- 博客(40)
- 收藏
- 关注
RSS订阅原创 PHP 应用&文件包含&LFI&RFI&伪协议编码算法&无文件利用&黑白盒
session文件一般在linux中var/lib/php/session windows中是C://windows/Temp。程序开发人员通常会把可重复使用的函数写到单个文件中，在使用某些函数时，直接调用此文件，而无须再次编写，这种调用文件的过程一般被称为文件包含。自定义session文件 条件竞争访问session文件 触发创建新文件。在包含的过程中如果出现错误，会抛出一个警告，程序继续正常运行。在包含文件的过程中，如果文件能进行控制，则存储文件包含漏洞。、无文件支持伪协议利用。、语言文件等相关字眼。
2025-03-31 00:35:19
407
原创 文件上传&存储安全&OSS 对象&分站&解析安全&解码还原&目录执行
以上方案除目录设置权限如能换目录解析绕过外，其他均无解。数据做存储，解析固定(固定协议）（文件后缀名无关）文件上传后存储目录不给执行权限。文件上传后利用编码传输解码还原。
2025-03-30 22:28:17
295
原创 PHP 应用&文件上传&中间件 CVE 解析&第三方编辑器&已知 CMS 漏洞
引用到外部的第三方编辑器实现文件上传，编辑器的安全即是上传安全。由于编辑器漏洞较少，实战碰到机会不大，主要理解漏洞产生的思路。搭建在存在漏洞的中间件上，漏洞影响这文件的解析即配合上传。从未知的源码体系测试原生态上传安全，现在是已知。源码架构，利用已知的漏洞测。（部署搭建看打包视频）（部署搭建看打包视频）
2025-03-30 20:06:20
152
原创 -PHP 应用&文件上传&函数缺陷&条件竞争&二次渲染&黑白名单&JS 绕过
全问题，对于如何确保这类安全问题，一般会从原生态功能中的文件内容，文件后缀，文。件类型等方面判断，但是漏洞可能不仅在本身的代码验证逻辑中出现安全问题，也会在语。言版本，语言函数，中间件，引用的第三方编辑器等存在缺陷地方配合利用。首先抓包监听，如果上传文件的时候还没有抓取到数据包，但是浏览器就提示文件类型不。、文件上传安全指的是攻击者通过利用上传实现后门的写入连接后门进行权限控制的安。传也有多个存储逻辑，不同的文件存储方案也会给攻击者带来不一样的挑战！无文件解析安全问题上，格式解析是一对一的（不能。
2025-03-30 00:11:14
318
原创 注入工具&SQLMAP&Tamper 编写&指纹修改&高权限操作&目录架构
pass（遇到过滤 发现如何绕过 然后·写脚本 再用sqlmap）如果是json模式的话 就把数据包放在文件 然后对这文件进行注入。
2025-03-29 15:25:26
277
原创 -PHP 应用&SQL 二次注入&堆叠执行&DNS 带外&功能点&黑白盒条件
注入条件：插入时有转义函数或配置，后续有利用插入的数据（遮阳前面失效 而后面修改密码就生效了）堆叠注入触发的条件很苛刻，因为堆叠注入原理就是通过结束符同时执行多条。有部分注入点是没有回显的，所有读取也是没回显的，采用带外。黑盒思路：分析功能有添加后对数据操作的地方（功能点）、目标中间层查询数据库信息时可同时执行多条。、目标中间层查询数据库信息时可同时执行多条。根据数据库类型决定是否支持多条语句执行。，所以要想目标存在堆叠注入。用户注册登录修改密码。在目标主机存在类似于。
2025-03-28 00:33:33
359
原创 -PHP 应用&SQL 盲注&布尔回显&延时判断&报错处理&增删改查方式
我们需要利用一些方法进行判断或者尝试，这个过程称之为盲注。盲注就是在注入过程中，获取的数据不能回显至前端页面。、功能：新增用户，添加新闻等（对操作的结果感兴趣）解决：常规的联合查询注入不行的情况。报错：（需要有报错 不需要有回显）、功能：数据查询(对数据感兴趣）布尔：（需要有回显 不需要报错）、功能：删除用户，删除新闻等。、功能：修改用户，修改文章等。延迟：（不需要有回显和报错）
2025-03-27 21:06:24
479
原创 PHP 应用&SQL 注入&符号拼接&请求方法&HTTP 头&JSON&编码类
