- 博客(6)
- 收藏
- 关注
RSS订阅原创 PHP代码注入
1.大致介绍： PHP代码执行注入（web方面）是指应用程序过滤不严格，用户可以通过请求将代码注入到应用中执行。代码执行类似于SQL注入漏洞。代码执行是可以把代码注入到应用中最终由服务器运行它，这样的漏洞如果没有特殊的过滤，相当于直接有了一个web后门的存在。2.漏洞的危害：可以通过代码执行漏洞继承web用户权限，执行任意代码。如果具有服务器没有正确配置，用户权限比较高的话，我们可以读写目标服务器的任意文件内容，甚至控制整个网站以及服务器。PHP中有很多函数和语句都会造成PHP代码执行漏洞。3.
2021-04-16 21:23:47
1491
原创 命令注入
os命令注入漏洞（command）1.大致介绍：如果我们开发的应用，特别是一些企业级的一些应用需要去调用一些外部程序（系统命令或者exe等可执行文件）。当应用需要调用一些外部程序时就会用到一些系统命令的函数。应用在调用这些函数执行系统命令的时候，如果将用户的输入作为系统命令的参数拼接到命令行中，在没有过滤用户的输入情况下，就会造成命令执行漏洞。2.形成原因：–用户输入作为拼接–没有足够的过滤3.漏洞危害：–继承web服务器程序权限（web用户权限），去执行系统命令–继承web服务器权限，读写
2021-04-13 14:34:48
139
原创 文件上传漏洞解析与upload题库讲解
一:前端检测 1.在前端文件上传时直接进行检测 例如直接检测后缀名 解决方法： 可以直接在页面中删除上传时所触发的事件 可以使用but进行抓包处理 修改文件后缀名2.服务器端防御 （content-type类型）(例如14题)MIME类型（描述消息类型的因特网标准）常见的MIME举例当需要读取图片大小时 （这时后缀名和类型都没用）可以使用图片方法
2021-04-13 14:17:43
603
原创 csrf学习
小亮学csfr1. 大致介绍：跨站请求伪造漏洞 利用社会工程学的方法诱导客户点击一些链接 本质不是受害者的意愿发起的 。从信任角度来说：csrf是利用站点对已经身份认证的信任 在用户非自愿不知情的情况下提交的请求。可以进行：…修改账号密码 ，个人信息… 发送伪造的业务请求（网银，购物，投票）… 关注他人社交账号，推送博文等2.利用方法是一种业务逻辑漏洞， 利用的是服务器端对关键操作缺少确认机制 ，自动扫描程序无法发现此类漏洞。3.利用条件：…被害用户已经完成
2021-03-23 21:51:36
175
原创 小亮学xss
XSS漏洞攻击的初步学习与攻击方法1.基本介绍XSS攻击通常指的是通过利用网页开发时留下的漏洞，通过巧妙的方法注入恶意指令代码到网页，使用户加载并执行攻击者恶意制造的网页程序。这些恶意网页程序通常是JavaScript，但实际上也可以包括Java、 VBScript、ActiveX、 Flash 或者甚至是普通的HTML。攻击成功后，攻击者可能得到包括但不限于更高的权限（如执行一些操作）、私密网页内容、会话和cookie等各种内容2.主要类型：存储型（持久性）反射型（非持久）DOM型3. 使用
2021-03-20 07:09:15
180
1
原创 小亮学xss
XSS漏洞攻击的初步学习与攻击方法1.基本介绍XSS攻击通常指的是通过利用网页开发时留下的漏洞，通过巧妙的方法注入恶意指令代码到网页，使用户加载并执行攻击者恶意制造的网页程序。这些恶意网页程序通常是JavaScript，但实际上也可以包括Java、 VBScript、ActiveX、 Flash 或者甚至是普通的HTML。攻击成功后，攻击者可能得到包括但不限于更高的权限（如执行一些操作）、私密网页内容、会话和cookie等各种内容2.主要类型：存储型（持久性）反射型（非持久）DOM型3.使用场
2021-03-20 06:40:25
2042
9
空空如也
空空如也
TA创建的收藏夹 TA关注的收藏夹
TA关注的人