- 博客(40)
- 收藏
- 关注
RSS订阅原创 护网面经之—sql注入
dns外带的主要作用也是提高盲注的一个效率，因为布尔盲注、时间盲注获取内容的时候需要发送很多的请求、判断，而且还容易触发安全设备的防护，而Dnslog盲注可以减少发送的请求，直接回显数据实现注入。先去执行一个正常的查询，看界面正常的回显是什么状态。求数据库名的长度及ASCII->求当前数据库表的ASCII->求当前数据库表中的个数->求数据库中表名的长度- >求数据库中表名->求列名的数量->求列名的长度->求列名的ASCII->求字段的数量->求字段的长度->求字段内容ASCII。这个时候我们就可以用。
2024-05-17 19:49:05
553
1
原创 网安面经之文件包含漏洞
原理：开发⼈员⼀般希望代码更灵活，所以将被包含的⽂件设置为变量，⽤来进⾏动态调⽤，但是由于⽂件包含函数加载的参数没有经过过滤或者严格的定义，可以被⽤户控制，然后包含了其他的恶意⽂件，就导致了执⾏了⾮预期的代码。然后导致客户端就可以调⽤⼀个恶意⽂件，造成⽂件包含漏洞。危害：可能会造成读取⽂件、远程⽂件读取实现⽹站挂⻢、利⽤php://input伪协议可以执⾏任意脚本代码等危害。修复：1、过滤：对传⼊的⽂件名进⾏过滤、对敏感路径的关键字进⾏过滤。
2024-05-12 15:09:29
635
2
原创 网安面经之SSRF漏洞
原理：SSRF就是服务器端请求伪造漏洞、它是一种由攻击者构造，由服务端发起请求的一个网络攻击，一般用来在外网探测或攻击内网服务，然后它的影响效果根据服务器用的函数不同，从而造成不同的影响。危害：1.内外网的端口和服务扫描2.主机本地敏感数据的读取3.内外网主机应用程序漏洞的利用4.内外网Web站点漏洞的利用防御：1.可以过滤返回信息，验证远程服务器对请求的响应是⽐较容易的⽅法。如果web应⽤是去获取某⼀种类型的⽂件。那么在把返回结果展示给⽤户之前先验证返回的信息是否符号标准。
2024-05-12 10:11:10
708
原创 网安面经之文件上传漏洞
⽂件上传漏洞是发⽣在有上传功能的应⽤中，如果应⽤程序对⽤户上传的⽂件没有控制或者存在缺陷，攻击者可以利⽤应⽤上传功能存在的缺陷，上传⽊⻢、病毒等有危害的⽂件到服务器上⾯，从而控制服务器。会造成⽹⻚篡改、⽹站挂⻢、服务器被远程控制、被安装后⻔等。1、使用白名单限制文件上传的类型。2、对上传文件进行随机重命名，并且文件的扩展名不允许用户自定义。3、对文件上传的文件夹进行权限限制，去掉脚本的执行权限。4、对文件的内容进行恶意代码的检测。
2024-05-11 14:52:50
542
1
原创 网安面经之XXE漏洞
XXE就是外部实体注入漏洞，XXE漏洞产生的原因是由于应用程序解析XML时，没有过滤外部实体的加载，导致加载了恶意的外部文件，造成命令执行、文件读取、内网扫描、内网应用攻击等危害。1，禁用XML外部实体引用：在解析XML时，通过配置解析器来禁用外部实体引用。这样可以防止攻击者通过引入外部DTD文件来执行恶意代码。2，验证和过滤输入：对来自用户的XML输入进行严格的验证和过滤，确保其中不包含任何恶意内容或引用。这可以通过使用白名单策略来实现，只允许已知安全的元素和属性通过。
2024-05-10 16:43:26
277
原创 网安面经之xss漏洞
xss就是跨站脚本攻击漏洞，也可以理解为前端的代码注入，通过利用一些方法注入恶意的js代码到网页，使用户加载并执行攻击者恶意注入的js语句。xss漏洞可以用来⽹络钓⻥，盗取各种⽤户账户。可以 窃取⽤户的cookie，获取⽤户隐私信息。还可以劫持⽤户会话，执⾏任意操作。
2024-05-10 15:21:06
579
1
原创 win10虚拟机安装驱动教程
在虚拟机菜单栏中选择安装VMware Tools：安装好后，在虚拟机中打开此电脑，双击DVD驱动器进行安装：一直点击下一步：安装完成：此时重启虚拟机，发面小屏幕页面的虚拟机自动占满了全部屏幕，分辨率非常舒适：
2024-03-15 21:34:38
789