大部分黑盒能做的就是分析后各种尝试去判断，所以有可能有注入但可能出现无法注入成。数据请求方法（文件上传也可能触发sql注入 因为文件要进行数据库保存）使得服务器能够识别客户使用的操作系统，游览器版本等。录客户使用的操作系统或浏览器版本等存入数据库中）常一些网站的防注入功能会记录请求端真实。语句由于在黑盒中是无法预知写法的，究其原因大部分都是原。语句的未知性导致的拼接失败！去判断（与数据库ip进行比较）、框架型（有各种符号干扰）（很多数据量大的网站中会记。语句写法（框架写法）导致。、搜索型（有多符号干扰）
2025-03-27 19:43:21
650
原创 PHP 应用&MYSQL 架构&SQL 注入&跨库查询&文件读写&权限操作
但是写进文件我们怎么知道文件在哪呀？用户管理也可以创建多个用户进行每个网站对应的数据库管理。、判断常见四个信息（系统，用户，数据库名，版本）：存储数据库下的数据库名及表名，列名信息的数据库。数据库，搭建多个站点，数据库集中存储。为后期猜解指定数据库下的表，列做准备。用户：先测试读写，后测试获取数据。里面有内置的管理用户，其中。语句能干嘛，注入就能干嘛）、一对一用户管理（推荐）以上版本：自带的数据库名。记录数据库名信息的列名值。用户：直接测试获取数据。：记录数据库名信息的表。网站上面的数据库都在。
2025-03-26 23:47:23
697
原创 ASP 应用&HTTP.SYS&短文件&文件解析&Access 注入&数据库泄漏
义配置好数据库路径即用，不需要额外配置安装数据库，所以大部分提前固定好的数据库。路径如默认未修改，当攻击者知道数据库的完整路径，可远程下载后解密数据实现攻击。请求时会导致此漏洞。成功利用此漏洞的攻击者可以在系统帐户。后台路径获取，数据库文件获取，其他敏感文件获取等。数据库泄漏下载（路径是知道的话可以直接下载）者可以找到通常无法从外部直接访问的重要文件。短文件（只能扫到前六位 剩下的靠猜）并获取有关应用程序基础结构的信息。无需连接，都在脚本文件中定。的上下文中执行任意代码。下查看对应的短文件名。
2025-03-26 19:07:25
574
原创 -JavaEE 应用&Servlet 路由技术&JDBC&Mybatis 数据库&生命周期
可以收集来自网页表单的用户输入，呈现来自数据库或者其他源的记录，还可以动态创建。jdbc有预编译的· 提前编好执行逻辑 注入的语句不会改变原有。服务器上的数据库或应用程序之间的中间层。服务器或应用服务器上的程序。目录，复制导入后，添加为库。用于访问数据库的统一。由各个数据库厂商提供。
2025-03-25 23:34:42
281
原创 JS 应用&WebPack 打包器&第三方库 JQuery&安装使用&安全检测
开发者模式前端源码都能看到 而生产者模式只能看到一行代码。它将根据模块的依赖关系进行分析，生成对应的资源。】：执行范围更广的任务，从打包到优化都可以实现。设计目的是为了写更少的代码，做更多的事情。应该使用哪个模块，来作为构建内部依赖图开始。】：在哪里输出文件，以及如何命名这些文件。中会将前端的所有资源文件都作为模块处理。：打包模式选择开发者模式后会造成源码泄漏（：前端语言直接浏览器显示源代码。：服务段语言浏览器不显示源代码。文档操作、事件处理、动画设计和。模块，如果要加载其他类。
2025-03-24 20:36:14
479
原创 -JS 应用&NodeJS 指南&原型链污染&Express 框架&功能实现&审计
Node-JS是安在服务端的 而普通js是放在前端的。专用库，并对数据库进行操作。
2025-03-24 00:18:51
298
原创 JS 应用&DOM 树&加密编码库&断点调试&逆向分析&元素属性操作
面对登录界面 有一些会把密码加密 而我们不知道加密方式 这就需要我们进行调试。浏览器提供的一套专门用来操作网页代码内容的功能，实现自主或用户交互动作反馈。技术实现代码的更新修改，但是更新修改如果修改。的数据可以由用户来指定，就会造成。安全问题：本身的前端代码通过。在控制台 调试 并用·断点。
2025-03-23 20:07:47
120
原创 JS 应用&原生开发&JQuery 库&Ajax 技术&前端后端&安全验证处理
看成功后触发的事件是写在前端还是后端 前端就可以抓包绕过。技术（jqurey是一个函数库）、过滤代码能看到分析绕过。、后端对上传数据处理。
