随笔分类 -  web安全学习

摘要:JNDI注入 什么是JNDI JNDI全称为 Java Naming and Directory Interface(Java命名和目录接口),是一组应用程序接口,为开发人员查找和访问各种资源提供了统一的通用接口,可以用来定义用户、网络、机器、对象和服务等各种资源。 JNDI支持的服务主要有:DNS 阅读全文
posted @ 2023-09-11 15:01 了了青山见 阅读(813) 评论(0) 推荐(0) 编辑
摘要:预编译 编译器在编译sql语句时,会依次进行词法分析、语法分析、语义分析等操作, 预编译技术会让数据库跳过编译阶段,也就无法就进行词法分析,关键字不会被拆开,注入语句也就不会被识别为SQL的关键字,从而防止恶意注入语句改变原有SQL语句本身逻辑。 Java_JDBC注入 在使用JDBC进行数据库操作 阅读全文
posted @ 2023-09-10 22:17 了了青山见 阅读(199) 评论(0) 推荐(0) 编辑
摘要:# Web攻防--JS算法逆向--断点调试--反调试&&代码混淆绕过 ## JS算法逆向 在进行渗透测试过程中,在一些功能点进行参数注入或者枚举爆破等过程中,会出现参数进行加密的情况,但是我们输入参数并不是加密状态,即便测试点存在漏洞也不可能测试成功,这时候便需要将所提交参数进行加密后在进行注入,针 阅读全文
posted @ 2023-08-31 20:51 了了青山见 阅读(1808) 评论(5) 推荐(0) 编辑
摘要:# SQL注入 mysql注入目的:获取当前web权限 ## mysql注入--常规查询&union联合查询 1. MYSQL--Web组成架构 服务器搭建web服务可能存在多个站点搭建在一台服务器中,数据集中存储在数据库中,因此对数据库的管理也可以分为两种架构: 统一用户管理数据库,即对所有站点数 阅读全文
posted @ 2023-08-28 16:39 了了青山见 阅读(995) 评论(1) 推荐(2) 编辑
摘要:# web攻防--PHP反序列化 ## 漏洞简介 序列化:把对象转换为字节序列的过程,即把对象转换为可以存储或传输的数据的过程。例如将内存中的对象转换为二进制数据流或文件,在网络传输过程中,可以是字节或是XML等格式。 反序列化:把字节序列恢复为对象的过程,即把可以存储或传输的数据转换为对象的过程。 阅读全文
posted @ 2023-08-14 17:16 了了青山见 阅读(58) 评论(0) 推荐(0) 编辑
摘要:# Web通用漏洞--文件上传 ## 概述 文件上传安全指的是攻击者通过利用上传实现后门的写入连接后门进行权限控制的安全问题,对于如何确保这类安全问题,一般会从原生态功能中的文件内容,文件后缀,文件类型等方面判断,但是漏洞可能不仅在本身的代码验证逻辑中出现安全问题,也会在语言版本,语言函数,中间件, 阅读全文
posted @ 2023-08-13 16:46 了了青山见 阅读(59) 评论(0) 推荐(0) 编辑
摘要:# web攻防--xxe实体注入 ## 漏洞简介 XML 外部实体注入(也称为 XXE)是一种 Web 安全漏洞,允许攻击者干扰应用程序对 XML 数据的处理。它通常允许攻击者查看应用程序服务器文件系统上的文件,并与应用程序本身可以访问的任何后端或外部系统进行交互。 在某些情况下,攻击者可以利用 X 阅读全文
posted @ 2023-08-13 16:42 了了青山见 阅读(110) 评论(0) 推荐(0) 编辑
摘要:# Web通用漏洞--RCE ## 漏洞简介 RCE远程代码/命令执行漏洞,可以让攻击者直接向后台服务器远程注入操作系统命令或者代码,从而控制后台系统。 RCE漏洞也分为代码执行漏洞和命令执行漏洞,所谓代码执行即通过漏洞点注入参数而使用源代码进行相应的操作,所谓的命令执行就是通过漏洞点注入参数使用源 阅读全文
posted @ 2023-08-13 16:41 了了青山见 阅读(96) 评论(0) 推荐(0) 编辑
摘要:# Web通用漏洞--SSRF ## 漏洞简介 SSRF(Server-Side Request Forgery:服务器端请求伪造) 一种由攻击者构造形成由服务端发起请求的一个安全漏洞; 一般情况下,SSRF攻击的目标是从外网无法访问的内部系统。正是因为它是由服务端发起的,所以它能够请求到与它相连而 阅读全文
posted @ 2023-08-13 16:41 了了青山见 阅读(36) 评论(0) 推荐(0) 编辑
摘要:# Web通用漏洞--CSRF ## 漏洞简介 CSRF(Cross Site Request Forgery, 跨站请求伪造/客户端请求伪造),即通过伪造访问数据包并制作成网页的形式,使受害者访问伪造网页,同时触发伪造的请求而达到攻击效果的一种手段。 ![在这里插入图片描述](https://im 阅读全文
posted @ 2023-08-13 16:40 了了青山见 阅读(25) 评论(0) 推荐(0) 编辑
摘要:# Web通用漏洞--XSS ## XSS原理 XSS称为跨站脚本攻击,这种漏洞利用通常是被动性攻击,即需要受害者做出某些行为来配合攻击行为,才能达到攻击效果 XSS的原理是恶意攻击者往 Web 页面里插入恶意可执行网页脚本代码,当用户浏览该页之时,嵌入其中 Web 里面的脚本代码会被执行,从而可以 阅读全文
posted @ 2023-08-13 16:38 了了青山见 阅读(276) 评论(0) 推荐(0) 编辑
摘要:# Web通用漏洞--文件包含 ## 文件包含原理 在项目开发过程中,开发人员通常会将重复使用的函数写入单个文件中,在使用该类函数时,直接调用文件即可,无需重新编写,这种调用文件的过程成为文件包含。在文件包含过程中,如果用户可以控制所包含的文件,则为文件包含漏洞。 ## 文件包含函数 PHP:inc 阅读全文
posted @ 2023-08-13 16:34 了了青山见 阅读(60) 评论(0) 推荐(0) 编辑

点击右上角即可分享
微信分享提示