![](https://img-blog.csdnimg.cn/20201014180756928.png?x-oss-process=image/resize,m_fixed,h_64,w_64)
计算机安全
文章平均质量分 74
Coder_preston
这个作者很懒,什么都没留下…
展开
-
【技术分享】搭建java项目引入外部依赖教程
动手实践了以上的java项目搭建过程,就熟悉了java项目开发流程。这样,我们可以快速的调试运行起来其他人开发的项目,也可以快速的自己搭建环境进行java开发。原创 2023-02-13 23:47:31 · 5232 阅读 · 0 评论 -
【web安全】SSRF漏洞
SSRF,即服务端请求伪造(Server-Side Request Forgery), 简单理解是,攻击者想访问服务器内网系统,但又无法直接访问,服务器存在SSRF漏洞,我们就可以构造恶意请求,以服务器为跳板,来访问内网系统。本文介绍了SSRF漏洞的原理,漏洞绕过的技巧以及漏洞防护相关方案。在渗透测试的实际中, 我们往往可以把SSRF漏洞和其他漏洞结合起来一起使用,这样可以达到更好的效果。原创 2023-01-26 18:36:05 · 768 阅读 · 0 评论 -
【web安全】同源策略与跨域
同源策略是非常基础与重要的知识点,与web安全防护,以及前后端开发都有着重要的联系。原创 2023-01-26 13:19:36 · 648 阅读 · 0 评论 -
【web安全】Spel表达式注入漏洞
例如,可以执行恶意构造的表达式或者执行类实例对象。在练习靶场的时候遇到了spel表达式注入的题目,这篇文章主要是学习总结一下spel表达式的相关知识点,然后进一步学习spel表达式相关漏洞,了解如何利用改漏洞或者代码审计找到相关漏洞。笔者一开始想直接从spel表达式的漏洞入手,可是发现许多描述都不理解,我的java用的不是很多,也不知道表达式的作用是啥,于是我们先学习一下spel表达式使用的知识,再学习相关漏洞。spel表达式如果接收外来的参数, 一定要考虑对于非法输入的过滤, 否则会产生注入漏洞。原创 2023-01-26 11:50:44 · 1638 阅读 · 1 评论 -
【中间件安全】zookeeper安全学习
zk节点有如下权限CREATE: 能创建子节点READ:能获取节点数据和列出其子节点WRITE: 能设置节点数据DELETE: 能删除子节点ADMIN: 能设置权限world:默认方式,相当于全世界都能访问auth:代表已经认证通过的用户(cli中可以通过addauth digest user:pwd 来添加当前上下文中的授权用户)digest:即用户名:密码这种方式认证,这也是业务系统中最常用的ip:使用Ip地址认证。原创 2023-01-16 23:16:42 · 646 阅读 · 0 评论 -
【web安全】SQL注入漏洞3--sqlmap工具教程
这篇文章,我们学习了sqlmap工具的使用思路。了解了这些基本的使用方法,后续就知道我们怎么自动化进行sql注入漏洞了。当然,sqlmap的各种高级用法还有很多,本文没有全面讲解所有的命令, 我们在学习或者实战的过程中, 只要有一个明确的思路,然后需要到什么知识点,网上搜索查询并慢慢积累便可。后续会在演练或者实战过程中不断提升自身能力。原创 2023-01-16 23:14:08 · 1645 阅读 · 0 评论 -
【web安全】SQL注入漏洞2--绕过与利用
本文主要介绍了人工做SQL注入方法,当然,也有专门用于SQL注入的自动化攻击,提升攻击的效率。我们都知道,不同的开发者, 对于安全认识程度也可能不一样,有的开发者可能没有对输入做过滤直接拼接,也有的开发者可能做了一定的过滤但是不全面,这些问题隐患都有可能造成安全风险。这里我使用的靶机环境是SQLi Labs, 这个平台专注于SQL注入的学习,并且涉及的题目量与知识点比较多,因此果断选择这个平台用来学习。在练习注入过程中,发现了一些奇怪的sql语句,不搞懂这些,就很难弄明白这个注入是咋实现的。原创 2023-01-14 23:01:20 · 357 阅读 · 0 评论 -
【web安全】SQL注入漏洞1--寻找SQL注入
这篇文章主要介绍了寻找SQL的思路。对于初学者,可能会出现这种尴尬的情况: 找到了一个疑似SQL注入的点,但是不知道如何继续渗透利用,尽可能的获取更多的价值信息甚至于获取到主机权限。如何利用sql注入进行渗透;如何进行sql 注入的绕过;如果使用sqlmap工具来进行渗透利用。原创 2023-01-14 00:15:50 · 2532 阅读 · 1 评论 -
【机器学习】朴素贝叶斯概率模型
朴素贝叶斯算法介绍原创 2022-11-05 12:12:37 · 953 阅读 · 0 评论 -
【技术分享】如何使用python搭建一个简易的https服务
这篇文章主要介绍自签名证书实现https 服务器原创 2022-09-27 20:55:58 · 2608 阅读 · 0 评论 -
【技术分享】如何使用Python搭建一个简易的文件上传http服务