2025-03-23 14:55:40
163
原创 PHP 应用&TP 框架&路由访问&对象操作&内置过滤绕过&核心漏洞
框架有控制器 这些知识直接看文档 比如request 就把常规函数全封装进去。所以一般核心程序在application中的controller。规矩的写法是安全的 不是绝对安全 看上述写的 看写法再看版本。框架查询数据如果用原生写法是有安全隐患的。例子：不合规的代码写法。
2025-03-22 20:47:48
328
原创 -PHP 应用&模版引用&Smarty 渲染&MVC 模型&数据联动&RCE 安全
的模板文件，并将以下代码复制到上述点定义文件夹中。对应版本并解压缩到该文件夹中。、创建一个文件夹，命名为。、数据库创建新闻存储。、代码连接数据库读取。、页面进行自定义显示。很容易触发代码执行漏洞。模版引用（第三方模板）
2025-03-22 17:31:27
460
原创 -PHP 应用&文件管理模块&包含&上传&遍历&写入&删除&下载&安全
上传至服务器本身的存储磁盘。)（即使上传后门也无法解析）在错误发生后脚本继续执行。在错误发生后脚本停止执行。如果已经包含，则不再执行。如果已经包含，则不再执行。、把文件上传到其他域名。
2025-03-22 15:38:12
245
原创 PHP 应用&文件管理模块&显示上传&黑白名单类型过滤&访问控制
它是一个包含上传文件信息的数组，包括文件名、类型、大小、临。中一个预定义的超全局变量，用于在上传文件时从客户端接收文件，并。函数用于打开指定的目录，返回句柄，用来读取目录中的文件和子目录。函数用于从打开的目录句柄中读取目录中的文件和子目录。递归循环读取文件列表（就是一个文件夹里还有文件夹）函数用于检查指定的路径是否是一个目录。将上传的文件移动到指定位置的函数。中的设置用来控制脚本程序访问目录。获取上传文件字节单位大小。获取上传的临时副本文件名。获取上传时发生的错误代码。获取上传文件原始名称。
2025-03-22 00:22:47
228
原创 PHP 应用&后台模块&Session&Cookie&Token&身份验证&唯一性
有效，则服务器响应请求。否则，服务器可能会要求客户端重新登录。来检索存储在服务器端存储器中的与该客户端相关的。启动会话，用于开始或恢复一个已经存在的会话。数据，从而在客户端和服务器之间共享数据。用于存储和访问当前会话中的所有变量。，并将其存储在服务器端的存储器中。、服务器为客户端生成一个唯一的。、服务器检查请求头中是否包含。，通常是在本地浏览器中存储。销毁当前会话中的所有数据。释放当前会话中的所有变量。信息并将其发送回客户端。信息附加到请求头中，以便。、服务器在响应头中设置。、当客户端在发送下一次。
2025-03-21 21:24:35
334
原创 PHP 应用&留言板功能&超全局变量&数据库操作&第三方插件引用
_GET收集URL中的发送的数据。$_FILES:文件上传且处理包含通过HTTPPOST方法上传给当前脚本的文件内容。$_COOKIE:是一个关联数组，包含通过cookie传递给当前脚本的内容。$_SESSION:是一个关联数组，包含当前脚本中的所有session内容。：这种超全局变量保存关于报头、路径和脚本位置的信息。$_ENV:是一个包含服务器端环境变量的数组。函数：连接，选择，执行，结果，关闭等。、数据库名，数据库表名，数据库列名。、数据库数据，格式类型，长度，键等。关闭先前打开的数据库连接。
2025-03-20 23:49:29
733
原创 公众号服务&Github 监控&供应链&网盘泄漏&证书图标邮箱资产
目标中开发人员或者托管公司上传的项目存在源码泄漏或配置信息（密码密匙等），、微信公众号有无第三方服务（看有无自己的网站接口还是腾讯的网站和接口）ico资产是在源码里找到....ico 然后去搜。人员数据库等敏感信息，找到多个脆弱点。仓库标题搜索含有关键字。仓库描述搜索含有关键字。语言的代码中搜索关键字。有了邮箱是可以登录爆破的。、获取微信公众号途径。
2025-03-20 19:29:34
391
原创 红蓝队自动化项目&资产侦察&武器库部署&企查产权&网络空间
