![](https://img-blog.csdnimg.cn/20201014180756927.png?x-oss-process=image/resize,m_fixed,h_64,w_64)
经验知识总结
文章平均质量分 82
李火火安全阁
致力于IT领域深耕安全前沿技术,阿里云社区"乘风者计划"专家博主、华为云享专家,擅长渗透测试、红蓝对抗,活跃于CSDN社区,善于分享相关领域知识,追求极致!
展开
-
基于微信小程序渗透-反编译小程序
微信小程序渗透时,因为小程序没有网页端页面,所以不能直接访问抓包分析,如果需要抓包分析,那么一般就是用电脑上的安卓模拟器登录微信利用burp抓包、要么就是用burp抓手机的包、要么就是从手机上直接抓包。方式方法有很多种,个人一般用来抓包的工具也就是IOS上用Stream软件,或者是Postman等工具很容易就抓包了。接下来主要介绍的时微信小程序的反编译,因为反编译出来可以看到小程序的前端源码,可以渗透出更多的东西。原创 2023-05-25 16:56:28 · 1497 阅读 · 0 评论 -
基于微信PC端小程序抓包方法
Proxifier是一款代理客户端软件,可以让不支持代理服务器工作的程序变的可行。支持各种操作系统和各代理协议,它的运行模式可以指定端口,指定程序的特点。原创 2023-03-28 16:44:36 · 9710 阅读 · 4 评论 -
WebLogic Server 账号密码密文解密小方法
WebLogic Server 账号密码密文解密小方法原创 2023-03-20 15:35:49 · 1575 阅读 · 0 评论 -
【代码审计篇】 代码审计工具Fortify基本用法详解
Fortify全名叫Fortify SCA ,是惠普公司HP的出品的一款源代码安全测试工具,这家公司也出品过另一款Web漏洞扫描器,叫做 Webinspect。美国的Fortify、Coverity、Codesecure、IBM AppScan Source 以色列的Checkmarx、加拿大的Klockwork是现在国际上比较出名的几款代码审计工具,那么接下来就Fortify来介绍一下使用方法。原创 2023-02-08 11:52:11 · 11519 阅读 · 0 评论 -
【漏洞复现】Yapi接口管理平台RCE漏洞汇总
YApi 是高效、易用、功能强大的 api 管理平台,旨在为开发、产品、测试人员提供更优雅的接口管理服务。可以帮助开发者轻松创建、发布、维护 API,YApi 还为用户提供了优秀的交互体验,开发人员只需利用平台提供的接口数据写入工具以及简单的点击操作就可以实现接口的管理。原创 2023-01-10 11:26:27 · 5969 阅读 · 0 评论 -
VMware vcenter/ESXI系列漏洞总结
本文章主要对VMware ESXI、VMware VCenter系列进行漏洞整理,更多内容后续补充!原创 2022-06-22 16:46:47 · 26171 阅读 · 0 评论 -
XSS跨站脚本攻击漏洞(技能总结)
本篇主要对XSS跨站脚本攻击常见的漏洞点以及实战中如何寻找该漏洞进行总结。原创 2022-06-02 10:25:32 · 754 阅读 · 2 评论 -
SQL注入漏洞技术详解(技能点总结)
文章目录一、SQL注入原理二、SQL注入攻击层面三、SQL注入的分类四、易出现SQL注入的功能点五、判断是否存在SQL注入六、SQL注入类型介绍布尔型盲注报错注入延时盲注(时间盲注)堆叠注入(多语句注入)内联注入联合查询注入(union)文件读写(利用union注入)盲注读取文件SQL注入GetShellOutfile和dumpfile的区别:宽字节注入宽字节注入修复二次注入User-Agent请求头注入(如XFF头注入等都可以使用同种方法测试)Cookie注入DNS注入Mysql查询数据库版本常见的万能密原创 2022-05-10 10:51:22 · 926 阅读 · 0 评论 -
不安全的HTTP方法
文章目录一、常见的HTTP请求方法如下二、请求方式安全隐患三、渗透攻击检测四、修复方案一、常见的HTTP请求方法如下GET:Get长度限制为1024,特别快,不安全,在URL里可见,URL提交参数以 ?分隔,多个参数用 & 连接,请求指定的页面信息,并返回实体主体。HEAD:类似于get请求,只不过返回的响应中没有具体的内容,用于获取报头。POST:长度一般无限制,由中间件限制,较慢,安全,URL里不可见。请求的参数在数据包的请求body中。PUT:向指定资源位置上传其最新内容。DE原创 2022-05-07 00:53:04 · 2353 阅读 · 0 评论 -
Linux安全常用命令
文章目录前言一、查看系统信息常用命令二、系统关机、重启等常用命令三、目录操作常用命令四、目录查看 ls [-al]五、目录操作[增、删、改、查]六、文件操作常用命令[增,删,改,查]七、压缩文件常用命令八、查找常用命令九、su、sudo十、系统服务常用命令十一、主机管理常用命令十二、定时任务指令crontab其他Linux常用命令前言以下内容是本人在学习过程中整理下来的一些知识点,路过的各位大佬仅供参考!在Linux中常见的基础命令如下:1、cd 命令、用于切换目录;2、ls 命令、用于显原创 2022-04-28 16:50:23 · 1114 阅读 · 0 评论 -
查看 Linux 内核以及系统版本的几种方法
文章目录前言一、使用`uname`命令查看二、使用`hostnamectl`命令查看三、通过查看 `/proc/version` 文件确认四、使用 `/etc/issue` 查看五、使用 `lsb_release -a ` 查看前言以 Ubuntu 为例,介绍几个用来查看系统与内核版本的命令,拿起小本本记录下来!镜像下载地址:https://mirrors.tuna.tsinghua.edu.cn/一、使用uname命令查看uname命令显示多个系统信息,包括Linux内核体系结构,名称版本和原创 2022-03-30 11:11:36 · 36545 阅读 · 0 评论 -
MySQL写Shell方法总结
MySQL注入点,用工具对目标站点写入一句话shell,需要哪些前提条件?**root权限以及网站的绝对路径**outfile 和 dumpfile 写Shell利用条件·数据库当前用户为root权限·知道当前网站的绝对路径·PHP的GPC为OFF状态;(魔术引号,GET、POST、COOKIE)`写入的那个路径要有写入权限过滤了单引号into outfile 还可以用吗不能,GPC要OFF才行,可以测试Hex编码基于UNION联合查询?id=1 UNION ALL SELECT原创 2021-12-31 11:36:56 · 4740 阅读 · 0 评论 -
Shiro反序列化漏洞(Shiro-550、Shiro-721)
0x01 Shiro介绍Apache Shiro 是一个强大易用的Java安全框架,提供了认证、授权、加密和会话管理等功能,Shiro框架直观、易用、同时也能提供健壮的安全性。Apache Shiro反序列化漏洞分为两种:Shiro-550、Shiro-7210x02 Shiro-550 反序列化漏洞CVE-2016-4437漏洞原理Apache Shiro框架提供了记住密码的功能(RememberMe),用户登录成功后会生成经过加密并编码的Cookie,在服务端对rememberMe的Cook原创 2021-12-21 08:06:18 · 6853 阅读 · 0 评论