SuperZedLv的博客

文件包含漏洞原理程序开发人员一般会把重复使用的函数写到单个文件中，需要使用某个函数时直接调用此文件，而无需再次编写，这种文件调用的过程一般被称为文件包含。通过函数包含文件时，由于没有对包含的文件名进行有效的过滤处理，被攻击者利用从而导致了包含了Web根目录以外的文件进来，就会导致文件信息的泄露甚至注入了恶意代码。分类 本地文件包含 被包含的文件在本地服务器中。 远程文件包含 被包含的文件在第三方服务器中。文件包含函数 a、include()：只有代码

什么是CSRF漏洞？跨站请求伪造，就是黑客以被攻击者的名义发送请求，完全合规合法。CSRF原理A站点存在CSRF漏洞、B站点为黑客伪造包含A站点正常请求链接的站点。1）当被攻击者打开A站点，进行身份验证，登陆成功。A站点服务端返回给被攻击者的浏览器身份验证Cookie。被攻击者可以在A站点正常发送请求。2）黑客伪造一个B站点其中包含A站点的某一请求(如转账请求)/广告图片包含A站点的请求。3）黑客将B站点发送给被攻击者，被攻击者用打开A站点的浏览器打开B站点并触发黑客伪造的A站点请求。4）这样

01 命令执行漏洞即黑客可以通过控制参数执行系统命令，形成原因是开发人员对用户输入参数安全检查不足从而导致的恶意命令执行。02 常见的系统命令执行函数Php命令执行函数eval()函数、assert()、preg_replace()、call_user_func()等。Java命令执行函数exec()函数等。03 实战 目标 Ubuntu16.04 DVWA系统 IP：192.168.1.5 攻击 Kali Linux

f = open('/Users/superzedlv/Desktop/yanzhengma.txt','w')start = 0000end = 10000print len(str(end))b = ''#line = f.readline()for i in range(start,end): if len(str(i))==3: b = '0'+str(...

00x 什么是sql注入sql注入是一种将sql代码插入或添加到应用（用户）的输入参数中，之后再将这些数据传递给后台的sql服务器加以解析并执行的攻击。01x sql注入产生的过程如果开发人员无法确保在从Web表单、cookie、输入参数等收到的值传递给sql查询之前已经对其进行验证，通常就会出现sql注入漏洞。02x sql注入分类：按照注入点类型分类分为：数字型、字符型 、搜索型...

**sql注入**简介：所谓SQL注入，就是通过把SQL命令插入到Web表单提交或输入域名或页面请求的查询字符串，最终达到欺骗服务器执行恶意的SQL命令。Target：http://192.168.8.142:8080/test/sqlinsert?id=21、判断目标站点是否存在sql注入漏洞（判断方法加入永真条件永假条件...