自定义博客皮肤VIP专享

*博客头图:

格式为PNG、JPG,宽度*高度大于1920*100像素,不超过2MB,主视觉建议放在右侧,请参照线上博客头图

请上传大于1920*100像素的图片!

博客底图:

图片格式为PNG、JPG,不超过1MB,可上下左右平铺至整个背景

栏目图:

图片格式为PNG、JPG,图片宽度*高度为300*38像素,不超过0.5MB

主标题颜色:

RGB颜色,例如:#AFAFAF

Hover:

RGB颜色,例如:#AFAFAF

副标题颜色:

RGB颜色,例如:#AFAFAF

自定义博客皮肤

-+

千寻的博客

道阻且长,行则将至,行而不辍,未来可期。

  • 博客(8)
  • 资源 (91)
  • 收藏
  • 关注

原创 4.4CSRF防御

4.4 CSRF防御二次确认在调用某些功能时进行二次验证,如:删除用户时,产生一个提示对话框,提示“确定删除用户吗?”。转账操作时,要求用户输入二次密码,设置验证码,在进行敏感操作时输入验证码。当二次验证后,即使用户打开了 CSRF POC页面,也不会直接去执行,而需要用户再次输才可以完成攻击。这样,当用户突然收到提示后,可能会心存怀疑,就不再会乖乖地中招。Token 认证原理Token即标志、记号的意思,在IT领域也叫作令牌。CSRF攻击成功的两个要素:攻击者可得知UR

2020-05-28 17:02:49 846

原创 4.3检测CSRF漏洞

检测CSRF漏洞手工检测前提CSRF只能通过用户的正规操作进行攻击,实际上就是劫持用户操作。在检测前首先需要确定Web应用程序的所有功能以及确定哪些操作是敏感的比如修改密码、转账、发表留言等功能第一步 抓取删除用户得数据包第二步 编写CSRF POC<html> <body> <script>history.pushState('', '', '/')</script> <form action="

2020-05-28 16:57:52 1886 2

原创 4.2浏览器的Cookie机制

4.3浏览器Cookie机制CSRF攻击CSRF攻击得前提是用户处于登录状态可能会注意到一个情况,有些网站提供了“记住我”或者是“1个月之内免登录”的功能毫无疑问,这使用户方便了许多,在登录网站时无须再次输入密码但当攻击者进行CSRF攻击时,用户也更容易中招。Cookie得两种表现形式本地Cookie(持久性Cookie)持久型 Cookie是服务器端脚本语言向客户端发送 Cookie时制定了时效也就是 Expire字段,而且会存储于本地当 Expire所制定的时效过期后,

2020-05-28 16:54:23 836

原创 4.1CSRF介绍

跨站点请求伪造(CSRF)CSRF简介CSRF( Cross-Site Request Forgery)是指跨站请求伪造,也常常被称为“ One Click Attack或者“ Session Riding”,通常缩写为CSRF或是XSRF。虽然CSRF听起来像XSS跨站脚本攻击,但CSRF与XSS的攻击方式完全不同。CSRF与XSS相比,虽然CSRF攻击不太流行,但却更加难以防范,所以被认为CSRF比XSS更具危险性,CSRF在业内具有“苏醒的巨人”的称号。可以这么理解CSRF攻

2020-05-28 16:45:48 482

原创 CTF6靶机实战

文章目录总结CTF6靶机下载地址环境搭建靶机实战信息收集漏洞查找漏洞利用提权摘抄总结信息搜集,端口扫描,目录扫描,获取敏感目录和压缩包文件下载源代码,进行审计代码,得到数据库账号和密码(发现账号和密码,其实和敏感目录下的一样)敏感目录下,获取账号和密码(发现是主页的登陆账号密码)使用msf生成php反向shell,通过文件上传漏洞上传shell,并访问进行触发寻找Linux内核漏洞exp,提权rootCTF6靶机下载地址https://download.vulnhub.com/lamps

2020-05-25 16:33:07 1714 2

原创 xxe靶机漏洞复现

0x00 XML介绍可扩展标记语言,标准通用标记语言的子集,简称XML。是一种用于标记电子文件使其具有结构性的标记语言。在电子计算机中,标记指计算机所能理解的信息符号,通过此种标记,计算机之间可以处理包含各种的信息比如文章等。它可以用来标记数据、定义数据类型,是一种允许用户对自己的标记语言进行定义的源语言。它非常适合万维网传输,提供统一的方法来描述和交换独立于应用程序或供应商的结构化数据。是Internet环境中跨平台的、依赖于内容的技术,也是当今处理分布式结构信息的有效工具。早在1998年

2020-05-25 16:17:47 1276

原创 CVE-2018-2894任意文件上传(Weblogic)漏洞复现

文章目录0x01漏洞介绍0x02利用条件0x03影响版本0x04环境搭建0x05漏洞复现0x06漏洞修复摘抄0x01漏洞介绍Weblogic管理端未授权的两个页面存在任意上传jsp文件漏洞,进而获取服务器权限。两个页面分别为/ws_utc/begin.do /ws_utc/config.do。0x02利用条件需要知道部署应用的web目录ws_utc/config.do在开发模式下无需认证,在生产模式下需要认证。0x03影响版本Weblogic 10.3.6.0Webl

2020-05-25 15:57:43 809

原创 burpsuit无法成功代理之导入证书

burpsuit代理出现问题第一步 查看自己的浏览器代理第二步 访问代理的端口,并下载证书第三步 查看下载的证书第四步 浏览器导入证书浏览器设置–>选项–>隐私与安全此时证书就导入完成...

