<?xml version="1.0" encoding="utf-8" ?><rss version="2.0"><channel><title><![CDATA[F2444790591的博客]]></title><description><![CDATA[]]></description><link>https://blog.youkuaiyun.com/F2444790591</link><language>zh-cn</language><generator>https://blog.youkuaiyun.com/</generator><copyright><![CDATA[Copyright &copy; F2444790591]]></copyright><item><title><![CDATA[反序列化漏洞]]></title><link>https://blog.youkuaiyun.com/F2444790591/article/details/125730881</link><guid>https://blog.youkuaiyun.com/F2444790591/article/details/125730881</guid><author>F2444790591</author><pubDate>Sun, 31 Jul 2022 15:16:41 +0800</pubDate><description><![CDATA[反序列化漏洞]]></description><category></category></item><item><title><![CDATA[Sqlmap(SQL注入自动化工具)]]></title><link>https://blog.youkuaiyun.com/F2444790591/article/details/125820674</link><guid>https://blog.youkuaiyun.com/F2444790591/article/details/125820674</guid><author>F2444790591</author><pubDate>Sat, 16 Jul 2022 17:54:59 +0800</pubDate><description><![CDATA[自动化SQL注入工具Sqlmap]]></description><category></category></item><item><title><![CDATA[谷歌常用语法]]></title><link>https://blog.youkuaiyun.com/F2444790591/article/details/125789048</link><guid>https://blog.youkuaiyun.com/F2444790591/article/details/125789048</guid><author>F2444790591</author><pubDate>Thu, 14 Jul 2022 18:14:48 +0800</pubDate><description><![CDATA[谷歌语法]]></description><category></category></item><item><title><![CDATA[DoS攻击和DDoS攻击]]></title><link>https://blog.youkuaiyun.com/F2444790591/article/details/125738997</link><guid>https://blog.youkuaiyun.com/F2444790591/article/details/125738997</guid><author>F2444790591</author><pubDate>Tue, 12 Jul 2022 23:29:16 +0800</pubDate><description><![CDATA[Dos攻击和DDoS攻击]]></description><category></category></item><item><title><![CDATA[逻辑错误漏洞]]></title><link>https://blog.youkuaiyun.com/F2444790591/article/details/125709323</link><guid>https://blog.youkuaiyun.com/F2444790591/article/details/125709323</guid><author>F2444790591</author><pubDate>Sun, 10 Jul 2022 20:31:52 +0800</pubDate><description><![CDATA[逻辑错误漏洞是指由于程序逻辑不严谨式逻辑大复杂,导致一些逻辑分支不能够正常处理或处理错误。通俗地讲:一个系统的功能大多后，程序开发人员就难以思考全面，对某些地方可能有遗漏，或者未能正确处理，从而导致逻辑漏洞。逻辑漏洞也可以说是程序开发人员的思路错误、程序开发人员的逻辑存在漏洞。
        逻辑错误漏洞是非常隐蔽的，它不像SOL注射、XSS跨站脚本、命令执行漏洞有鲜明的标识，自动化扫描器可以定义一系列的规则识别出这些漏洞，而逻辑漏洞一般出现在功能(业务流程）上,这是漏洞扫描工具无法识别的。逻辑漏洞的危害]]></description><category></category></item><item><title><![CDATA[XXE（XML外部实体注入）漏洞]]></title><link>https://blog.youkuaiyun.com/F2444790591/article/details/125706940</link><guid>https://blog.youkuaiyun.com/F2444790591/article/details/125706940</guid><author>F2444790591</author><pubDate>Sun, 10 Jul 2022 18:29:30 +0800</pubDate><description><![CDATA[XML外部实体注入（XML Extenrnal Entity Injection），简称XXE漏洞。