- 博客(8)
- 资源 (16)
- 收藏
- 关注
RSS订阅原创 xss的简单的理解
什么是xssXSS攻击是Web攻击中最常见的攻击方法之一，它是通过对网页注入可执行代码且成功地被浏览器 执行，达到攻击的目的，形成了一次有效XSS攻击，一旦攻击成功，它可以获取用户的联系人列表，然后向联系人发送虚假诈骗信息，可以删除用户的日志等等，有时候还和其他攻击方式同时实 施比如SQL注入攻击服务器和数据库、Click劫持、相对链接劫持等实施钓鱼，它带来的危害是巨 大的，是web安全的头号大...
2019-11-26 21:28:40
278
原创 GET_and_POST
这是一道代码审计的题 <?phpinclude "flag.php";$a='welcome to ';$b='drops';if(isset($_GET['get'])){ $a=$_GET['get'];}if(isset($_POST['post'])){ $b=$_POST['post'];}if($a=='web'&&$...
2019-11-22 18:35:18
180
原创 bugku杂项
签到(50)扫码即可得到flag眼见非实(ISCCCTF)(50)文件头格式1.将文件下载下来发现文件的名称是zip,根据这个提示我们将这个文件修改为1.zip,解压发现是一个word文档(眼见非实)打开发现是乱码2.眼见非实emmmm这是题目给我们的提示,我们将这个word文档放到HxD中进行分析发现文件头竟然是50 4B 03 04常见文件头3.我们将这个的后缀变为.zip再...
2019-11-15 21:00:16
204
原创 BugKu -- 程序员本地网站
程序员本地网站(100)X-Forwarded-For: 简称XFF头，它代表客户端，也就是HTTP的请求端真实的IP，只有在通过了HTTP 代理或者负载均衡服务器时才会添加该项。这道题要求从本地访问，打开burpsuite抓包，加上：X-Forwarded-For: 127.0.0.1 就好了...
2019-11-09 14:58:31
352
原创 bugku 细心
细心(130)题目提示:想办法变成admin1.查看源码，好像没有什么线索2.我们用御剑扫描一下看能否发现一些线索发现有robots.txt文件在robots.txt下发现如下内容：打开resusl.php根据题目的提示构造payload:http://123.206.87.240:8002/web13/resusl.php?x=admin...
2019-11-09 14:25:24
170
原创 各种绕过
各种绕过(110)sha1对数组加密返回为false<?phphighlight_file('flag.php');$_GET['id'] = urldecode($_GET['id']);$flag = 'flag{xxxxxxxxxxxxxxxxxx}';if (isset($_GET['uname']) and isset($_POST['passwd'])) { ...
2019-11-09 13:56:16
1538
原创 bugku 求getshell
求getshell文件上传漏洞，过滤很明显这是一个文件上传的题,我们尝试去上传一句话木马一共三个过滤请求头部的 Content-Type文件后缀请求数据的Content-Type这里是黑名单过滤来判断文件后缀，依次尝试php4，phtml，phtm，phps，php5（包括一些字母改变大小写）最终发现，php5可以绕过接下来，请求数据的Content-Type字段改为 i...
2019-11-09 12:39:43
637
原创 bugku 文件包含2
文件包含2文件包含,文件上传1.查看源码发现注释文件upload.php,访问下来到文件上传页面2.访问upload.php3.上传一句话木马普通一句话会被过滤，这里构造保存文件修改后缀为1.jpg,成功上传4.访问 保存进去的文件 即 Save in 后面的upload/201911090410479422.jpg访问里面的txt文件,得到flag...
2019-11-09 12:19:48
165
空空如也
TA创建的收藏夹 TA关注的收藏夹
TA关注的人