- 博客(42)
- 资源 (5)
- 收藏
- 关注
RSS订阅原创 「第五篇」FUZZ模糊测试
批注 [……] 表示他人、自己、网络批注 参考资料来源于 * 书中批注 * 优快云 * GitHub * Google * 维基百科 * YouTube * MDN Web Docs 由于编写过程中无法记录所有的URL 所以如需原文，请自行查询 {……} 重点内容 *……* 表示先前提到的内容，不赘述外增其余Web攻击详解 「第五篇」FUZZ模糊测试 「5.1简介」 模糊测试是一种自动或半自动..
2022-03-26 21:26:04
847
原创 「第四篇」URL跳转漏洞
批注 [……] 表示他人、自己、网络批注 参考资料来源于 * 书中批注 * 优快云 * GitHub * Google * 维基百科 * YouTube * MDN Web Docs 由于编写过程中无法记录所有的URL 所以如需原文，请自行查询 {……} 重点内容 *……* 表示先前提到的内容，不赘述外增其余Web攻击详解 「第四篇」URL跳转漏洞 借助未验证的URL跳转，将应用程序引导到不安全的第三方区..
2022-03-26 21:25:53
790
原创 「第二篇」万能密码
批注 [……] 表示他人、自己、网络批注 参考资料来源于 * 书中批注 * 优快云 * GitHub * Google * 维基百科 * YouTube * MDN Web Docs 由于编写过程中无法记录所有的URL 所以如需原文，请自行查询 {……} 重点内容 *……* 表示先前提到的内容，不赘述外增其余Web攻击详解 「第二篇」万能密码 「2.1SQL万能密码」 admin' or 1=1..
2022-03-26 21:25:39
371
原创 「第一篇」序列化与反序列化
外增其余Web攻击详解 「第一篇」序列化与反序列化 「1.1Java序列化与反序列化」 1.1.1基本概念 1.1.1.1序列化和反序列化的定义 Java序列化就是指把Java对象转换为字节序列的过程 Java反序列化就是指把字节序列恢复为Java对象的过程 序列化最重要的作用 在传递和保存对象时保证对象的完整性和可传递性，对象转换为有序字节流，以便在网络上传输或者保存在本地文件中 反序列化最重要的作用 根据字节流.
2022-03-26 21:25:25
309
原创 「第十四章」PHP安全
「第三篇」服务器端应用安全 批注 [……] 表示他人、自己、网络批注 参考资料来源于 * 书中批注 * 优快云 * GitHub * Google * 维基百科 * YouTube * MDN Web Docs 由于编写过程中无法记录所有的URL 所以如需原文，请自行查询 {……} 重点内容 *……* 表示先前提到的内容，不赘述「第三篇」服务器端应用安全 「0.6本书结构」 就常见的服务器端应用安全问题.
2022-03-26 21:25:12
516
原创 「第十五章」Web Server配置安全
「第三篇」服务器端应用安全 批注 [……] 表示他人、自己、网络批注 参考资料来源于 * 书中批注 * 优快云 * GitHub * Google * 维基百科 * YouTube * MDN Web Docs 由于编写过程中无法记录所有的URL 所以如需原文，请自行查询 {……} 重点内容 *……* 表示先前提到的内容，不赘述「第三篇」服务器端应用安全 「0.6本书结构」 就常见的服务器端应用安全问题.
2022-03-26 21:24:57
344
原创 「第十三章」应用层拒绝服务攻击
「第三篇」服务器端应用安全 批注 [……] 表示他人、自己、网络批注 参考资料来源于 * 书中批注 * 优快云 * GitHub * Google * 维基百科 * YouTube * MDN Web Docs 由于编写过程中无法记录所有的URL 所以如需原文，请自行查询 {……} 重点内容 *……* 表示先前提到的内容，不赘述「第三篇」服务器端应用安全 「0.6本书结构」 就常见的服务器端应用安全问.
