10 2022 档案

命令执行学习

摘要：一、编写存在命令注入的代码 1.windows环境 <?php $target=$_REQUEST['ip']; $cmd = shell_exec('ping '.$target); echo "<pre>{$cmd}</pre>"; ?> 测试：http://127.0.0.1/1.php?ip 阅读全文

posted @ 2022-10-29 15:39 江公阅读(381) 评论(0) 推荐(0) 编辑

文件上传学习

摘要：一、编写一个文件上传的页面代码参考菜鸟教程：https://www.runoob.com/php/php-file-upload.html 结构： test | upload # 文件上传的目录 | form.html # 表单文件 | upload_file.php # php 上传代码创建文阅读全文

posted @ 2022-10-27 20:29 江公阅读(280) 评论(0) 推荐(0) 编辑

ssrf实战

摘要：一、ssrf原理服务器端请求伪造（SSRF）是指攻击者能够从易受攻击的Web应用程序发送精心设计的请求的对其他网站进行攻击。(利用一个可发起网络请求的服务当作跳板来攻击其他服务) 攻击者能够利用目标帮助攻击者访问其他想要攻击的目标攻击者要求服务器为他访问URL 二、漏洞利用 1.创建一个包含ss 阅读全文

posted @ 2022-10-26 16:23 江公阅读(237) 评论(0) 推荐(0) 编辑

xss实战

摘要：一、xss漏洞原理 1.什么是xss漏洞？跨站点脚本（也称为 XSS）是一种 Web 安全漏洞，允许攻击者破坏用户与易受攻击的应用程序的交互。它允许攻击者绕过同源策略，该策略旨在将不同的网站相互隔离。跨站点脚本漏洞通常允许攻击者伪装成受害者用户，执行用户能够执行的任何操作，并访问用户的任何数据。如阅读全文

posted @ 2022-10-25 14:33 江公阅读(441) 评论(0) 推荐(0) 编辑

页面解析的流程学习

摘要：一、域名解析的整个过程 1.域名和域名解析概念 a、域名域名（Domain names）是互联网基础架构的关键部分。它们为互联网上任何可用的网页服务器提供了方便人类理解的地址。域名格式：顶级域名：国家顶级域名nTLD：采用ISO3166的规定。如：cn代表中国，us代表美国，uk代表英国，等阅读全文

posted @ 2022-10-18 21:52 江公阅读(296) 评论(0) 推荐(0) 编辑

SQL注入payloads

摘要：一、sql注入payload收集 1、检测注入 a、注入字符串数据 1.插入单引号 http://xxx.xxx.com/?id=xxx' #观察是否造成错误，或者是否与原结果不同， 2.插入双引号 http://xxx.xxx.com/?id=xxx" #数据库用两个单引号表示转义序列，表示一个原阅读全文

posted @ 2022-10-14 17:52 江公阅读(4544) 评论(0) 推荐(0) 编辑

数据库内置系统表学习

摘要：一、MySQL数据库内置系统表 mysql5.7之后的版本自带数据库为 1.information_schema数据库这个库在mysql中就是个信息数据库，它保存着mysql服务器所维护的所有其他数据库的信息，包括了数据库名，表名，字段名等。在注入中，infromation_schema库的作用无阅读全文

posted @ 2022-10-12 16:41 江公阅读(478) 评论(4) 推荐(0) 编辑

sqlserver学习

摘要：一、什么是关系型和非关系型数据库，两者都包含那种数据库 1、关系型数据库关系型数据库是指采用了关系模型来组织数据的数据库。简单来说，关系模式就是二维表格模型。常见关系型数据库管理系统(ORDBMS)： Oracle、MySql、Microsoft SQL Server、 SQLite、Postg 阅读全文

posted @ 2022-10-07 19:54 江公阅读(501) 评论(0) 推荐(0) 编辑