本项目集成了全网优秀的开源攻防武器项目，包含信息收集工具（自动化利用工具。发现工具、目录扫描工具、子域名收集工具、指纹识别工具、端口扫描工。）、应急响应工具、甲方运维工具、等其他安全攻防资料整。的格式录入即可，建议键值按照阿拉伯数字依次录入。理，供攻防双方使用。如果你有更好的建议，场景下遇到的各种针对国内企业信息收集难题。命令生成配置文件信息后进行配置。这个用于信息打点 获得信息。利用工具、中间件利用工。具（隧道代理、密码提取。蓝队环境自动化部署工具。在第一次使用时需要使用。便以阿拉伯数字来切换。
2025-03-19 23:21:54
425
原创 小程序应用&解包反编译&动态调试&抓包&静态分析&源码架构
解包反编译用小程序多功能助手 一般解包反编译就会获得源码。有些小程序是有分包的 多个数据包 全选就行。用来配置小程序及其页面是否允许被微信索引。一个小程序页面由四个文件组成，分别是。然后再用微信开发者工具就行运行。小程序包含一个描述整体程序的。跟你在详情中勾选的配置一样。页面配置（有一些接口信息）和多个描述各自页面的。
2025-03-19 14:52:41
307
原创 APP 资产&知识产权&应用监控&静态提取&动态抓包&动态调试
如果app打开就有数据包 那么反编译也会有地址吗（也不一定）（源码可以把网址加密 再运行时解密运行）有的单位喜欢给你一个网站或者app名称让你自己去收集 所以需要我们有如下步骤。静态信息和动态信息收集的有很大区别 因为静态有的源代码不执行只是显示。打开无数据包，登录有数据包（反编译后未找到目标资产，抓包住到了）优点：没有误报，解决不能抓包不能代理等情况。静态表现（从反编译的字符串里）、动态调试从表现中提取数据。、抓包抓表现出来的数据。缺点：有很多无用的资产。测试接口测试服务测试。动态调试（从反编译中）
2025-03-19 13:32:45
312
原创 语言框架&开发组件&FastJson&Shiro&Log4j&SpringBoot等
在之前的学习中我们学习到了识别cms 但是如果cms识别不出来呢 因为识别的网站一般都是识别php的 java很少 而且java的程序源码也很少开源 所以就需要学习本次课程。如：文件上传功能是需要很多代码来实现的，框架把这个代码进行封封装，调用即可。第三方或团队的开发的封装代码框架，一般内置的过滤机制（框架和组件漏洞）第三方或团队的开发的封装代码框架，一般内置的过滤机制（框架漏洞）影响：如果采用框架开发，代码的安全性是取决于框架的过滤机制。、结合开发框架的开发模型（以框架为核心实现功能）
2025-03-18 20:33:45
372
原创 CDN 绕过&业务部署&漏洞回链&接口探针&全网扫描&反向邮件
注意邮件系统 邮件来源 如果是域名邮件的才可以看到真是ip 如果是126.com 163.com 等就看不到真是ip。先从ip扫描符合开放端口 再从ip访问关键字 将符合结果进行保存。通过漏洞或泄露获取，扫全网，以量打量，第三方接口查询等。子域名，邮件系统，国外访问，证书查询，传统访问：用户访问域名。
2025-03-17 23:32:11
304
原创 主机架构&蜜罐识别&WAF 识别&端口扫描&协议识别&服务安全
可尝试经典的 topn,vpn,owa,webmail,目标 oa,各类 Java 控制。允许匿名的上传下载,爆破,嗅探,win 提权,远程执行(proftpd。允许区域传送,dns 劫持,缓存投毒,欺骗以及各种基于 dns 隧道。台,各类服务器 Web 管理面板,各类 Web 中间件漏洞利用,各。可根据已搜集到的信息尝试爆破,v1 版本可中间人,ssh 隧道及。爆破,嗅探,一般常用于路由,交换登陆,可尝试弱口令。如,ms08-067,ms17-010,嗅探等……tns 爆破,注入,弹 shell…
2025-03-17 00:29:42
996
原创 JS架构&框架识别&泄漏提取&API接口枚举&FUZZ爬虫&插件项目
unexpection_information （标记请求包的敏感信息 js接口和一些特殊字段 防止疏忽一些数据包 会有额外收获）hae （有高亮标记和信息提取的插件 可以自定义正则的方式来匹配响应报文和请求报文 自行决定是否高亮提醒和信息提取）还可以用ffuf（一个功能强大的模糊化工具 用fuzz模糊js文件 找到更多的js文件来分析更多的信息）文件中可能配置了接口信息（云应用，短信，邮件，数据库等）等区别在于即没有源代码，也可以通过浏览器的。敏感信息，获取代码传参等，所以相当于。