2022-03-26 21:24:28
597
原创 「第十二章」Web框架安全
「第三篇」服务器端应用安全 批注 [……] 表示他人、自己、网络批注 参考资料来源于 * 书中批注 * 优快云 * GitHub * Google * 维基百科 * YouTube * MDN Web Docs 由于编写过程中无法记录所有的URL 所以如需原文，请自行查询 {……} 重点内容 *……* 表示先前提到的内容，不赘述「第三篇」服务器端应用安全 「0.6本书结构」 就常见的服务器端应用安全问题.
2022-03-26 21:24:12
633
原创 暴破目标网站
import requestsimport threadingpsw = 0lock = threading.RLock()gotit = Falsecorrect = ""url = input('请输入目标网站 ')num_max = int(input('请输入已知密码的位数 '))num = ''num_1 = num_maxwhile True: if num_1 == 0: break else: num = nu.
2022-02-11 19:57:26
178
原创 ascii与UTF-8互换
'''coding:UTF-8'''# 导入字典ascii_two_positive = {' ':'0010 0000','!':'0010 0001','"':'0010 0010','#':'0010 0011','$':'0010 0100','%':'0010 0101','&':'0010 0110',"'":'0010 0111','(':'0010 1000',')':'0010 1001','*':'0010 1010','+':'0010 1011',',':'0010 1.
2022-02-11 19:56:24
3071
原创 代码审计准备工作
环境搭建wampwnmpphpstudyxampplamplnmp代码编辑器nodepededitplusuliraeditpspedphpdesignervimgeditphpstormnetbeanszend studio代码审计工具seayfortify SCARIPSfindbugscodescan漏洞验证burp suitefirebughackbarlive http headersmodify超级加解密转换工具灵者正则调试...
2022-02-11 19:50:42
2842
原创 「第十一章」加密算法与随机数
「第三篇」服务器端应用安全 批注 [……] 表示他人、自己、网络批注 参考资料来源于 * 书中批注 * 优快云 * GitHub * Google * 维基百科 * YouTube * MDN Web Docs 由于编写过程中无法记录所有的URL 所以如需原文，请自行查询 {……} 重点内容 *……* 表示先前提到的内容，不赘述.
2022-01-22 11:38:05
1188
原创 「第十章」访问控制
「第三篇」服务器端应用安全 批注 [……] 表示他人、自己、网络批注 参考资料来源于 * 优快云 * GitHub * Google * 维基百科 * YouTube * MDN Web Docs 由于编写过程中无法记录所有的URL 所以如需原文，请自行查询 {……} 重点内容 *……* 表示先前提到的内容，不赘述 「第三篇」服务器端应用安全 「0.6本书结构」 就常见的服务器端应用安全问题进行了阐述 这些.
2022-01-22 11:37:43
951
原创 「第九章」认证与会议管理
「第三篇」服务器端应用安全 「0.6本书结构」 就常见的服务器端应用安全问题进行了阐述 这些问题往往能引起非常严重的后果，在网站的安全建设之初需要优先解决这些问题，避免留下任何隐患 批注 [……] 表示他人、自己、网络批注 参考资料来源于 * 书中批注 * 优快云 * GitHub * Google * 维基百科 * YouTube * MDN Web Docs 由于编写过程中无法记录所有的URL 所以如需原文.
2022-01-22 11:37:28
187
原创 「第八章」文件上传漏洞
「第三篇」服务器端应用安全 批注 [……] 表示他人、自己、网络批注 参考资料来源于 * 书中批注 * 优快云 * GitHub * Google * 维基百科 * YouTube * MDN Web Docs ...
2022-01-22 11:37:00
3395
原创 「第七章」注入攻击
「第三篇」服务器端应用安全 批注 [……] 表示他人、自己、网络批注 参考资料来源于 * 书中批注 * 优快云 * GitHub * Google * 维基百科 * YouTube * MDN Web Docs ...
2022-01-22 11:36:41
616
原创 「第六章」HTML5安全
「第二篇」客户端脚本安全 批注 [……] 表示他人、自己、网络批注 参考资料来源于 * 书中批注 * 优快云 * GitHub * Google * 维基百科 * YouTube * MDN Web Docs ...
