- 博客(14)
- 收藏
- 关注
RSS订阅原创 基础漏洞流量分析
程序开发人员通常会把可重复使用函数或语句写到单个文件中，形成“封装”。在使用某个功能的时候，直接调用此文件，无需再次编写，提高代码重用性，减少代码量。这种调用文件的过程通常称为包含。程序开发人员都希望代码更加灵活，所以会把被包含的文件的路径设置为变量，来进行动态调用(包含)，但正是由于这种灵活性，如果被包含文件的路径客户端可控，造成任意文件包含漏洞。几乎所有的脚本都会提供文件包含的功能，文件包含漏洞在 PHP 的Web 应用中居多，在JSP/ASP/ASPNET 程序中比较少。
2023-12-11 12:00:14
904
1
原创 业务逻辑漏洞复现
成功，证明可以进行爆破，具体原因是前端验证了验证码，后端没有进行验证，而bp是介于前后端中间，能抓到成功的包，在服务器看来，已经是前端验证好的，所以就会返回数据了。抓到包后修改价格（price）为0，然后放包。修改数据再次重放，查看是否成功。完善一些信息后去进行“购物”我们先进行正确的验证码输入。要先用bp抓包进行拦截。看看bp里面的浏览记录。进行重放，寻找成功特征。
2023-11-27 17:43:46
381
1
原创 Java反序列化漏洞
反序列化漏洞常见的有PHP和Java反序列化漏洞php 由于自身魔术方法在反序列化过程中自动调用，魔术方法包含恶意代码产生链式调用执行到危险函数的位置Java反序列化漏洞，由于开发者重写了readobject方法，实现了链式调用，调用到了危险函数的位置。
2023-11-22 17:53:50
47
1
原创 PHP反序列化漏洞介绍
序列化:将对象转化为便于传输的格式，常见的序列化格式:二进制格式，字节数组，ison字符串，xml字符串。__wakeup() unserialize()时会自动调用这个函数。__sleep() serialize()时会自动调用这个函数。序列化的目的：保证编写的代码能在互联网上完整的传输。__construct() 在创建对象时自动调用。__destruct() 在销毁对象时自动调用。反序列化: 将序列化的数据恢复为对象的过程。
2023-11-21 22:25:44
21
原创 编写PHP代码，实现反序列化的时候魔法函数自动调用计算器
类中的魔术方法，在特定情况下会自动调用。即使魔术方法在类中没有被定义，也是真实存在的。__wakeup() unserialize()时会自动调用这个函数。__sleep() serialize()时会自动调用这个函数。__construct() 在创建对象时自动调用。以 __ 开头的函数，是PHP 中的魔术方法。__destruct() 在销毁对象时自动调用。
2023-11-21 22:13:21
28
原创 审计DVWA靶场命令执行关卡impossible难度的代码
函数会返回一个数组，其中的每个元素都是原始字符串中分隔符分割出的部分。函数中，第一个参数是分隔符，这里是逗号。，第二个参数是待分割的字符串。
2023-11-21 21:34:22
67
原创 演示如何挖掘xss漏洞
他会有原模原样的返回，证明可能存在XSS漏洞，接下来就尝试一下能否有弹窗。证明又有可能存在漏洞，继续尝试一下。依旧是随便输入一些东西。先随便输入一串字符串。
2023-11-20 21:18:28
158
空空如也
空空如也
TA创建的收藏夹 TA关注的收藏夹
TA关注的人