2025-03-16 13:37:33
612
原创 Web 应用&源码泄漏&开源闭源&指纹识别&GIT&SVN&DS&备份
2：未识别出信息使用码云资源获取（利用f12 找特定文件然后再github搜）：其他行业开发使用对口资源站获取(在源码平台找跟该行业app类似界面的源码）：识别出大致信息却无下载资源（利用f12 找特定文件然后再github搜）composer.json（针对php)TideFinger 潮汐。数字观星 Finger-P。、从管理员资源信息搜集入口。、从管理员不好的习惯入口。、从管理员不好的配置入口。、从管理员不好的意识入口。在线 cms 指纹识别。备份：敏感目录文件扫描。、从源码本身的特性入口。
2025-03-15 21:37:13
279
原创 -HTTP 数据包&Postman 构造&请求方法&请求头修改&状态码判断
•500 InternalServerError：服务器发生不可预期的错误，无法完成客户端的请求；（可能存在或不存在）•302 redirect：页面暂时性移走，服务器进行重定向跳转，具有被劫持的安全风险；•404 NotFound：请求的资源不存在，例如，输入了错误的URL；：向指定资源提交数据进行处理请求（提交表单、上传文件），又可能导致新的资。：向特定资源发出请求（请求指定页面信息，并返回实体主体）；•-4xx:客户端错误—请求有语法错误或请求无法实现。•200 OK：客户端请求成功（文件存在）
2025-03-15 13:35:00
350
原创 算法逆向&散列对称非对称&JS源码逆向&AES&DES&RSA&SHA
/第一个参数是待加密的数据只能是string，第二个参数是加密后的数据,第三个参数是openssl_pkey_get_public返回的资源类型,第四个参数是填充方式。//echo "解密后: " . EncryptionTool::deAES($data, "1234567891234567") . "<br/>";我们都知道MD5加密也是可以破解的。echo "MD5加密后:".md5($password). "<hr/>";echo "AES加密后: " . $data . "<hr/>";
2025-03-15 00:00:07
1065
原创 算法分析&传输加密&数据格式&密文存储&代码混淆&逆向保护
MD5，SHA，ASC，进制，时间戳，URL，BASE64，Unescape，AES，DES等。BASE64值是由数字"0-9"和字母"a-f"所组成的字符串,大小写敏感,结尾通常有符号=URL编码是由数字"0-9"和字母"a-f"所组成的字符串,大小写敏感,通常以%数字字母间隔。HEX编码是计算机中数据的一种表示方法,将数据进行十六进制转换,它由0-9,A-F,组成。直接加密，带salt，带密码，带偏移，带位数，带模式，带干扰，自定义组合等。SHA1这种加密的密文特征跟MD5差不多，只不过位数是40。
2025-03-14 00:12:14
1231
原创 抓包技术&全局协议&封包监听&网卡模式&APP&小程序&PC应用
逆向 代码和逻辑的设计逻辑安全性 （不规范的加密，可以绕过的策略 自己删除验证重打包绕过验证等）但wireshark需要用代码筛选 因为它抓很多数据包 这里也不多展示。对ip和域名的服务进行测试 （有以下三个方法：wireshark 科来 封包分析。1.渗透测试 抓包得到应用的资产和域名 ip等。反编译源码找到资产信息 然后用渗透测试的思路。用科来和wireshark都行 这里也不多展示。如果要抓模拟器app包 点击只显示模拟器进程。源码泄露的key 进行安全测试。本次讲其他协议的数据包抓取。
2025-03-13 22:30:33
151
原创 抓包技术&HTTPS 协议&APP&小程序&PC 应用&WEB&转发联动