2022-01-22 11:36:19
312
原创 「第五章」点击劫持(ClickJacking)
「第五章」点击劫持(ClickJacking)「第五章」点击劫持(ClickJacking) 批注 [……] 表示他人、自己、网络批注 参考资料来源于 * 书中批注 * 优快云 * GitHub * Google * 维基百科 * YouT...
2022-01-22 11:35:59
945
原创 「第四章」跨站点请求伪造(CSRF)
「第四章」跨站点请求伪造(CSRF) 批注 [……] 表示他人、自己、网络批注 参考资料来源于 * 书中批注 * 优快云 * GitHub * Google * 维基百科 * YouTube * MDN Web Docs ...
2022-01-22 11:35:04
539
原创 「第十三篇」发展僵尸网络
批注 [……] 表示他人、自己、网络批注 参考资料来源于 * 书中批注 * 优快云 * GitHub * Google * 维基百科 * YouTube * MDN Web Docs 由于编写过程中无法记录所有的URL 所以如需原文，请自行查询 {……} 重点内容 *……* 表示先前提到的内容，不赘述外增其余Web攻击详解 「第十三篇」发展僵尸网络 「13.1简介」 僵尸网络的发展历程概括为5个阶..
2022-01-22 11:34:47
203
原创 「第一章」安全世界观
批注 [……] 表示他人、自己、网络批注 参考资料来源于 * 书中批注 * 优快云 * GitHub * Google * 维基百科 * YouTube * MDN Web Docs 由于编写过程中无法记录所有的URL 所以如需原文，请自行查询 {……} 重点内容 *……* 表示先前提到的内容，不赘述「第一篇」世界观安全 「0.6本书结构」 本篇是签署的纲领，在此篇中阐述了一些安全的历史(本笔记并未提出)..
2022-01-22 11:34:34
390
原创 「第二章」浏览器安全
批注 [……] 表示他人、自己、网络批注 参考资料来源于 * 书中批注 * 优快云 * GitHub * Google * 维基百科 * YouTube * MDN Web Docs 由于编写过程中无法记录所有的URL 所以如需原文，请自行查询 {……} 重点内容 *……* 表示先前提到的内容，不赘述「第二篇」客户端脚本安全 0.6本书结构 就当前比较流行的客户端脚本攻击进行了深入阐述，当网站的安全...
2022-01-22 11:34:14
2767
原创 「第十二篇」漏洞扫描
批注 [……] 表示他人、自己、网络批注 参考资料来源于 * 书中批注 * 优快云 * GitHub * Google * 维基百科 * YouTube * MDN Web Docs 由于编写过程中无法记录所有的URL 所以如需原文，请自行查询 {……} 重点内容 *……* 表示先前提到的内容，不赘述外增其余Web攻击详解 「第十二篇」漏洞扫描 「12.1网络漏洞扫描的三个阶段」 * 寻找目标..
2022-01-22 11:34:03
962
原创 「第十一篇」溢出
批注 [……] 表示他人、自己、网络批注 参考资料来源于 * 书中批注 * 优快云 * GitHub * Google * 维基百科 * YouTube * MDN Web Docs 由于编写过程中无法记录所有的URL 所以如需原文，请自行查询 {……} 重点内容 *……* 表示先前提到的内容，不赘述外增其余Web攻击详解 「第十一篇」溢出 「11.1基本数据类型」 * 整型 * 浮点型..
2022-01-22 11:33:51
70
原创 「第十篇」网络钓鱼
批注 [……] 表示他人、自己、网络批注 参考资料来源于 * 书中批注 * 优快云 * GitHub * Google * 维基百科 * YouTube * MDN Web Docs 由于编写过程中无法记录所有的URL 所以如需原文，请自行查询 {……} 重点内容 *……* 表示先前提到的内容，不赘述外增其余Web攻击详解 「第十篇」网络钓鱼 钓鱼攻击使用多种技术，一封电子邮件信息或网页的显示同其运行表现..