XML解析依赖库libxml默认开启了对外部实体的引用（libxml]]></description><category></category></item><item><title><![CDATA[Apache Log4j2（远程代码执行漏洞）]]></title><link>https://blog.youkuaiyun.com/F2444790591/article/details/125684838</link><guid>https://blog.youkuaiyun.com/F2444790591/article/details/125684838</guid><author>F2444790591</author><pubDate>Fri, 08 Jul 2022 22:01:27 +0800</pubDate><description><![CDATA[1、下载、解压、重命名vulhub-master.zip为vulhub                2、进入漏洞环境下，启动该环境。         3、访问目标靶场：                         4、在Dnslog.cn中生成接收信息的域名 。                         5、提交dnslog payload 参数，进行访问。                                         6、可以发现dnslog接收到返回的信息，证明存在log4]]></description><category></category></item><item><title><![CDATA[在Centos7中安装Docker、Python3、Vulfocus]]></title><link>https://blog.youkuaiyun.com/F2444790591/article/details/125673744</link><guid>https://blog.youkuaiyun.com/F2444790591/article/details/125673744</guid><author>F2444790591</author><pubDate>Fri, 08 Jul 2022 19:36:01 +0800</pubDate><description><![CDATA[Docker 分为docker SE（社区版，免费）以及docker EE（企业版，收费），因此我们这里安装的是docker SE。1、如果安装过旧版本，卸载掉旧版本yum remove docker  docker-common docker-selinux docker-engine2、设置docker ce软件源yum-config-manager --add-repo https://download.docker.com/linux/centos/docker-ce.repo3、更新yum缓存yu]]></description><category></category></item><item><title><![CDATA[web中间件漏洞]]></title><link>https://blog.youkuaiyun.com/F2444790591/article/details/125418314</link><guid>https://blog.youkuaiyun.com/F2444790591/article/details/125418314</guid><author>F2444790591</author><pubDate>Fri, 24 Jun 2022 22:18:01 +0800</pubDate><description><![CDATA[文件解析漏洞主要由于网站管理员操作不当或者 Web 服务器自身的漏洞，导致一些特殊文件被 IIS、apache、nginx 或其他 Web服务器在某种情况下解释成脚本文件执行。 大部分的解析漏洞还是由于web服务器自身的漏洞，导致特殊文件被当成脚本文件执行了。        在IIS5.x/6.0 中，在网站下建立文件夹的名字为*.asp、*.asa、*.cer、*.cdx 的文件夹，那么其目录内的任何扩展名的文件都会被IIS当做asp文件来解释并执行。例如创建目录 test.asp，那么 /test.as]]></description><category></category></item><item><title><![CDATA[XSS漏洞]]></title><link>https://blog.youkuaiyun.com/F2444790591/article/details/125398089</link><guid>https://blog.youkuaiyun.com/F2444790591/article/details/125398089</guid><author>F2444790591</author><pubDate>Wed, 22 Jun 2022 21:31:54 +0800</pubDate><description><![CDATA[攻击者在网页中嵌入客户端脚本，通常是JavaScript编写的恶意代码，当用户使用浏览器浏览被嵌入恶意代码的网页时，恶意代码将会在用户的浏览器上执行，将用户的信息发送给攻击者。        反射型XSS也被称为非持久性XSS,是现在最容易出现的一种 XSS 漏洞。当用户访问一个带有XSS代码的URL请求时，服务器端接收数据后处理，然后把带有XSS 代码的数据发送到浏览器，浏览器解析这段带有XSS 代码的数据后，最终造成XSS 漏洞。这个过程就像一次反射,故称为反射型XSS。        