- 博客(9)
- 收藏
- 关注
RSS订阅原创 【小迪安全学习笔记】WEB漏洞-注入类型及提交注入
在真实SQL注入安全测试中，我们一定要先明确提交数据及提交方法后再进行注入，其中提交数据类型和提交方法可以通过抓包分析获取，后续安全测试中我们也必须满足同等的操作才能进行注入。
402
原创 【小迪安全学习笔记】WEB漏洞-SQL注入之MYSQL注入
MYSQL注入中首要明确当前注入点权限，高权限注入时有更多的攻击手法，有的能直接进行getshell操作。其中也会遇到很多阻碍，相关防御方案也要明确，所谓知己知彼，百战不殆。不论作为攻击者还是防御都需要了解其中的手法和原理，这样才是一个合格的安全工作者。高权限注入及低权限注入root在MYSQL数据库中属于最高权限，除root之外其他都简称为为普通用户权限不是root权限获取不到数据库名跨库查询及应用思路information_schema表特性，记录库名，表名，列名对应表通过selec
2021-05-31 13:57:23
514
原创 【小迪安全学习笔记】WEB漏洞-SQL注入之简要SQL注入
在本系列课程学习中，SQL注入漏洞是将是重点部分，其中SQL注入又非常复杂，区分各种数据库类型，提交方法，数据类型等注入，我们需要按部就班的学习，才能学会相关SQL注入的核心。同样此类漏洞是WEB安全中严重的安全漏洞，学习如何利用，挖掘，修复也是很重要的。SQL注入安全测试中危害分为两类：危害数据库里的数据、直接危害到网站的权限(需要满足条件)SQL注入产生原理详细分析见案例SQL语句在定义的时候没有变量，就不能进行SQL注入可控变量，带入数据库查询，变量为存在过滤或过滤不严谨可能存在注入的
2021-05-24 19:34:16
1040
原创 【小迪安全学习笔记】WEB漏洞-必懂知识点
前言：讲解各种WEB层面上的有哪些漏洞类型，具体漏洞的危害等级，以及简要的影响范围测试进行实例分析，思维导图中的漏洞也是我们将要学习到的各个知识点，气质针对漏洞的形成原理，如何发现，如何利用。CTF，SRC，红蓝对抗，实战等简要说明以上漏洞危害情况每个漏洞危害情况不同简要说明以上漏洞等级划分漏洞危害决定漏洞等级高危漏洞：SQL注入、文件上传、文件包含、代码执行、未授权访问、命令执行影响：直接影响到网站权限和数据库权限，能够获取数据或者网站的敏感文件。涉及到数据安全和权限的丢失都为高危漏洞中
2021-05-21 11:06:33
1881
1
原创 【小迪安全学习笔记】基础入门-系统及数据库等
前言：除去搭建平台中间件，网站源码外，容易受到攻击的还有操作系统，数据库，第三方软件平台等，其中此类攻击也能直接影响到Web或服务器的安全，导致网站或服务器权限的获取。操作系统层面识别操作系统常见方法通过网站或通过扫描相关软件识别大小写对网页都没有影响，这种情况就可以认定为windows服务器，因为windows服务器不区分大小写这个网站对应的操作系统是linux服务器也可以用TTL来判断服务器系统，相邻的值来判断ip地址可用nmap来判断操作系统 nmap -O IP简要两者区
2021-05-18 11:27:05
787
原创 【小迪安全学习笔记】基础入门-Web源码拓展
前言：Web源码在安全测试中是非常重要的信息来源，可以用来代码审计漏洞也可以用来做信息突破口，其中Web源码有很多技术需要简明分析。比如：获取某ASP源码后可以采用默认数据库下载为突破，获取某其他脚本源码漏洞可以进行代码审计挖掘或分析其业务逻辑等，总之源码的获取将为后期的安全测试提供了更多的思路。知识点：关于Web源码目录结构数据库配置文件，后台目录，模板目录，数据库目录等index.php 根据文件后缀判定admin 网站后台路径data 数据相关目录install 安装目录member
2021-05-14 20:17:35
990
2
原创 【小迪安全学习笔记】基础入门-搭建安全拓展
涉及知识：常见搭建平台脚本启用ASP,PHP,ASPX,JSP,PY,JAVAWEB等环境域名IP目录解析安全问题IP地址访问可以发现更多的信息同时经常能找到程序源码备份文件和敏感信息，而域名访问只能发现一个文件夹下的所有文件。网站搭建的时候支持IP访问和域名访问，域名访问的时候一般只会指向某个目录，IP访问的时候指向的是根目录。常见文件后缀解析对应安全指定后缀名对应某个文件，访问网站出现遇到不能解析的文件就是中间件可能默认或者添加某些设置导致解析时出现问题。常见安全测试中的安全防护学校内
2021-05-13 17:26:32
1054
2
原创 【小迪安全学习笔记】基础入门-数据包拓展
#Request 请求数据包#Proxy 代理服务器#Response 返回数据包HTTP/HTTPS具体区别？HTTPS具有加密，在访问速度上HTTPS要慢。HTTP简要通信过程建立链接 —> 发送请求数据包 —> 返回响应数据包 —> 关闭连接1.浏览器建立与web服务器之间的连接。2.浏览器将请求数据打包(生成请求数据包)并发送到web服务器。3.web服务器将处理结果打包(生成响应数据包)并发送给浏览器。4.web服务器关闭连接。Request请求数据包数据格
2021-05-10 00:48:50
1042
原创 【小迪安全学习笔记】基础入门-概念名词
域名什么是域名？地址的名称称为域名，例：www.baidu.com域名在哪里注册？第三方网址注册，例：万网(www.net.cn)什么是二级域名、多级域名？从右到左：根域名、顶级域名、二级域名、三级域名news.baidu.com、shehui.news.baidu.com域名发现对于安全测试意义？当主站域名无法找到漏洞的时候，从多级域名寻找突破口DNS什么是DNS？域名系统服务协议，主要用于域名与IP地址的相互转换本地Hosts与DNS的关系？重定向IP地址，网站在解析IP地址
2021-05-06 21:57:47
1316
1
空空如也
空空如也
TA创建的收藏夹 TA关注的收藏夹
TA关注的人