2022-01-22 11:33:39
187
原创 「第九篇」暴力破解
批注 [……] 表示他人、自己、网络批注 参考资料来源于 * 书中批注 * 优快云 * GitHub * Google * 维基百科 * YouTube * MDN Web Docs 由于编写过程中无法记录所有的URL 所以如需原文，请自行查询 {……} 重点内容 *……* 表示先前提到的内容，不赘述外增其余Web攻击详解 「第九篇」暴力破解 暴力破解攻击是最流行的密码破解方法之一，然而，它不仅仅是密码破..
2022-01-22 11:33:27
566
原创 「第八篇」中间人攻击
批注 [……] 表示他人、自己、网络批注 参考资料来源于 * 书中批注 * 优快云 * GitHub * Google * 维基百科 * YouTube * MDN Web Docs 由于编写过程中无法记录所有的URL 所以如需原文，请自行查询 {……} 重点内容 *……* 表示先前提到的内容，不赘述外增其余Web攻击详解 「第八篇」中间人攻击 https协议就是http+ssl协议 * https请..
2022-01-22 11:33:10
204
原创 「第七篇」路径遍历(目录遍历)
批注 [……] 表示他人、自己、网络批注 参考资料来源于 * 书中批注 * 优快云 * GitHub * Google * 维基百科 * YouTube * MDN Web Docs 由于编写过程中无法记录所有的URL 所以如需原文，请自行查询 {……} 重点内容 *……* 表示先前提到的内容，不赘述外增其余Web攻击详解 「第七篇」路径遍历(目录遍历) 「7.1简介」 路径遍历攻击也称为目录遍历..
2022-01-22 11:32:58
501
原创 「第六篇」0day漏洞
批注 [……] 表示他人、自己、网络批注 参考资料来源于 * 书中批注 * 优快云 * GitHub * Google * 维基百科 * YouTube * MDN Web Docs 由于编写过程中无法记录所有的URL 所以如需原文，请自行查询 {……} 重点内容 *……* 表示先前提到的内容，不赘述外增其余Web攻击详解 「第六篇」0day漏洞 「6.1简介」 通常是指还没有补丁的漏洞，也就是说..
2022-01-22 11:32:46
338
原创 「第一篇」介绍
「第一篇」介绍 批注 [……] 表示他人、自己、网络批注 参考资料来源于 * 书中批注 * 优快云 * GitHub * Google * 维基百科 * YouTube * MDN Web Docs 由于编写过程中无法记录所有的URL 所以如需原文，请自行查询 {……} 重点内容 *……* 表示先前提到的内容，不赘述「第一篇」介绍 「第一章」前言 [本章中的我均指Eoin Keary(OWASP董.
2022-01-22 11:32:31
2124
原创 「第三章」跨站脚本攻击(XSS)
批注 [……] 表示他人、自己、网络批注 参考资料来源于 * 书中批注 * 优快云 * GitHub * Google * 维基百科 * YouTube * MDN Web Docs 由于编写过程中无法记录所有的URL 所以如需原文，请自行查询 {……} 重点内容 *……* 表示先前提到的内容，不赘述「第二篇」客户端脚本安全 0.6本书结构 就当前比较流行的客户端脚本攻击进行了深入阐述，当网站的安全做到一..
2022-01-22 11:30:47
1718
转载 代码审计入门总结
0x00 整体学习代码审计的目标是能够独立完成对一个CMS的代码安全监测，其通用的思路有通读全文代码，从功能函数代码开始阅读，例如include文件夹下的common_fun.php，或者有类似关键字的文件 看配置文件，带有config关键字的文件，找到mysql.class.php文件的connect()函数，查看在数据库连接时是否出现漏洞 继续跟读首页文件index.php，了解程序运作时调用了哪些函数和文件以index.php文件作为标线，一层一层去扩展阅读所包含的文件，了解其功能，之后进
2021-12-04 11:50:11
665
转载 SSRF in PHP
漏洞简介SSRF(Server-side Request Forge, 服务端请求伪造)由攻击者构造的攻击链接传给服务端执行造成的漏洞，一般用来在外网探测或攻击内网服务漏洞利用自从煤老板的paper放出来过后，SSRF逐渐被大家利用和重视起来本地利用拿PHP常出现问题的cURL举例可以看到cURL支持大量的协议，例如file,dict,gopher,http➜ curl -V curl 7.43.0 (x86_64-apple-darwin15.0) libcurl/7.
