常见渗透汇总

已于 2024-04-22 10:14:07 修改
阅读量246 收藏
点赞数 4
文章标签： 安全
于 2024-04-02 13:46:43 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_43077878/article/details/137267510
版权
本文概述了Web攻防中的关键漏洞类型，包括XSS跨站脚本攻击、CSRF跨站请求伪造、SQL注入、SSRF服务器端请求伪造、序列化漏洞、RCE代码执行、XXEXML外部实体注入，以及业务逻辑安全、CRLF注入等，提供漏洞原理、实战案例和防御策略。
摘要由CSDN通过智能技术生成

XSS总结

XSS总结 - 先知社区 (aliyun.com)

信息收集

渗透测试之信息收集_网址域名收集器-CSDN博客

文件包含总结

文件包含漏洞全面详解-CSDN博客

CRSF

网络安全之CSRF漏洞原理和实战，以及CSRF漏洞防护方法_csrf攻击原理与解决方法-CSDN博客

序列化

【SRC挖掘实录】反序列化漏洞篇_反序列化漏洞挖掘-CSDN博客

SQL

安全测试 | SQL注入（SQL Injection）技术 - 知乎 (zhihu.com)

SSRF

干货 | ssrf形成原因、各种场景的利用方法总结-阿里云开发者社区 (aliyun.com)

39、WEB攻防——通用漏洞&CSRF&SSRF&协议玩法&内网探针&漏洞利用_csrf&ssrf&工具&源码等-CSDN博客

RCE

RCE代码执行漏和命令执行漏洞 - Lxx-123 - 博客园 (cnblogs.com)

44、WEB攻防——通用漏洞&RCE&代码执行&多层面检测利用-CSDN博客

XXE

CTF XXE - MustaphaMond - 博客园 (cnblogs.com)

41、WEB攻防——通用漏洞&XML&XXE&无回显&DTD实体&伪协议&代码审计_web 攻防-通用漏洞&xml&xxe&无回显&dtd 实体&伪协议&代码审计-CSDN博客

常见业务测试

49、WEB攻防——通用漏洞&业务逻辑&水平垂直越权&访问控制&脆弱验证-CSDN博客

50、WEB攻防——通用漏洞&购买支付逻辑&数据篡改&请求重放&接口替换-CSDN博客

51、WEB攻防——通用漏洞&验证码识别&复用&调用&找回密码重定向&状态值-CSDN博客

52、WEB攻防——通用漏洞&弱口令安全&服务协议&web应用-CSDN博客

53、WEB攻防——通用漏洞&CRLF注入&URL重定向&资源处理拒绝服务-CSDN博客

CRLF注入（响应截断）挖掘技巧及实战案例全汇总-腾讯云开发者社区-腾讯云 (tencent.com)