原创 总结linux常用命令
以上只是Linux常用命令的一部分，实际上Linux提供了非常丰富的命令和工具，可以满足各种系统管理和应用开发的需求。对于初学者来说，掌握这些基本命令已经足够应对日常的Linux操作了。
2024-03-15 21:32:46
1165
原创 nslookup和dig命令的使用方法以及区别
在交互模式下，用户可以向域名服务器查询各类主机、域名的信息，或者输出域名中的主机列表。nslookup命令的语法相对简单，可以直接查询域名，也可以查询指定类型的记录，如A、AAAA、MX、NS、SOA等。2.查询域名制定数据类型：使用 nslookup type=类型 域名 的格式，其中类型可以是A、AAAA、MX、NS、SOA等，用于查询指定类型的记录。3.查询特定类型的记录：使用 dig 域名 type 的格式，其中type是想要查询的记录类型，如A、AAAA、MX、NS、SOA等。
2024-03-14 19:17:51
668
原创 认识钓鱼网站
钓鱼网站是一种网络欺诈行为，通过伪装成正常网站（如银行、购票网站等）来窃取用户的私人信息（如银行账号、密码等）和私人财产。这些网站的页面与真实网站的界面非常相似，差别细微，以此来迷惑用户，让用户误以为自己正在访问正常的网站。攻击者通常会通过电子邮件、短信、社交媒体、即时通讯工具等途径发送包含链接的信息，引导用户点击链接，进入虚假网站。如果用户在这些网站上输入了个人敏感信息，如银行账号、密码等，这些信息就可能被攻击者窃取，导致用户的个人信息泄露、账户被盗、财务损失等问题。
2024-03-12 17:37:35
1785
原创 虚拟机安装CentOS教学，超详细一步安装到底！
首先将Centos的镜像文件进行下载，随后再进行安装配置：。
2024-03-11 19:25:59
840
原创 2023护网蓝初面试
fastjson提供了autotype功能，在请求过程中，我们可以在请求包中通过修改@type的值，来反序列化为指定的类型，而fastjson在反序列化过程中会设置和获取类中的属性，如果类中存在恶意方法，就会导致代码执行等这类问题。预编译将一次查询通过两次交互完成，第一次交互发送查询语句的模板，由后端的SQL引擎进行解析为AST或Opcode，第二次交互发送数据，代入AST或Opcode中执行，无论后续向模板传入什么参数，这些参数仅仅被当成字符串进行查询处理，因此杜绝了sql注入的产生。
2024-03-09 21:40:27
1195
原创 浅述字典攻击
字典攻击是一种密码破解方法，它使用预先编制的字典文件作为攻击字典，通过尝试猜测密码的方式来破解密码。在黑客攻击中，字典攻击是一种非常有效的攻击方式，因为人们通常喜欢使用简单的密码，而这些密码很容易被猜测出来。字典攻击是一种常见的密码破解方法，它使用预先编制的字典文件作为攻击字典，通过尝试猜测密码的方式来破解密码。总之，防范字典攻击最有效的方法是使用复杂的密码和定期更换密码。使用密码管理工具可以避免使用简单的密码，因为密码管理工具会生成随机且复杂的密码，这样可以有效地防止字典攻击。四、如何防范字典攻击。
2024-03-09 21:33:08
777
原创 浅谈DDOS攻击
DDoS攻击自1996年出现以来，已经发展了近20年。其最可怕之处在于虽然攻击成本很低，但是防御它所需要的成本却很高，造成的损失往往也非常可怕。那么问题来了，在20年后的今天，为何DDOS攻击的发生依旧会令企业措手不及？历史上第一次DDoS攻击发生在1996年，当时互联网服务提供商Panix的服务器遭受了每秒150次的异常连接攻击。攻击者使用的方式相当简单，只是不断地给Panix的服务器发送连接请求，导致其无法处理正常用户的请求，至少6000名用户因此无法收取邮件。
2024-03-08 13:32:29
618
原创 浅谈社会工程学攻击
利用了人的本能反应、人性、好奇心等心里弱点，使人毫不知觉的被人操控、心甘情愿的按照攻击者的想法进行活动。简单说就是攻破人的心理防线从而进行利用。（玩弄人性）