2021-10-13 21:51:15
805
转载 如何在Python开发中拒绝SSRF漏洞
0x01 SSRF漏洞常见防御及绕过方法SSRF是一种常见的Web漏洞，于需要请求外部内容的逻辑存在中，比如本地化网络图片、XML解析时的外部实体注入、软件的离线下载等。 URL，提供代码直接请求这个URL，将造成SSRF漏洞具体表现在以下几个财团上：URL为内网IP或域名，攻击者可以通过SSRF漏洞扫描目标内网，并寻找内网内的漏洞，想办法快速瞄准 URL 中包含端口，攻击者可以扫描并发现内网中的其他服务，再进一步进行利用 当请求方法允许其他协议的时候，将可能使用gophar、file等协议
2021-10-13 21:25:07
496
原创 社会工程学参考资源
社工资源基础资源weakfilescan动态多线程敏感信息泄露测试工具传送门wafw00fWAF产品指纹识别传送门sslscanssl类型识别传送门bannerscanC段Banner与路径扫描传送门RASscan端口服务扫描传送门bypass_wafwaf自动暴破传送门传送门获取cdn背后的真实ip传送门BingC基于Bing搜索引擎的C段/旁站查询，多线程，支持API传送门DirBrute多线程WEB目录暴破工具传送
2021-10-10 11:11:36
398
转载 常见的Web漏洞——反序列化漏洞
漏洞简介序列化把对象转换为字节序列的过程，即把对象转换为可以存储或传输的数据的过程。例如将内存中的对象转换为二进制数据流或文件，在网络传输过程中，可以是字节或是XML等格式。反序列化把字节序列恢复为对象的过程，即把可以存储或传输的数据转换为对象的过程。例如将二进制数据流或文件加载到内存中还原为对象反序列化漏洞首次出现在2015。虽然漏洞较新，但利用十分热门，主要原因还是太过信任客户端提交的数据，容易被开发者忽略，该漏洞一般都可执行任意命令或代码，造成...
2021-10-04 21:32:06
762
转载 pwn学习手册
https://www.hoppersroppers.org/roadmap/training/pwning.html学习网站恶梦https://github.com/guyinatuxedo/nightmare/tree/master/modules在你过于关注它之前，我建议你同时学习这门课程，以提供更多关于不同开发课程正在发生的事情的学术背景。例如，当你接触到一个新的bug类型时，在跳到Nightmare材料之前，首先要完成这里的材料和实验室Aviv基于堆栈的二进制漏洞利用htt
2021-09-09 20:53:44
182
原创 其他Web安全
其他Web安全 批注 [……] 表示他人、自己、网络批注 参考资料来源于 * 优快云 * GitHub * Google * 维基百科 * YouTube * MDN Web Docs 由于编写过程中无法记录所有的URL 所以如需原文，请自行查询 {……} 重点内容 *……* 表示提到的内容，不赘述漏洞扫描 漏洞扫描 网络漏洞扫描的三个阶段 * 寻找目标主机或网络 * 在.
2021-09-04 21:02:38
518
原创 服务器端应用安全
「第二篇」客户端脚本安全 批注 [……] 表示他人、自己、网络批注 参考资料来源于 * 书中批注 * 优快云 * GitHub * Google * 维基百科 * YouTube * MDN Web Docs ...
2021-08-06 15:31:04
335
空空如也
TA创建的收藏夹 TA关注的收藏夹
TA关注的人