2020-05-11 21:37:38 1864

vmware安装windows10详细步骤

基于VMware 15.5pro安装window10,从环境导入,window10的配置,完成,到安装VMware tool关闭防火墙、安装jdk,burpsuit等步骤。

2020-12-11

电子商务概论(农).docx

根据《电子商务概论》课程学习,整理的课后章节系习题和形成作业题,方便大家学习和参考。

2020-11-15

32位vc9和32位vc11

根据phpstudy运行中出现出现提示"系统没有安装VC9、VC11运行库",可直接下载运行,解决此问题

2020-11-11

跨站点请求伪造.zip

压缩包内分为笔记部分和环境搭建部分: 笔记部分:CSRF介绍、Cookie机制、检测CSRF漏洞存在、CSRF防御 环境搭建部分:bank文件夹中存放笔记中网站搭建源码、构造的get、post页面源码。 解压密码:456.com

2020-05-28

CTF6靶机实战.zip

CTF6靶机实战包括三部分: 1)靶机实战过程 2)文件上传的反弹shell文件(shell.php) 3)系统版本漏洞需要的文件(8478.sh)

2020-05-25

32位vc11和vc14运行库.rar

根据phpstudy运行中出现出现提示"系统没有安装VC11、VC14运行库",可直接下载运行,解决此问题

2020-03-06

软件项目管理.pptx

根据大学<>课程,期末做的ppt演讲。 供大学生期末考试节课作业,课设作业,方便复习,提供参考。

2020-02-25

upload-labs-env.rar

本文档是文件上传的闯关环境,解压后,双击允许modify_path.bat文件,开启phpstudy,即可进行实验。 免责声明 本文档供学习,请使用者注意使用环境并遵守国家相关法律法规! 由于使用不当造成的后果上传者概不负责!

2020-02-24

web安全基础知识全图.png

web安全基础知识点总结,从风险评估、安全防护、应急响应、安全加固、大数据安全、物联网安全 、 其他方面做出总结,为xmind导图

2020-02-14

sql注入知识点总结.pdf

根据网上视频课程学习总结知识点,文档结构分为SQL注入概述、SQL注入分类、SQL注入流程、SQL注入方法、自动化注入做出总结 整理为文档 可以方便查阅

2020-02-11

文件包含知识点总结.pdf

根据网上视频课程学习总计知识点,文档结构分为文件包含的定义、php中文件包含函数、漏洞原理及特点、常见的利用方式做出总结 整理为文档 可以方便查阅

2020-02-10

php代码注入+系统命令注入知识点总结.pdf

根据网上视频课程学习总计知识点,文档结构分为php代码注入和os代码注入 php代码注入从原理 相关语句函数 利用 防御方面做出总结 os系统命令注入从 原理成因 相关函数 利用 防御方面做出总结 整理为文档 可以方便查阅

2020-02-09

渗透测试技术选择题.pdf

本文的是在学习过程中,整理出来的选择题,基本涵盖渗透测试方面的小知识点,既可以作为面试题,同时可以自我查缺补漏的知识梳理。

2020-02-08

CSRF知识点·总结.pdf

该文档是在看网络学习视频总结,从CSRF介绍、防御、分章节进行叙述,其中包括http请求的知识、cookie的防御 ,可作为学习文档。

2020-02-07

XSS注入知识点总结.pdf

该文档是在看网络学习视频总结,从XSS漏洞概述,XSS分类,XSS构造,XSS变形,XSS的利用,XSS的防御进行总结,分章节进行叙述,可作为学习文档。

2020-02-07

最全毕业论文写作攻略.rar

本文档根据毕业论文写作经验总结,从毕业论文答辩经验包、毕业论文开题报告、毕业论文写作逻辑、毕业论文写作小技巧与雷区、毕业论文重复率检测与降低进行提出总结,避免读者出现的雷区,意见。

2020-02-07

财政与金融课程形成性考核册作业答案1-4.pdf

根据财政与金融的课程学习,整理出的课后习题册的答案,供大家期末参考资料,也可用与复习参考资料的学习。

2020-02-02

单臂路由+DHCP+DNS.pkt

单臂路由+DHCP+DNS 第一步:单臂路由+DHC实验拓扑图 第二步:创建vlan,VTP 第三步:单臂路由 第四步:DHCP动态获取IP地址 第五步:实验结果

