- 博客(12)
- 资源 (1)
- 收藏
- 关注
RSS订阅原创 XSS、CSRF、SSRF漏洞的攻击原理以及防御
XSSxss：跨站脚本攻击，不需要做任何的登录认证，通过合法的操作（比如在url中输入、在评论框中输入），向你的页面注入脚本程序或者攻击者在Web页面里插入恶意script代码，当用户浏览该页之时，嵌入Web里面的script代码会被执行，从而达到恶意攻击用户的目的。攻击条件向web页面注入恶意代码这些恶意代码能够被浏览器成功的执行攻击原理xss漏洞的主要原因是程序对输入和输出的控制不够严格，导致“精心构造”的脚本输入后， 在输到前端时被浏览器当作有效...
2022-02-24 21:52:13
1253
原创 SSRF漏洞
ssrf服务器端请求伪造，是一种由攻击者构造请求，由服务端发起请求的安全漏洞。一般情况下，SSRF攻击的目标是外网无法访问的内部系统（因为请求是由服务器端发送的，所以服务端能请求到与自身相连而与外网隔离的内部系统）。ssrf漏洞攻击原理利用一个可以发起网络请求的服务当作跳板来攻击内部其他服务。SSRF的形成大多是由于服务端提供了从其他服务器应用获取数据的功能且没有对目标地址做过滤和限制。SSRF利用存在缺陷的Web应用作为代理攻击远程和本地的服务器。如果没有对目标地址做过滤和限制
2022-02-24 20:39:25
363
原创 任意文件查看与下载漏洞
任意文件查看与下载漏洞一些网站的业务需求，可能提供文件查看或下载功能，如果对用户查看或下载的文件不做限制，就能够查看或下载任意的文件，可以是源代码文件，敏感文件等等形成漏洞的原因存在读取文件的函数 读取文件的路径用户可控且未校验或校验不严格 输出了文件内容漏洞危害下载服务器任意文件，包含脚本代码文件，系统敏感文件等，可以配合其他类型的漏洞，进一步代码审计，查找更多可利用的代码漏洞的分类任意文件的读取 任意文件下载任意文件的读取查看源代码
2022-02-22 20:27:42
3889
原创 文件上传攻击与防护
文件上传攻击稍有经验的开发者都知道对文件上传功能进行一些限制，防止用户上传网页木马文件，但是如果开发者没有使用有效的限制手段，往往不能很好的阻止攻击者上传木马文件，以下是常见的限制手段和绕过限制手段进行上传攻击的方式文件上传漏洞—绕过js检测客户端使用javascript对上传的文件做了限制，不允许上传以php结尾的文件。 在本实验中，可以通过Burp拦截服务器响应包信息，修改限制条件，让.php为后缀的文件能够顺利上传。先创建一个包含一句话木马的php文件，选择上传点击上
2022-02-20 00:22:05
1422
原创 XSS漏洞攻击
1、在掌握xss之前，首先要了解什么是html、css、JavaScript。1）Html：超文本标记语言，是一种用于创建网页的标准标记语言。HTML是一种基础技术，常与CSS、JavaScript一起被众多网站用于设计网页、网页应用程序以及移动应用程序的用户界面。2）Css：是一种用来为结构化文档（如HTML文档或XML应用）添加样式（字体、间距和颜色等）的计算机语言。3）JavaScript：相当于更好的实现和用户的交 互，是信息传递实现双向化。2、同源策略同源策略是一个重要的安..
2022-02-17 18:58:55
4350
原创 ACCESS注入
目录access数据库结构access数据库类型判断access数据库需要掌握的几个函数access注入基本流程access查询方法联合查询布尔型盲注access数据库结构表名---->列名---->内容数据 不像其他的数据库一样、里面创建多个数据库然后才是表再是内容、而access的话只有若干张表。access数据库类型判断根据url文件后缀初步判断，一般asp和access数据库连用,通过and (select count(*) from msys
2022-02-13 14:10:29
2552
2
原创 SQL注入--报错和盲注
回顾之前的文章（sql注入基础），了解到sql注入的分类有基于正常回显 联合查询 union select基于错误回显 floor() extractvalue() updatexml()盲注 布尔型盲注 基于时间盲注sleep()报错注入的前提页面上没有显示位，但是需要输出SQL语句执行错误信息。比如mysql_error()优点： 不需要显示位缺点： 需要输出mysql_error()的...
2022-02-10 18:40:08
1951
原创 SQL注入-联合查询注入union
目录SQL注入的一库三表union联合查询注入注意事项MySQL函数利用1、常用函数2、连接字符串函数联合查询注入union利用前提联合注入的过程1、先判断有没有注入点3、判断有多少列4、判断显示位5、显示有哪些数据库6、显示数据库中有哪些表7、显示表中有哪些字段（以users为例）8、获取字段SQL注入的一库三表information_schema元数据数据库 (数据库名, 表名, 字段...
2022-01-23 17:43:01
3664
原创 SQL注入基础
SQL注入的原理sql注入攻击是通过将sql查询或添加语句插入输入参数中，应用程序没有对输入的信息的合法性作过滤，插入的语句在后台sql服务器上解析执行进行的攻击。SQL注入的危害绕过登录验证：使用万能密码登录网站后台等。 获取敏感数据：获取网站管理员帐号、密码等。 文件系统操作：列目录，读取、写入文件等。 注册表操作：读取、写入、删除注册表等。 执行系统命令：远程执行命令。SQL注入...
2022-01-21 23:14:36
2367
原创 Burp Suite软件常用模块
一 、Sniper模式Sniper模式使用一组payload集合，它一次只使用一个payload位置，假设你标记了两个位置“A”和“B”，payload值为“1”和“2”，那么它攻击会形成以下组合（除原始数据外）：攻击序列 位置A 位置B 1 1 no replace 2 2 no replace 3 no replace 1 4 no replace 2 二、Battering ram模式Battering ram
2022-01-21 00:15:41
4600
空空如也
TA创建的收藏夹 TA关注的收藏夹
TA关注的人