介绍一个用python搭建简易文件上传服务的方法。原创 2022-09-27 20:53:50 · 2912 阅读 · 0 评论 -
【中间件安全知识学习 之 memcached】
Memcached是一个自由开源的,高性能,分布式内存对象缓存系统。原创 2022-08-13 16:37:43 · 1529 阅读 · 0 评论 -
【技术分享】基于nginx流量URL探测fastjson DNS嗅探实践
nuclei是一个开源的基于漏洞模板的扫描工具,可以利用该工具自定义payload进行扫描。{"@type"{"@type"{"@type","val"{{"@type""x"}idname-httpsCVSS3.0/AVN/ACL/PRN/UIN/SC/CH/IH/A-rawHost"@type"-type-200上面展示的是一个payload模板的制作,如果有多个payload,可以制作不同的模板文件。...原创 2022-07-27 19:38:25 · 1715 阅读 · 0 评论 -
【渗透测试工具分享】【dnslog服务器搭建指导】
dnslog服务器原创 2022-07-16 12:02:01 · 4755 阅读 · 0 评论 -
aquatone 自动化网页截图工具运行崩溃 & web页面无法下载js代码问题修复
aquatone是一套用于对域名进行侦察的工具。笔者主要用aquatone作为批量网页截图信息收集工具, 使用工具的过程中遇到两个bug, 在github上找到解决方案并分享。 相信其他人在使用aquatone过程中也可能遇到过和笔者同样的问题。使用aquatone中, 发现程序跑了一半就中断了,是go语言的并发导致(concurrent map access), 在github上找到解决方案:https://github.com/L11R/aquatone/releases笔者通过替换url下载地址解决原创 2022-06-11 16:30:52 · 250 阅读 · 0 评论 -
【BugKu 刷题笔记】【Simple_SSTI_1】
文章目录0x01 题目0x02 题解0x03 知识点1. flask 与 secret_key2. 模板注入0x01 题目0x02 题解输入url为:http://114.67.175.224:19636/?flag={{config.SECRET_KEY}}即可得到flag0x03 知识点初学者, 在网上搜解题思路很容易可以找到。 但是不知其所以然所以整理一下知识点:包含以下知识点:1. flask 与 secret_keyflask是一个轻量级的可定制框架,使用Python语言原创 2022-02-20 13:26:41 · 1461 阅读 · 0 评论 -
【技术分享】密码爆破学习实践
引言在扫描探测任务中, 经常会遇到一些开放的高危 端口, 这个时候,会忍不住想爆破一把试试, 期待好运降临, 万一爆破成功了呢?笔者作为一个安全初学者, 主要关注以下几点:当前网络上有哪些好的密码爆破工具,各自的优缺点是啥?密码爆破的核心在于有一个强大的密码字典, 如何可以收集到密码字典 ?如何自己生成一个好的密码字典?如何提高密码爆破的效率和概率?介绍一下密码爆破的实际操作命令以及技巧密码爆破工具的调研以及介绍:hydra: 这款密码爆破工具功能非常强大,支持的协议非常之多,比如原创 2022-02-19 18:09:14 · 7046 阅读 · 5 评论 -
【漏洞分析: CVE-2021-4034】
c语言相关预备知识要点:c语言或者c++ 语言都要想运行必须要有一个main函数, 其中main函数可以带三个参数,分别为(argc, argv, envp)函数原型如下:int main(int argc, char *argv[], char *envp[])argc是什么?答: 这是一个整型变量,表示运行程序的命令行传入的参数个数。由于程序的名称默认被看作第一个参数,argc至少是1。argv是什么?答:argv[]表示以null为结尾的字符串数组,(个人理解是argv原创 2022-02-03 22:16:32 · 2023 阅读 · 0 评论 -
【log4j2漏洞复现与利用】
log4j2原创 2022-01-31 21:37:25 · 41313 阅读 · 1 评论 -
F5漏洞复现[CVE-2020-5902]与[CVE_2021_22986]
引言 F5 BIG-IP 广泛应用于大型企业,数据中心、云计算平台中,可以实现应用加速、负载均衡、SLL过载、web应用防火墙等功能。这篇文章主要是复现F5的漏洞,包括其被远程代码执行的过程, 以及探究以下我们可以在F5上远程执行代码之后可以做哪些事情。环境搭建 F5的环境搭建教程在网上可以查到很多,这里大概介绍以下流程与心得。首先搭建环境需要使用vmware软件运行F5的镜像来实现,需要下载并安装相关文件,这里使用的是家用个人电脑。亲测过在F5网站上注册好后,下载含有漏洞的F5镜像失败的,原创 2021-11-20 20:24:56 · 2348 阅读 · 0 评论