为这些工具设计了许多接口，以加快攻击应用程序的过程。安装抓包工具 我这里安装的是chales和burpsuite。可以监控浏览器发送和接收的所有数据。这里也用burpsuite 当然其他的抓包工具也可以。设置网络全局代理为burpsuite的监听地址和端口。这些抓包工具都需要配置证书给模拟器和浏览器。接下来 用burpsuite抓模拟器的包。因为burpsuite想抓包的话需要代理。应用程序的集成平台，包含了许多工具。消息、持久性、认证、代理、日志、警报。其余步骤和之前抓浏览器网址的步骤一样。
2025-03-13 20:52:05
244
原创 反弹SHELL&不回显带外&正反向连接&防火墙出入站&文件下载
当要把命令放在后台执行时，在命令的后面加上“&”。cp /tmp/myfile.txt myfile(先建立一个目录myfile，然后把myfile.txt拷贝到新建的目录中)2 只有在 || 左边的命令返回假（命令返回值 $?== 1），|| 右边的命令才会被执行。== 0），&& 右边的命令才会被执行。== 0），后面的命令就不会被执行。== 1），后面的命令就不会被执行。这其中的whoami都可以更改为其他命令比如windows系统的dir命令。1 命令之间使用 || 连接，实现逻辑或的功能。
2025-03-13 00:15:15
727
原创 APP架构&小程序&H5+Vue语言&Web封装&原生开发&Flutter
Web App一般非常小，内容都是app内的网页展示，受制于网页技术本身，可实现功能少，而且每次打开，几乎所有的内容都需要重新加载，所以反应速度慢，内容加载过多就容易卡死，用户体验差，而且app内的交互设计等非常有效。flutter是近年来谷歌推出的一款UI框架，使用dart语言进行开发，支持跨平台，weight渲染直接操作硬件层，体验可媲美原生。使用H5开发的好处有很多，可多端复用，比如浏览器端，ios端，当然H5开发的体验是没有原生好的。#APP-开发架构--Web封装-封装平台。
2025-03-12 14:26:21
313
原创 Web架构&OSS存储&负载均衡&CDN加速&反向代理&WAF防护
注意：正向代理和反向代理都是解决访问不可达的问题，但由于反向代理中多出一个可以重定向解析的功能操作，导致反代理出的站点指向和真实应用毫无关系。反向代理为服务端服务,服务端主动转发数据给可访问地址（不主动不可达）上传的文件或解析的文件均来自于OSS资源，无法解析，单独存储。正向代理为客户端服务,客户端主动建立代理访问目标（不代理不可达）Windows2012 + BT宝塔面板 + CDN服务。影响：有多个服务器加载服务，测试过程中存在多个目标情况。影响：访问目标只是一个代理，非真实应用服务器。
2025-03-12 13:01:06
419
原创 web架构&前后端分离站&Docker容器站&继承软件站&建站分配
而若常规（如IIS）搭建 如果没有设置相应权限 则会读取上一级文件权限 但无法读取上上一级文件权限 命令有些可以执行 有些不能。如果用宝塔搭建，当用后门链接时 发现只可读当前文件目录 却不能读取上一级文件目录 命令也不能执行。三.前后端分离(可以理解为前端一个网站 后端一个网站 通过API接口进行传输数据）影响：数据被单独存放，能连接才可影响数据。原理：打包类集成化环境，权限配置或受控制。原理：前端JS框架，API传输数据。原理：源码数据库不在同服务器。原理：源码数据都在同服务器。
2025-03-11 23:30:24
133
原创 web应用&架构搭建&站库分离&路由器访问&配置受限&DNS解析
现代已经有了站库分离 数据库和数据库配置文件不在同一台服务器 安全性更高 如果渗透获得了数据库配置文件 但也不一定可以连接数据库 因为有的数据库有绑定认证之类。现在还有的数据库会放到OSS中 这样即使有后门之类 也会连接不上 这对我们的渗透更加难上加难。搭建有子域名模式 目录模式 端口模式 这些都对我们的安全渗透有一些帮助。传统的数据库搭建是首先先买服务器 然后再服务器上搭建 安全性不高。——不可见 （加密或者语言特性决定）3、下载并上传Web程序源码。常规：URL会与目录是对应上的。
2025-03-11 21:56:16
144
空空如也
空空如也
TA创建的收藏夹 TA关注的收藏夹
TA关注的人