响应参数、无连接无状态、MIME、状态码、端口、telnet、curl本篇这一部分先介绍更多http头部参数、响应状态码、请求方法请求方法GET：客户端向浏览器请求资源，一般只有很短的请求主体内容，且会显示在浏览器端POST：客户端向浏览器提交大量数据，不会在浏...

http请求与响应报文请求和响应报文都有三部分，起始行，首部，主体。请求报文：GET /test/1.txt HTTP/1.1 //起始行：GET是请求方法，/test/1.txt是文件目录， HTTP/1.1是版本号Host:www.baidu.comAccept:text/html, image/gif, image/jpegAccept-language: en //首部 一般是名称：值的形式；依次是域名，请求的文件格式、语言（文件格式是MIME格式）一...

IP地址IP地址是在网络给主机分配的地址如53.159.232.5或者192.168.1.1 。具体格式就是00000000.00000000.00000000.00000000，32位二进制，平时都用十进制。但是主机在网络上不是一个主机连一个主机，而是网络连接网络，在一个网络中存在很多主机，是一种层次化的存在。具体的A类地址，B，C，D类地址就是为了这个产生的。其中，A地址范围从1.0.0.0 到127.0.0.0。如一个A类地址是126.0.0.0，意思就是有一个网络，里边的主机ip地址前一