zakefine的博客

密探是一款功能强大的网络安全工具，集资产收集、端口扫描、子域名爆破、指纹识别、敏感信息探测等功能于一体。支持多平台安装，Windows用户需注意JDK11+需配置JavaFX-SDK才能正常运行。工具提供丰富的搜索引擎语法自动生成和多种资产测绘平台支持，适用于全面的渗透测试需求。安装过程简单，Linux/Mac通过sh脚本启动，Windows用户需修改bat文件配置JavaFX路径后即可使用。该工具界面友好，是网络安全从业人员的实用助手。

密评介绍。

PATH是一个环境变量。它定义了操作系统在执行命令时搜索可执行文件的路径列表。当在终端中输入一个命令，系统会根据PATH变量中列出的目录顺序，依次查找对应的可执行文件，直到找到为止。

Shell 脚本是一种为 Shell（命令行解释器）编写的脚本程序。它是一系列命令的集合，这些命令可以是系统命令、实用工具命令或者是其他已经安装的程序的调用命令，通过将这些命令按顺序组合在一个文本文件中，让 Shell 能够自动地依次执行它们，从而实现自动化的任务处理。

看一百遍不如实际操作一遍，看完本是否跃跃欲试了呢。温馨提示，请在虚拟环境进行实验，以免造成不必要的损失。

HTML（HyperText Markup Language）即超文本标记语言，它是一种用于创建网页的标准标记语言。所谓 “标记语言”，是指通过一系列的标签（tag）来描述文档的结构和内容。超文本（HyperText）这一概念意味着文档中可以包含链接，这些链接能够指向其他文档或者同一文档的不同部分，从而形成一个相互关联的网络。例如，一个简单的 HTML 文档可以包含文本、图像、链接等元素，浏览器能够读取这些 HTML 代码，并将其渲染成可视化的网页呈现在用户面前。

本文以0708举例。Windows系列服务器于2019年5月15号， 被爆出高危漏洞， 该漏洞影响范围较广， windows 2003、windows 2008、windows 2008R2、windowsxp等系统都会遭到攻击，该服务器漏洞利用方式是通过远程桌面端口3389， RDP协议进行攻击的。CVE-2019-0708漏洞是通过检查用户的身份认证，导致可以绕过认证， 不用任何的交互， 直接通过rdp协议进行连接发送恶意代码执行命令到服务器中去。

文件要能看懂源码，并进行实际操作，这样才能加深印象。

云安全是指一系列用于保护云计算环境中数据、应用程序、基础设施和用户免受各种安全威胁的策略、技术和措施。它涵盖了云计算服务提供商和使用云服务的用户共同的安全责任，涉及数据在云端存储、处理和传输过程中的完整性、保密性和可用性。

CMD命令是 Windows 操作系统中的命令行工具，通过输入命令来执行各种系统任务。以下是一些常见的 CMD 命令介绍

软连接文件包含目标文件的路径，当访问软连接时，系统会自动跳转到目标文件。所有硬连接都指向同一个inode，即同一份数据。"g+rw"表示文件所属组（group）增加读（r）、写（w）权限，“+"表示增加权限，”-“表示减少权限。“-exec rm -rf {} ”表示对找到的每个结果执行“rm -rf"命令，即删除找到的文件和目录。删除目标文件或硬链接文件不会影响其他硬链接，只有当所有硬连接被删除后，文件数据才会真正被删除。"u=rw"表示文件所有者（user）具有读（r）、写（w）、执行（x）权限。

声明：学习视频来自B站up主有兴趣的师傅可以关注一下，如涉及侵权马上删除文章。笔记只是方便各位师傅的学习和探讨，文章所提到的网站以及内容，只做学习交流，其他均与本人以及泷羽sec团队无关，切勿触碰法律底线，否则后果自负！

从以上实验可以得出，参数传递一般为nn表示数字，可递增），n(n表示数字，可递增），nn表示数字，可递增），*是将参数当做统一的字符串显示出来，而是将每个字符串当做独立的字符串显示，这也是@是将每个字符串当做独立的字符串显示，这也是是将每个字符串当做独立的字符串显示，这也是*和的区别。@的区别。的区别。#代表参数的个数，？是查看命令执行状态的，如果显示为0，则命令就是正常执行的，其他数字就是出错。？是查看命令执行状态的，如果显示为0，则命令就是正常执行的，其他数字就是出错。？