喜欢吃桃子的小男孩
关注
  • 4
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 1
    评论
网银渗透测试流程
07-12
- **测试结果汇总**：详细记录所有发现的漏洞和问题。 - **建议与修复方案**：为每个问题提供相应的解决方案。 - **风险评估**：对每个漏洞的风险级别进行评估，提出优先级。 - **测试总结**：总结测试过程，...
读书笔记之python渗透测试.docx
04-13
### 读书笔记之Python渗透测试知识点汇总 #### 黑盒测试工具 1. **Burp Suite**：一种常用的集成平台，用于执行Web应用程序的安全测试。它包含多种工具，如Proxy、Intruder、Spider等，可以帮助用户发现并利用Web...
常见的荧光染料汇总
04-10
本篇文章对实验室中常用的荧光染料进行了汇总，主要包括反应性探针、Alexa Fluor系列染料、Cy系列染料、核酸相关探针染料以及细胞功能探针。 首先，反应性探针如Hydroxycoumarin、Methoxycoumarin、Cascade Blue、...
2022最新Web渗透面试大全.pdf
11-20
最后，生成总结报告和修复方案是渗透测试的结束阶段，这意味着将发现的所有漏洞和潜在风险汇总，并提供解决方案，以帮助组织改善其网络安全。 对于渗透测试人员来说，不断学习和提升技能至关重要，这通常涉及在...
渗透测试报告 - 安全技术资料汇总（共2份）.zip
02-06
这份"渗透测试报告 - 安全技术资料汇总（共2份）.zip"文件包含了两个相关的安全检测报告，分别是针对8090游戏平台的第三期报告和读秀网站的第一期报告，这些都是对特定在线服务的安全性进行全面评估的实例。...
云安全：企业上云后不可忽视的安全挑战与解决方案
A526847的博客
08-14 585
企业上云是数字化转型的必然趋势，但云安全风险也如影随形。企业必须正视云安全挑战，采取切实有效的措施来保障云安全。通过数据加密、访问控制、安全审计、备份与恢复、灾备管理、选择可信的云服务供应商和加强内部安全管理等手段，企业可以构建完善的云安全体系，确保云服务的可靠性和安全性。在未来的数字化转型中，云安全将成为企业不可或缺的重要保障。
GPS叉车安全管理系统，远程监控管理车辆，保障叉车资产安全！
jiuxindianzi的博客
08-16 415
九盾叉车监管系统利用GPS技术实现叉车全面监管，含IC卡指纹认证、无线实时测速、安全带报警器及小程序后台管理，提升安全性、效率及管理水平，降低运营成本。
AI安全-文生图
深度安全实验室
08-15 247
AI安全-文生图
等保2.0时代，企业如何平衡安全与发展
waitaikong_的博客
08-14 362
此外，等保2.0还强化了安全管理的要求，企业需要建立完善的安全管理体系，包括安全策略、管理制度、人员培训、应急预案等，以确保安全保护措施的有效实施。等保2.0（网络安全等级保护2.0）是中国网络安全领域的重要标准，它在原有等保1.0的基础上进行了全面升级，以适应云计算、大数据、物联网、移动互联网等新兴技术的安全保护需求。等保2.0的实施促使企业加强网络安全管理和技术防范措施，这不仅有助于提升企业的网络安全防护水平，降低安全风险，还能提高企业的竞争力和信誉度。
NVR方案背景与产品介绍与构建一套完整的NVR产品解决方案
LntonCEC的博客
08-14 702
此外，NVR还可以支持更多的应用场景，由于视频监控系统越来越需要具备扩展性，如果计划在未来增加更多的IP摄像机，那么NVR可能更适合。基于 HiSilicon 平台的 NVR 解决方案凭借其卓越的性能和灵活的功能，已经在市场上占据了一定的份额，并且具有广阔的市场前景。通过友好的管理界面，管理员可以轻松完成用户权限的配置、设备的远程升级、日志的查看与管理等操作。，但都在视频监控中扮演着重要的角色。用户可以通过 GUI 进行摄像机的管理、录像的配置、告警的设置等操作，减少了系统的学习成本，提高了操作效率。
新160个crackme - 030-Acid Bytes.4
qq_41483767的博客
08-14 272
Delphi程序分析，upx脱壳，ida静态分析、动态调试，简单算法
四路一体行车记录仪，语音提示注意行人，保障车辆行驶安全
jiuxindianzi的博客
08-15 271
九盾安防推出四路一体行车记录仪，全方位记录叉车工作场景，实时记录行驶信息，提供高清影像，减少伤亡事故，提升安全性和效率，解决事故责任划分难题，助力企业管理。
理解安全组与防火墙的关系：云安全的双重保障
最新发布
weixin_54574094的博客