2020-01-28

静态路由配置.pkt

Router(config)#ip route 10.0.0.0 255.255.255.0 20.0.0.1 Router(config)#ip route 40.0.0.0 255.255.255.0 30.0.0.2 Router(config)#do show ip rou

2020-01-23

WEB漏洞检测项.xlsx

在渗透测试工作中,整理出来web渗透检测项,分别从注入漏洞、XSS、安全配置错误、登录认证缺陷、敏感信息泄露、权限控制不严格、跨站请求伪造、存在漏洞的组件、其他类型漏洞、其他漏洞、已公开高位漏洞等部分,对检测项依次做漏洞类型分析,测试要点。

2020-01-16

网络安全事件应急演练方案

( 1)结合实际,合理定位。紧密结合应急管理工作实际需求,明确演练目的,根据资 源条件确定演练方式和规模。 ( 2)着眼实战、讲求实效。以提高应急指挥机构的指挥协调能力和应急队伍的实战应 变能力为着眼点。重视对演练流程及演练效果的评估、考核,总结推广好的经验,对发现的 问题及时整改。 (3)周密部署、确保安全。围绕演练目的,精心策划演练内容,科学设计演练方案, 周密部署演练活动,制订并严格遵守有关安全措施,确保演练参与人员及演练设施安全。 ( 4)统筹规划、厉行节约。统筹规划应急演练活动,演与练有效互补,适当开展跨行 业、跨地域的综合性演练,充分利用现有资源,提升应急演练效益。

2022-12-05

GitHub小工具制hackbar2.1.3

GitHub小工具制hackbar2.1.3

2022-12-05

渗透测试常用书签整理(信息收集、漏洞整理、渗透工具、加密解密)

渗透测试常用书签整理(信息收集、漏洞整理、渗透工具、加密解密)

2022-11-29

攻防演练方案相关的附件模板

收集整理的攻防演练方案过程中,相关的附件整理模板,附件一:攻防演练授权委托书;附件二:攻防演练保密协议;附件三:防守方评分标准;附件四:攻击方评分标准;附件五:攻击过程简报;附件六:防守工作简报;

2022-07-02

记录一次ssh日志分析和apache日志分析

记录一次ssh日志分析和apache日志分析

2022-05-25

软件测试学习整理的题目和解答,方便考证参考

软件测试技术培训考试题学习和整理

2022-04-24

网络安全知识题库.md

网络安全300道题,基础知识了解,

2021-10-16

2021版初级测评项目汇总.docx

根据《2021版网络安全等级测评师培训教材(初级)》,自己整理出的测评项目汇总,为word版本,有相对应的目录和书签

2021-07-12

2021版初级测评项目汇总.pdf

根据《2021版网络安全等级测评师培训教材(初级)》,自己整理出的测评项目汇总

2021-07-12

ctf-misc-登机牌.zip

- 由登机牌作为出题点,对png图片进行16进制分析, - 发现暗含加密的rar文件, - 利用登机牌上的PDF417二维条形码得到rar的密码

2021-06-01

安装python.zip

windows10上同时安装pythoy2和python3

2021-05-21

任意文件下载知识点总结.zip

任意文件下载知识点总结。从描述、利用条件、漏洞危害、漏洞发现、漏洞利用、修复建议,进行整理的笔记

2021-05-08

OpenSSH 用户名枚举漏洞(CVE-2018-15473).zip

OpenSSH 7.7及之前版本中存在用户枚举漏洞,该漏洞源于程序会对有效的和无效的用户身份验证请求发出不同的响应。 学习笔记

2021-03-06

业务安全漏洞整理.7z

主要是对web安全里面的业务安全漏洞进行分类,整理。

2021-02-24

linux主机安全检查.zip

linux主机安全检查,主要有XMind、word、xlsx、png、pdf学习笔记,供大家参考和学习。

2021-02-12

Xposed+JustTrustMe.zip

Xposed+JustTrustMe安装包,使用教程https://blog.csdn.net/qq_41901122/article/details/112847053

2021-01-19

Vulnhub篇potato.zip

Vulnhub篇potato靶机,靶机学习笔记,一部分是学习笔记过程,另一部分是学习过程整理的过程文档,供大家参考学习

2021-01-12

VulnHub-Tr0ll1.zip

VulnHub-Tr0ll1靶机学习笔记,一部分是学习笔记过程,另一部分是学习过程整理的lol.pacp\.c文档、user.txt等文档,供大家参考学习

2021-01-12

Vulnhub篇Tomato.zip

主要包括两部分,一部分是tomato的学习笔记过程,另一部分是,过程中使用到文件,供大家学习参考。

2021-01-12

Nessus安装教程.zip

主要是ubuntu20下安装nessus的过程,其中一部分是安装过程的笔记,另外一部分是安装包,请根据需求进行下载使用

2021-01-10

空空如也

TA创建的收藏夹 TA关注的收藏夹

TA关注的人

提示
确定要删除当前文章?
取消 删除