goldfish8848的博客

跨站点的请求请求是伪造的（假装可信）Cross-Site Request Forgery，跨站请求伪造。它是一种挟持用户在当前已登陆的Web应用程序上执行非本意的操作的攻击方法。同源策略是浏览器的一个安全功能，不同源的客户端脚本在没有明确授权的情况下，不能读写对方资源。所以xyz.com下的js脚本采用ajax读取abc.com里面的文件数据会被拒绝同源策略限制了从同一个源加载的文档或脚本如何与来自另一个源的资源进行交互。这是一个用于隔离潜在恶意文件的重要安全机制。

应用未对用户输入做严格的检查过滤，导致用户输入得参数被当成命令来执行。

在网络通信中，有许多专业术语和概念，它们共同构成了网络通信的基础。

其实，SSL是TLS的前身，现在很多浏览器都不支持SSL，但SSL的名气很大。SSL用于在网络上进行安全通信。SSL的主要目的是为了保护在网络上传输的数据的安全性、完整性和机密性。HTTPS是在HTTP协议的基础上加入SSL/TLS协议的安全协议，可以确保网站与客户端之间的通信是加密的、安全的加密：SSL/TLS协议使用对称加密和非对称加密结合的方式，保证数据在传输过程中的安全性。对称加密用于加密数据，非对称加密用于在客户端和服务器之间交换密钥。

开发人员将需要重复调用的函数写入一个文件，对该文件进行包含时产生的操作。这样编写代码能减少冗余，降低代码后期维护难度。保证网站整体风格统一：导航栏、底部footer栏等，把这些不会变的东西包含在一个文件中，可以保证整体效果的统一和代码量的减少。

将客户端数据以文件形式封装，通过网络协议发送到服务器端，在服务器解析数据，最终在服务端硬盘上作为真实的文件保存。

文件上传漏洞是指由于程序员在对用户文件上传部分的控制不足或者处理缺陷，导致用户可以越过其本身权限向服务器上上传可执行的动态脚本文件。这些文件可以是木马、病毒、恶意脚本或者WebShell等。“文件上传”本身没有问题，有问题的是文件上传后，服务器怎么处理、解释文件。如果服务器的处理逻辑做得不够安全，则会导致严重的后果。

MySQL其实是DBMS软件系统，也就是说MySQL并不是一个数据库，这是很多人的误区。我们经常听到的Oracle，MySQL，微软SQL Server，都是DBMS软件系统，我们只是通过这些系统来管理和维护数据库而已，DBMS相当于用户和数据库之间的桥梁。目前有超过300种不同的DBMS系统，我们今天要学习的MySQL是关系型数据库，关系型数据库的数据存储模型很像Excel，用行和列组织数据。操作关系型的DBMS系统，大多数都是用SQL来管理数据，学会了SQL，就相当于学会了这些DBMS的核心。

本篇我们继续来深入SQL注入漏洞有个困扰计算机多年的问题，就是“没法总是分清数据和指令”，这就是SQL注入的本质，这就是自然语言的弊端，即使是人类有时也分不清楚，密码是“12345678”还是“2444666668888888”。再来回顾一下SQL注入是如何产生的：Web应用程序对用户输入的数据没有进行过滤，或者过滤不严，就把SQL语句带进数据库进行查询。

SQL注入漏洞从1998年圣诞节大火以来长盛不衰，虽然开发人员想出各种方法对他进行围追堵截，却始终无法将其赶尽杀绝，SQL注入的根本原因就是将SQL代码插入或添加到应用（用户）的输入参数中的攻击，之后再讲这些参数传递给后台的SQL服务器加以解析并执行。

本文主要介绍数据库相关的基础知识，对之后SQL注入漏洞的学习有很大帮助

本篇为xss漏洞实验练习，练习网址来源于网络。

6. **避免内联事件**：避免在HTML中使用内联JavaScript事件处理器，如 `onLoad="onload('{{data}}')"` 或 `onClick="go('{{action}}')"`，因为这些容易受到XSS攻击。7. **避免拼接HTML**：前端采用拼接HTML的方法比较危险，如果可能，使用 `createElement`、`setAttribute` 等方法实现，或者采用成熟的渲染框架，如Vue或React。攻击者可能会尝试使用不同的字符编码或分隔符来绕过简单的输入验证。

跨站脚本（Cross-site Scripting）攻击，攻击者通过网站注入点注入客户端可执行解析的payload（脚本代码），当用户访问网页时，恶意payload自动加载并执行，以达到攻击者目的（窃取cookie、恶意传播、钓鱼欺骗等）为了避免与HTML中的CSS相混淆，通常称它为XSS。

网络安全基础——XSS前置知识，HTML基础梳理

网络安全基础知识

本章节主要介绍一些基础知识 d(^_^o)

它旨在提供一个可实践的安全训练环境，帮助安全专业人员、Web开发者以及爱好者们测试自己的技能，学习如何识别和修复Web应用中的安全漏洞。DVWA是一个易受攻击的PHP/MySQL Web应用程序，其主要目标是帮助安全专业人员在法律允许的环境中测试他们的技能和工具，帮助Web开发人员更好的了解和保护Web应用程序的过程。LAMP是指一组常用来搭建动态网站或者服务器的开源软件，本身都是各自独立的程序，但是因为常被放在一起使用，拥有了越来越高的兼容度，共同组成了一个强大的Web应用程序平台。

网络安全学习 - 前置梳理