08-18 585
通过理解它们的关系，并结合使用，您可以构建一个多层次的安全体系，确保您的系统和数据在面对日益复杂的网络威胁时仍然保持安全。您可以创建一个安全组，添加允许80（HTTP）和443（HTTPS）端口的入站规则，并将此安全组关联到您的Web服务器实例。例如，在一个企业的混合云环境中，您可以通过防火墙来保护本地数据中心的安全，同时通过安全组来管理云上实例的访问权限。安全组可以提供灵活、快速的实例级别的安全管理，而防火墙则负责更广泛的网络安全。安全组是云计算环境中使用的虚拟防火墙，用于控制实例的入站和出站流量。
同态加密和SEAL库的介绍（十）CKKS 参数心得 2
WaitMrAnt的博客
08-12 874
本篇继续上篇针对 CKKS 方案的测试，首先证明了重新线性化虽然会减少密文长度，但是并不会对计算结果的精度有明显的影响；模数链的长度确实会限制乘法深度（具体来说是 Rescale 次数），这点上密文乘法和明文乘法相同；上篇中证明了增加 scale 会提高精度，本篇也证明了增长模数链也能增加精度，但是内存测试后，前者 scale 不会提高内存，后者会增加内存成本和时间成本。
Linux 主机一键安全整改策略
weixin_45840241的博客
08-15 608
echo "---------ssh登录前警告banner设置----------"echo "---------禁止root用户远程登录----------"echo "---------设置用户密码过期时间----------"echo "---------设置密码复杂度限制----------"echo "---------配置pacct工具----------"echo "---------禁用不必要的别名----------"安装配置记录用户对设备的操作的pacct工具；
替代进程注入的新工具
墨痕诉清风的博客
08-14 834
众所周知，常用的C2工具（例如CobaltStrike）在另一个进程上下文中执行代码经常使用的就是inject和shinject命令，这两个命令可以将代码注入到任意远程进程中。但是进程注入方案现在已经被杀软监测得死死的，尤其是某数字公司，只有在当前进程上下文中进行注入才不会被杀。那么除了进程注入外我们是否还有其他方案能在其他进程上下文中执行代码呢？在介绍新工具前，我先讲一下大致的原理，核心就是利用了Windows Session。
文件包含漏洞（一）
2302_80280669的博客
08-14 466
文件包含漏洞，通常发生在Web应用程序中，特别是那些使用用户输入动态生成内容的部分。这种漏洞允许攻击者通过提交恶意的文件路径请求，使得服务器错误地读取并执行预定义之外的文件，包括但不限于脚本、配置文件甚至是系统命令。这可能导致未经授权的数据访问、修改或泄露，甚至可以被利用来进行远程代码执行。
超网和无类间路由是什么？
m0_73609283的博客
08-14 1044
CIDR允许更灵活的IP地址分配，减少了地址空间的浪费。例如，一个企业可能需要一个完整的B类地址空间（65536个地址），但又超过了C类地址空间（256个地址）在这种情况下，CIDR可以明确分配一个合理的地址范围（如1024个地址），从而避免地址的浪费。无类间路由（CIDR）是一种新的IP地址分配方法，取代了传统的基于类的分配方法。通过合并连续的子网，超网可以减少路由入侵的数量，从而提高网络的效率。总之，超网和无类间路由技术提高了IP地址的利用效率，还简化了路由表管理，支持网络的灵活扩展。
ctfshow-web入门-sql注入（web216-web220）时间盲注结束
Welcome To Myon'Blog !
08-14 1198
跑出结果一样，那就说明是那个判断时间的问题，因为一开始在 hackbar 测试，那个 payload 大概是 3s，结果后面变成了只有 1s 左右，因此 1s 和 0.5s 都可能会导致结果不准确，这里主要还是设置好一个判定时间，改成 0.8s 就比较准确了，具体多少取决于你实际题目环境。前面的脚本是用 if 语句进行判断，这里写一下 try 语句，不用获取响应消耗的时间，而是我们手动设置一个请求超时的时间，因为前面的延时大概是 3s ，这里超时时间设小一点，为 1.5s。
渗透测试必备：bp插件与技巧汇总
列举了一组常见的需要过滤的IP地址和域名，如Google、Baidu等，使用代理可以有效避免这些服务带来的干扰。 2. **插件推荐**： - **sqlmap4burp++**：这是一个与Burp Suite集成的插件，提供了一种无缝连接到著名的...
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值