允许用户存储数据]]></description><category></category></item><item><title><![CDATA[命令执行（RCE）漏洞]]></title><link>https://blog.youkuaiyun.com/F2444790591/article/details/125379585</link><guid>https://blog.youkuaiyun.com/F2444790591/article/details/125379585</guid><author>F2444790591</author><pubDate>Mon, 20 Jun 2022 21:23:20 +0800</pubDate><description><![CDATA[攻击者在一些能够执行系统命令的位置，输入恶意的系统命令，服务器端没有针对执行函数做严格的过滤，导致服务器执行了该恶意的系统命令，从而对服务器产生了安全威胁。]]></description><category></category></item><item><title><![CDATA[文件包含漏洞]]></title><link>https://blog.youkuaiyun.com/F2444790591/article/details/125374620</link><guid>https://blog.youkuaiyun.com/F2444790591/article/details/125374620</guid><author>F2444790591</author><pubDate>Mon, 20 Jun 2022 19:14:42 +0800</pubDate><description><![CDATA[程序开发人员通常会把可重复使用的函数写到单个文件中，在使用某些函数时，直接调用此文件，无需再次编写，这种调用文件的过程一般被称为文件包含。        文件包含漏洞产生的原因是在通过PHP函数引入文件时，由于传入的文件没有经过合理的校验，从而操作了预想之外的文件，就可能导致意外的文件泄露甚至恶意的代码注入。        文件包含漏洞分为本地文件包含漏洞与远程文件包含漏洞。远程文件包含漏洞是因为开启了PHP配置中的allow_url_include选项，选项开启之后，服务器允许包含一个远程文件，服务器通过]]></description><category></category></item><item><title><![CDATA[SSRF漏洞]]></title><link>https://blog.youkuaiyun.com/F2444790591/article/details/125360104</link><guid>https://blog.youkuaiyun.com/F2444790591/article/details/125360104</guid><author>F2444790591</author><pubDate>Sun, 19 Jun 2022 19:51:41 +0800</pubDate><description><![CDATA[SSRF(Server-Side Request Forgery:服务器端请求伪造) 是一种由攻击者构造形成由服务端发起请求的一个安全漏洞。一般情况下，SSRF攻击的目标是从外网无法访问的内部系统。SSRF的形成大多是由于服务端提供了从其他服务器应用获取数据的功能且没有对目标地址做过滤与限制。如，黑客操作服务端从指定URL地址获取网页文本内容，加载指定地址的图片等，利用的是服务端的请求伪造。SSRF利用存在缺陷的Web 应用作为代理攻击远程和本地的服务器。




        curl_exec()

]]></description><category></category></item><item><title><![CDATA[CSRF漏洞]]></title><link>https://blog.youkuaiyun.com/F2444790591/article/details/125359198</link><guid>https://blog.youkuaiyun.com/F2444790591/article/details/125359198</guid><author>F2444790591</author><pubDate>Sun, 19 Jun 2022 16:50:19 +0800</pubDate><description><![CDATA[攻击者通过伪造用户的浏览器的请求，向访问一个用户自己曾经认证访问过的网站发送出去，使目标网站接收并误以为是用户的真实操作而去执行命令。常用于盗取账号、转账、发送虚假消息等。攻击者利用网站对请求的验证漏洞而实现这样的攻击行为，网站能够确认请求来源于用户的浏览器，却不能验证请求是否源于用户的真实意愿下的操作行为。        方法一： 检测CSRF漏洞是一项比较繁琐的工作，最简单的方法就是抓取一个正常请求的数据包，去掉Referer字段后再重新提交，如果该提交还有效，那么基本上可以确定存在CSRF漏洞。   ]]></description><category></category></item><item><title><![CDATA[文件上传漏洞]]></title><link>https://blog.youkuaiyun.com/F2444790591/article/details/125340129</link><guid>https://blog.youkuaiyun.com/F2444790591/article/details/125340129</guid><author>F2444790591</author><pubDate>Sat, 18 Jun 2022 20:04:14 +0800</pubDate><description><![CDATA[攻击者可以上传一个与网站脚本语言相对应的恶意代码动态脚本到服务器上，然后访问这些恶意脚本中包含的恶意代码，从而获得了执行服务器端命令的能力，进一步影响服务器安全。可能会导致用户信息泄露，被钓鱼，甚至使攻击者可以直接上传WebShell到服务器，进而得到自己想要的信息和权限，最终达到对数据库执行、服务器文件管理、服务器命令执行等恶意操作，甚至完全控制服务器系统。                