安防| 汇总

最新推荐文章于 2022-01-12 21:18:08 发布

原创最新推荐文章于 2022-01-12 21:18:08 发布 · 474 阅读

0 ·

CC 4.0 BY-SA版权

【网络安全】专栏收录该内容

6 篇文章

订阅专栏

什么是CVE漏洞？

CVE 的英文全称是“Common Vulnerabilities & Exposures”通用漏洞披露。CVE就好像是一个字典表，为广泛认同的信息安全漏洞或者已经暴露出来的弱点给出一个公共的名称。使用一个共同的名字，可以帮助用户在各自独立的各种漏洞数据库中和漏洞评估工具中共享数据，虽然这些工具很难整合在一起。这样就使得CVE成为了安全信息共享的“关键字”。如果在一个漏洞报告中指明的一个漏洞，如果有CVE名称，你就可以快速地在任何其它CVE兼容的数据库中找到相应修补的信息，解决安全问题。

CVE漏洞

https://rasp.baidu.com/doc/usage/cve.html

参考：
https://www.redhat.com/zh/topics/security/what-is-cve
https://baike.baidu.com/item/CVE/9483464?fr=aladdin

常见漏洞集合

001 - 使用 File.listFiles 遍历目录（有路径拼接） 001-dir-1.jsp
002 - 任意文件下载/读取漏洞（路径拼接） 002-file-read.jsp
004 - 命令执行后门 - 无回显 004-command-1.jsp
004 - 命令执行后门 - 带回显 004-command-2.jsp
005 - 任意文件写入 005-file-write.jsp
006 - 检查响应里是否有身份证、银行卡等敏感信息泄露 006-leak-1.jsp
007 - 通过XXE读取系统文件 007-xxe.jsp
007 - 通过XXE读取系统文件-dom4j 007-xxe-dom4j.jsp
007 - 通过XXE读取系统文件-jdom 007-xxe-jdom.jsp
007 - 通过XXE读取系统文件-sax 007-xxe-sax.jsp
007 - 通过XXE读取系统文件-stax 007-xxe-stax.jsp
008 - 任意文件上传漏洞 - commons.io 方式 008-file-upload.jsp
009 - Transformer 反序列化 009-deserialize.jsp
010 - JSTL import 任意文件包含/SSRF 010-jstl-import.jsp
011 - SSRF - commons.httpclient 方式 011-ssrf-commons-httpclient.jsp
011 - SSRF - HttpClient 方式 011-ssrf-httpclient.jsp
011 - SSRF - URL.openConnection 方式 011-ssrf-urlconnection.jsp
011 - SSRF - OKHTTP 方式 011-ssrf-okhttp.jsp
011 - SSRF - OKHTTP3 方式 011-ssrf-okhttp3.jsp
012 - SQLi - MySQL JDBC executeQuery 方式 012-jdbc-mysql.jsp
012 - SQLi - HSQLDB JDBC executeQuery 方式 012-jdbc-hsqldb.jsp
012 - SQLi - Mybatis Mysql JDBC 012-mybatis.jsp
012 - SQLi - Hibernate Mysql JDBC 012-hibernate.jsp
013 - SQLi - JDBC multipart 请求格式 013-multipart-mysql.jsp
017 - XSS - 017 - 反射型XSS 017-xss.jsp
018 - loadlibrary 018-loadlibrary.jsp
019 - 任意文件删除 019-file-delete.jsp
020 - RandomAccessFile 文件读写 020-random-file.jsp
021 - NIO 文件操作 021-nio-file.jsp