2024-03-07 21:00:31
1294
原创 使用Kali搭建钓鱼网站教程
使用kali工具一分钟制作出和目标网站一模一样的钓鱼网站。目标用户使用钓鱼网站登录自己的账号，账号密码将被自动劫持。
2024-03-07 20:56:51
1183
原创 linux文件结构总结
usr/X11R6/sbin或/usr/local/sbin目录是相似的，凡是目录sbin中包含的都是root权限才能执行的。/tmp就用来存放临时文件的。/usr/share ：系统共用的东西存放地，比如 /usr/share/fonts 是字体目录，/usr/share/doc和/usr/share/man帮助文件。/var：这个目录的内容是经常变动的，看名字就知道，可以理解为vary的缩写，/var下有/var/log 这是用来存放系统日志的目录。/cdrom：这个目录在刚刚安装系统的时候是空的。
2024-03-04 21:56:36
894
原创 解决win10系统cmd命令无法使用ssh问题
目录问题说明：在使用ssh命令连接虚拟机地址时，出现了以下报错：编辑解决方法如下：1.打开Windows设置，搜索点击添加可选功能：2.点击添加功能：3.安装Open SSH客户端和Open SSH服务器:4.安装完成后一定要重启电脑，就解决问题了。
2024-03-04 21:11:54
1910
原创 浅谈linux系统和windows系统的区别
综上所述，Linux和Windows系统在内核与源代码、费用、用户界面、软件支持、操作风格、文件系统、安全性和定制性等方面存在明显的差异。Linux是基于Linux内核的开源操作系统，其源代码是公开的，允许用户自由修改和定制。：由于Linux的源代码是公开的，用户可以根据自己的需求进行定制和修改，这使得Linux在某些特定场景下具有更大的灵活性。而Windows由于其闭源性质，用户的定制空间相对较小。：Linux是免费的，用户可以自由获取和使用，而Windows是收费的，需要购买正版才能使用。
2024-03-03 20:13:55
285
原创 linux常用命令总结
以上只是Linux常用命令的一部分，实际上Linux提供了非常丰富的命令和工具，可以满足各种系统管理和应用开发的需求。对于初学者来说，掌握这些基本命令已经足够应对日常的Linux操作了。
2024-03-03 20:07:43
308
原创 网安笔记（二）
与传统的防火墙不同，WAF 可以检测和过滤 Web 应用程序发送和接收的 HTTP 流量，并通过应用程序规则来识别和拦截潜在的攻击行为。三次握手：当客户端连接服务器，首先会对服务器发送一个SYN包(连接请求数据)，表示询问是否可以连接，服务器如果同意连接，就会回复一个SYN+ACK，客户端收到后就会回复一个ACK包，连接建立。因为期间相互发送了三包数据，所以称为三次握手。TCP协议的工作原理是从发送方创建一个TCP连接，然后将数据分成适当长度的块，以便发送和接收方可以确认块到达并重组。
2024-03-02 19:21:14
259
原创 网安笔记（一）
fastjson提供了autotype功能，在请求过程中，我们可以在请求包中通过修改@type的值，来反序列化为指定的类型，而fastjson在反序列化过程中会设置和获取类中的属性，如果类中存在恶意方法，就会导致代码执行等这类问题。由于PHP utf-8编码 数据库GBK编码，PHP发送请求到mysql时经过一次gbk编码，因为GBK是双字节编码，所以我们提交的%df这个字符和转译的反斜杠组成了新的汉字，然后数据库处理的时候是根据GBK去处理的，然后单引号就逃逸了出来。
2024-03-02 19:20:22
543
原创 win10虚拟机安装驱动教程
在虚拟机菜单栏中选择安装VMware Tools：安装好后，在虚拟机中打开此电脑，双击DVD驱动器进行安装：一直点击下一步：安装完成：此时重启虚拟机，发面小屏幕页面的虚拟机自动占满了全部屏幕，分辨率非常舒适：
2024-03-01 19:22:57
2929