前端检测原理：调用JS的selectFile()函数，将文件名转化为小写，然后通过substr获取文件名最后一个点好后]]></description><category></category></item><item><title><![CDATA[SQL注入]]></title><link>https://blog.youkuaiyun.com/F2444790591/article/details/125312268</link><guid>https://blog.youkuaiyun.com/F2444790591/article/details/125312268</guid><author>F2444790591</author><pubDate>Fri, 17 Jun 2022 11:35:40 +0800</pubDate><description><![CDATA[SQL注入就是指Web应用程序对用户输入数据的合法性没有判断，前端传入后端的参数是攻击者可控的，并且参数带入数据库查询，攻击者可以通过构造不同的SQL语句来实现对数据库的任意操作。        当输入的参数为整型时，且存在注入漏洞，可以认为是数字型注入。        当输入的参数为字符时，且存在注入漏洞，可以认为是字符型注入。         这是一类特殊的注入类型。这类注入主要是指在进行数据搜索时没过滤搜索参数，一般在链接地址中有“keyword=关键字”，有的不显示在的链接地址里面，而是直接通过搜索]]></description><category></category></item><item><title><![CDATA[DNS服务]]></title><link>https://blog.youkuaiyun.com/F2444790591/article/details/125303285</link><guid>https://blog.youkuaiyun.com/F2444790591/article/details/125303285</guid><author>F2444790591</author><pubDate>Wed, 15 Jun 2022 20:22:43 +0800</pubDate><description><![CDATA[域名系统（英文：Domain Name System，缩写：DNS）：它是一个将域名和IP地址相互映射的分布式数据库，能够使人更方便地访问互联网。DNS使用UDP53端口。当前，对于每一级域名长度的限制是63个字符，域名总长度则不能超过253个字符。        域名系统的名字空间是层次结构的。所有节点的标记只能由3类字符组成：26个英文字母(a～z)、10个阿拉伯数字(0～9)和英文连词号(-)，并且标记的长度不得超过22个字符。一个节点的域名是由从该节点到根的所有节点的标记连接组成的，中间以点分隔。最]]></description><category></category></item><item><title><![CDATA[DHCP服务]]></title><link>https://blog.youkuaiyun.com/F2444790591/article/details/125302154</link><guid>https://blog.youkuaiyun.com/F2444790591/article/details/125302154</guid><author>F2444790591</author><pubDate>Wed, 15 Jun 2022 19:19:36 +0800</pubDate><description><![CDATA[DHCP（动态主机配置协议）是一个局域网的网络协议。指的是由服务器控制一段IP地址范围，客户机登录服务器时就可以自动获得服务器分配的IP地址和子网掩码。]]></description><category></category></item><item><title><![CDATA[TCP/IP协议簇]]></title><link>https://blog.youkuaiyun.com/F2444790591/article/details/125291360</link><guid>https://blog.youkuaiyun.com/F2444790591/article/details/125291360</guid><author>F2444790591</author><pubDate>Wed, 15 Jun 2022 16:29:08 +0800</pubDate><description><![CDATA[TCP/IP（Transmission Control Protocol/Internet Protocol，传输控制协议/网际协议）是指能够在多个不同网络间实现信息传输的协议簇。TCP/IP协议不仅仅指的是TCP 和IP两个协议，而是指一个由FTP、SMTP、TCP、UDP、IP等协议构成的协议簇， 只是因为在TCP/IP协议中TCP协议和IP协议最具代表性，所以被称为TCP/IP协议。TCP/IP传输协议是严格来说是一个四层的体系结构，应用层、传输层、网络层和数据链路层都包含其中。           ]]></description><category></category></item><item><title><![CDATA[Windows基础命令]]></title><link>https://blog.youkuaiyun.com/F2444790591/article/details/125285424</link><guid>https://blog.youkuaiyun.com/F2444790591/article/details/125285424</guid><author>F2444790591</author><pubDate>Tue, 14 Jun 2022 22:02:45 +0800</pubDate><description><![CDATA[windows基础命令]]></description><category></category></item></channel></rss>