2022年4月18日
Java代码审计漏洞-XSS漏洞
摘要： Java代码审计漏洞-XSS漏洞 基础知识 https://www.cnblogs.com/-meditation-/p/16168961.html 个人学习笔记，直接看代码，不写奇怪的东西，分析代码写注释。 情况一：反射型XSS //1. /** * Vuln Code. * ReflectXSS 阅读全文
posted @ 2022-04-18 18:14 九天揽月丶 阅读(693) 评论(0) 推荐(0) 编辑
【Vulfocus】CVE-2022-22965：Spring core RCE漏洞
摘要： 【Vulfocus】CVE-2022-22965：Spring core RCE漏洞 漏洞影响范围 1、JDK版本为9及以上 2、使用Spring框架及衍生框架的应用系统，版本低于5.3.18和5.2.20 3、目前公开的漏洞利用仅影响使用Tomcat中间件且开启了Tomcat日志记录的应用系统 漏 阅读全文
posted @ 2022-04-18 15:25 九天揽月丶 阅读(1193) 评论(0) 推荐(0) 编辑
2022年4月16日
Java代码审计漏洞-SQL注入
摘要： Java代码审计漏洞-SQL注入 基础知识 https://www.cnblogs.com/-meditation-/p/16031461.html https://www.cnblogs.com/-meditation-/p/16031338.html https://www.cnblogs.co 阅读全文
posted @ 2022-04-16 12:53 九天揽月丶 阅读(183) 评论(0) 推荐(0) 编辑
2022年4月15日
Web安全总结
摘要： Web安全总结 初心 ​ 2020年7月大学毕业，参加工作到现在，已经入安全行当1年半，学的东西很多、很杂，没有很好的知识体系结构，为了更好的沉淀自己，所以开始写博客，这篇文章是自己写web相关文章一个规划，将web的漏洞梳理一遍，入行一年，知识面远远不够，可能不全，后面经过时间的沉淀，后续在继续补 阅读全文
posted @ 2022-04-15 14:08 九天揽月丶 阅读(234) 评论(0) 推荐(0) 编辑
Web漏洞（七）综合利用
摘要： 综合利用 跨站脚本攻击(XSS) 漏洞描述 攻击者向Web页面里插入恶意的脚本代码（如javascript脚本），当用户浏览该Web页面时，嵌入其中的脚本代码会被执行，达到攻击用户的目的。 【高危】应用中存在存储型跨站 【中危】应用中存在反射型跨站 漏洞挖掘 1)针对web应用程序中每个页面上的用户 阅读全文
posted @ 2022-04-15 13:47 九天揽月丶 阅读(233) 评论(0) 推荐(0) 编辑
Web漏洞（六）权限相关漏洞
摘要： 权限相关漏洞 权限缺失 Flash跨域访问 漏洞描述 跨域：协议，域名，端口三者为域，既三者之间有一个不同即为跨域。 flash访问另一个域的数据，flash player 会自动从该域加载策略文件（crossdomain.xml）,如果访问的数据所在的域名在策略文件中设置过允许访问，则该域的数据即 阅读全文
posted @ 2022-04-15 13:45 九天揽月丶 阅读(522) 评论(0) 推荐(0) 编辑
Web漏洞（五）防护功能相关漏洞
摘要： 防护功能相关漏洞 防护功能失效 账号弱锁定机制 漏洞描述 低危漏洞，系统帐号锁定时间太短，账户在多次尝试失败后锁定时间低于 3 分钟。 漏洞挖掘 直接爆破，看锁定账户时间是否充分。 修复方式 多次输入登陆失败，锁定账户时间超过3分钟 图形验证码可自动获取 漏洞描述 低危漏洞，图形验证码过于简单，可使 阅读全文
posted @ 2022-04-15 13:44 九天揽月丶 阅读(863) 评论(0) 推荐(0) 编辑
Web漏洞（四）业务相关漏洞
摘要： 业务相关漏洞 业务逻辑篡改 密码修改/重置流程跳过 漏洞描述 高危漏洞，密码修改功能常采用分步骤方式来实现，攻击者在未知原始密码的情况下绕过某些检验步骤修改用户密码。有些密码修改／重置流程采用step=1、step=2类似的方式实现，如果应用校验不全面，攻击者可绕过前面的步骤，直接访问最后一步，输入 阅读全文
posted @ 2022-04-15 13:42 九天揽月丶 阅读(423) 评论(0) 推荐(0) 编辑
2022年4月7日
MS SQL注入
摘要： #MS SQL注入 简介 SQL Server 是一个关系数据库管理系统。经常与asp或者aspx一起使用，SQL Server是一个可扩展的、高性能的、为分布式客户机/服务器计算所设计的数据库管理系统，实现了与WindowsNT的有机结合，提供了基于事务的企业级信息管理系统方案。 基础知识 系统自 阅读全文
posted @ 2022-04-07 15:42 九天揽月丶 阅读(1402) 评论(0) 推荐(0) 编辑
ORACLE SQL 注入
摘要： #ORACLE SQL 注入 简介 Oracle Database，又名Oracle RDBMS，或简称Oracle。是甲骨文公司的一款关系数据库管理系统，此数据库体量较大，一般与jsp网站联合。其注入原理与MySQL一致。 基础知识 //注释符 多行注释:/**/,单行注释:-- 1.dual表 阅读全文
posted @ 2022-04-07 15:25 九天揽月丶 阅读(2352) 评论(0) 推荐(0) 编辑