- 博客(7)
- 收藏
- 关注
RSS订阅
1原创 漏洞学习---S2-001 远程代码执行漏洞
漏洞原理 由于用户提交表单数据并且验证失败时，后端会将用户先前提交的参数值使用OGNL表达式%{value}进行解析，然后重新填充到对应的表单数据当中，在真实的测试环境中，遇到注册或登录界面，存在提交数据失败情况，则后端会返回之前提交的数据信息，若后端使用%{value}对提交的数据执行了OGNL表达式解析，那么可以利用这点，直接构造payload进行远程代码执行操作.漏洞环境#使用vulhub进行漏洞演示/vulhub-master/struts2/s2-001docker-compose b
2021-06-17 16:56:53
338
原创 常见漏洞原理、利用方式及修复方式----SQL注入及XSS
sqli1、原理：（1）将SQL语句插入或添加到应用（用户）的输入参数中，再将这些参数传递给后台的SQL服务器加以解析并执行。（2）刚开始接触sqli，首先我们得明白常见的web架构是怎么样的，通俗点来说，也就是所有的浏览器通过表示层来访问一个网站，其具体的工作流程是什么样的？流程：浏览器发起一个请求，并将请求交给服务器，服务器当中运行着Apache\Nginx等中间件来解析请求，当对请求中的网站进行解析的时候，需要用到解析脚本（ASP\PHP\JSP.NET），而存储层的东西是不能直接使用的，所以
2021-03-01 14:21:03
3122
原创 使用docker环境报错解决#ERROR: Get https://registry-1.docker.io/v2/: net/http:
报错场景在使用docker复现漏洞利用时，出现了以下报错[root@localhost CVE-2020-14882]# docker-compose up -dPulling weblogic (vulhub/weblogic:12.2.1.3-2018)...ERROR: Get https://registry-1.docker.io/v2/: net/http: request canceled (Client.Timeout exceeded while awaiting headers)
2021-01-19 17:02:13
6659
原创 CTF攻防世界-WEB高阶区-ics-06
ics-06创建测试场景，并点击题目链接进入题目场景场景页面：尝试点击每个模块功能，发现大多都不能使用，随后想起题目描述所给出的提示：“云平台报表中心收集了设备管理基础服务的数据，但是数据被删除了，只有一处留下了入侵者的痕迹。”，依据提示，说明一定会存在一个能够访问的url链接，在点击了每个模块之后，发现仅有名为“报表中心”模块能够使用，故继续沿着该线索做题随意选择日期范围，尝试查看是否出现解题线索：页面无回显，那么确定这个不是解题线索。故继续在题目页面寻找线索，注意到url处显示拼接了参数
2020-11-30 17:15:03
658
原创 安全之路——Linux上搭建DNS服务器及相关知识
DNS相关知识描述：将域名和IP地址进行相互映射的一个分布式数据库，其中相互映射的意思就是，解析域名则映射出IP地址，解析IP地址则映射出域名。运行端口：53 TCP/UDP功能：(1)正向解析：根据域名查找对应的IP地址 #dig www.baidu.com(2)反向解析：根据IP地址查找对应的域名 #dig -x 163.177.151.110，但是反向解析的时候，需要IP是能够被反向解析的，否则就不会被解析出域名。服务类型（1）授权DNS：直接提供域名解析服务，并为递归DNS提供
2020-10-21 23:47:28
228
空空如也
空空如也
TA创建的收藏夹 TA关注的收藏夹
TA关注的人