2
原创 xshell免费安装超详细教程
6.安装好后输入姓名和邮箱，点击提交就可以免费使用了。4.下载好后一直点下一步进行安装即可。2.点击免费授权页面。
2024-02-29 12:36:10
9162
1
原创 解决软件开机自启动？看我对比两种开机自启动的方式（文件夹vs注册表）
通过前两种操作的反操作就可以解决软件开机自启动的问题。文件式在输入命令打开的文件夹种删除软件的图标即可解决。注册表式则只用打开对应的地方点击关闭即可。
2024-02-28 18:59:45
1021
原创 考取NISP二级证书心得
国家信息安全水平考试（National Information Security Test Program，简称NISP），是由中国信息安全测评中心实施培养国家网络空间安全人才的项目。
2023-12-04 21:11:41
768
1
原创 修改Tomcat默认界面
一、前言今天是csdn实战训练营训练的最后一天，下面是我今日的分享哦~二、实现Tomcat默认页面的修改1、首先打开Tomcat，不会下载tomcat的同学点击这里哦~安装部署TOMcat~_带土爱生活的博客-CSDN博客进入tomcat主页面2，点击鼠标右键，点击查看网页源代码3、...
2021-10-31 15:36:53
4519
原创 简单网页的制作~
一、前言HTML的全称为超文本标记语言，是一种标记语言。它包括一系列标签．通过这些标签可以将网络上的文档格式统一，使分散的Internet资源连接为一个逻辑整体。HTML文本是由HTML命令组成的描述性文本，HTML命令可以说明文字，图形、动画、声音、表格、链接等。超文本是一种组织信息的方式，它通过超级链接方法将文本中的文字、图表与其他信息媒体相关联。这些相互关联的信息媒体可能在同一文本中，也可能是其他文件，或是地理位置相距遥远的某台计算机上的文件。这种组织信息方式将分布在不同位置的信息资源用随机方式
2021-10-31 14:21:45
651
原创 安装部署TOMcat~
一、前言Tomcat最初是由Sun的软件架构师詹姆斯·邓肯·戴维森开发的。后来他帮助将其变为开源项目，并由Sun贡献给Apache的软件基金会。由于大部分开源项目O'Reilly都会出一本相关的书，并且将其封面设计成某个动物的素描，因此他希望将此项目以一个动物的名字命名。因为他希望这种动物能够自己照顾自己，最终，他将其命名为Tomcat。二、部署过程输入网址：Apache Tomcat® - Welcome!https://tomcat.apache.org/在DownLoad里面选择.
2021-10-30 21:37:07
463
原创 Java初步学习
一、前言 通过两天的学习，初步掌握了Java的一些基础知识，下面是我的一些分享。二、内容1、Java程序代码中的注释Java代码中的注释分为三种类型，分别是：单行注释、多行注释和文档注释。注释在源代码中有解释代码的功用，可以增强程序的可读性，可维护性，还可以在源代码中用于处理不需运行的代码段，来调试程序的功能正确执行。注释不会被计算机识别。（1）单行注释通过两个连续的斜杠（“//”）将单行后面出现的内容进行注释，如图~（2）多行注释以“/*”两个符号开始，“*/”两...
2021-10-30 16:44:53
172
原创 Java程序开发入门第一个代码
目录一、前言二、内容 1）分享在安装JDK(Java语言开发者工具）遇到的困哪和解决方法~（以下是重点，敲黑板！）2）我的第一个Java程序开发成果展示三、总结一、前言今天是小白入门Java的第一天，会发生什么有趣的事情呢？二、内容 1）分享在安装JDK(Java语言开发者工具）遇到的困哪和解决方法~（以下是重点，敲黑板！）这里以windows 10系统和jkd-11.0.13版本为例（对应的系统要下载对应的安装包）难点：windows 10系统配置...
2021-10-27 01:31:34
646
7
空空如也
空空如也
TA创建的收藏夹 TA关注的收藏夹
TA关注的人