超文本传输协议（Hypertext Transfer Protocol，HTTP）是一个简单的请求-响应协议，它通常运行在TCP之上。它指定了客户端可能发送给服务器什么样的消息以及得到什么样的响应。请求和响应消息的头以ASCII形式给出；而消息内容则具有一个类似MIME的格式。超文本传输协议是一种用于分布式、协作式和超媒体信息系统的应用层协议，是万维网WWW（World Wide Web）的数据通信的基础。

1、安装好python环境，python版本选择3.9以下的；2、不要使用最新的BurpSuite，会报错；

CSRF概念CSRF（Cross - Site Request Forgery），跨站请求伪造。它是一种网络安全漏洞，攻击者通过诱导用户访问恶意网站，利用用户当前已登录的身份在被攻击的网站（目标网站）执行非用户本意的操作。

XML 指可扩展标记语言（EXtensible Markup Language）XML 是一种标记语言，很类似 HTMLXML 的设计宗旨是传输数据，而非显示数据XML 标签没有被预定义。需要自行定义标签。XML 被设计为具有自我描述性。XML 是W3C 的推荐标准XML 被设计为传输和存储数据，其焦点是数据的内容。HTML 被设计用来显示数据，其焦点是数据的外观。

同源策略是浏览器的一个安全功能，它规定了来自一个源的脚本在没有特殊授权的情况下，不能访问或操作来自其他源的文档、对象或脚本等资源。这里的 “源” 由协议、域名和端口号共同决定，只有当这三个部分都完全相同时，才被认为是同源。

Base64是网络上最常见的用于传输8Bit字节码的编码方式之一，Base64就是一种基于64个可打印字符来表示二进制数据的方法。Base64，就是包括小写字母a-z、大写字母A-Z、数字0-9、符号"+“、”/"一共64个字符的字符集。

点击change font。

练习xss-labs靶场就像做题目一样，知道有答案，所以心里压力会小很多，如果多次尝试还没有思路的时候，可以参考一下本文的内容。Level 14靶场引用的链接失效，无法完成实验，Level 17-20需要使用到Flash插件，因为Flash已经停用，了解一下即可！

用于在网络应用环境间安全传递声明。通常用于身份验证和信息交换，因其紧凑、自包含且易于传输的特性而被广泛使用。JWT 由三部分组成，用点号.分隔：Header（头部）、Payload（负载）、Signature（签名）

建议在虚拟机中安装，后期如果有问题可以通过快照恢复，而且不会造成数据库混乱。这个主要是对一些靶场和网站无法兼容最新版本，可以下载以前的版本。修改用户名为刚才查看的用户名和密码，修改完保存退出。如果提示：没有’pikachu’数据库，不用管它。安装步骤就按照常规软件进行操作就好。把鼠标放到密码上即可显示密码。安装路径为全英文路径。这样就可以开始练习了。

One-Fox集成工具箱是由One-Fox安全团队开发的一款工具，里面集成了多种网络安全测试工具。

XSS 是跨站脚本攻击（Cross-Site Scripting）的缩写，为避免与前端叠成样式表的缩写"CSS"冲突，故又称XSS。XSS 漏洞主要是因为 Web 应用程序没有对用户输入的数据进行充分的验证和过滤，或者没有正确地对输出内容进行编码，从而导致攻击者可以将恶意脚本注入到网页中，这些恶意脚本能够在受害者的浏览器中执行。

SSRF（Server - Side Request Forgery），服务器端请求伪造漏洞，攻击者利用该漏洞，通过目标服务器发起对其他服务器或服务的恶意请求。

文件包含漏洞是指由于应用程序在包含文件时，没有对包含文件的路径和内容进行严格的验证和过滤，导致攻击者可以利用这个机制，让服务器包含并执行非预期的文件。

​Shodan，是一款网络空间搜索引擎，Shodan所搜集到的信息是极其惊人的，可搜索连接到互联网的各种类型的服务器（网络摄像头、路由器、服务器等）。