- 博客(10)
- 收藏
- 关注
RSS订阅原创 【SRC漏洞】第九章 web基础及漏洞
Web建站的基本流程和安全注意事项。建站流程包括：购买域名并备案、选择服务器（Windows/Linux）、安装宝塔面板配置开发环境（含多种编程语言、中间件、数据库等），以及使用现成模板快速搭建。同时列举了常见Web安全漏洞类型，如SQL注入、XSS跨站等。文中还通过示意图展示了浏览器与服务器的交互过程，并推荐使用BP工具抓包分析。最后提供了完整的建站工具链推荐，涵盖设计工具（Figma）、前端框架（Vue/React）、后端技术（Django/Node）、CMS系统（WordPress）及部署方
2025-08-11 08:37:28
701
原创 【SRC漏洞】第七章 SQL注入漏洞
SQL注入攻击原理、危害与挖掘技巧 SQL注入是一种常见的Web安全漏洞，攻击者通过构造恶意SQL语句，利用网站不健全的SQL拼接方式，实现对数据库的非法操作。其危害包括数据泄露、账户控制，甚至服务器沦陷。挖掘SQL注入点可通过错误信息、内容差异或时间延迟进行判断，并需识别数据库类型以选择合适的攻击方法。攻击方式包括联合查询、报错注入、盲注等多种技术，按数据类型可分为数字型、字符型和搜索型注入。防御的关键在于严格过滤用户输入，使用参数化查询。企业安全防护中，绕过防火墙需灵活运用手工注入技术。
2025-07-24 09:06:14
1158
原创 【SRC漏洞】第六章 XSS漏洞
XSS漏洞本质是Web应用对用户输入过滤不严，导致恶意脚本被执行。漏洞核心在于输入未过滤（如<script>未拦截）和输出未编码（特殊字符未转换）。常见于表单提交、URL参数等场景，当恶意输入被嵌入HTML、属性或JS代码中时触发。分为三种类型：反射型（通过URL即时触发）、存储型（恶意代码存入数据库）和DOM型（纯前端触发）。黑客利用XSS可窃取用户数据，防护需严格过滤输入并编码输出。
2025-07-23 09:55:27
748
原创 【SRC漏洞】第五章 案例篇
多种常见的网络安全案例： 答题系统漏洞：对战题目泄露在数据包中，存在积分兑换礼品风险 人脸识别绕过：第三方系统回调验证可能被篡改 订单状态漏洞：无限囤货、重复享受优惠等购物车漏洞 二维码风险：包含SSRF、敏感信息泄露、DoS攻击等隐患 接口遍历：直接遍历用户ID参数可获取他人信息 CSRF攻击：通过二维码绑定实现任意微信登录 盲盒漏洞：奖品信息提前泄露 内嵌游戏风险：商城内置游戏的安全隐患 通用漏洞类型： 越权漏洞往往批量存在 SQL注入可能出现在多个参数 XSS需测试不同
2025-07-22 13:06:35
2009
原创 【SRC漏洞】第四章 业务逻辑（补充篇）
商城类漏洞和支付漏洞的常见攻击手法。商城漏洞包括优惠券并发领取/复用、优惠券ID/时间篡改、优惠券遍历、过期券使用、并发退款等。支付漏洞涉及商品价格/数量修改、四舍五入漏洞、整数溢出、订单并发/重放、支付状态篡改等。攻击手法主要通过数据包拦截、参数篡改、ID遍历、并发请求等方式实现。文章强调在测试过程中要尝试各种边界条件和异常值，通过修改关键参数来发现潜在的漏洞逻辑。
2025-07-21 10:08:13
844
原创 【SRC漏洞】第三章 业务逻辑
常见业务逻辑漏洞及测试方法 本文总结了常见的业务逻辑漏洞类型和测试方法，主要包括验证码漏洞、遍历攻击和并发测试三类。验证码漏洞包括短信轰炸、万能验证码、验证码复用等；遍历攻击主要针对账号密码进行批量测试；并发测试则利用工具对签到、优惠券使用等功能进行并发请求测试。文中还介绍了使用BurpSuite的Turbo Intruder模块进行并发测试的具体步骤。这些漏洞可能导致资源浪费、薅羊毛、信息泄露等风险，测试时需重点关注与数据库交互的功能点。
2025-07-20 13:42:08
384
空空如也
空空如也
TA创建的收藏夹 TA关注的收藏夹
TA关注的人