摘要：
#0：写在之前 我们之前在发掘漏洞的时候，找到了允许解析并执行script标签的漏洞，这里小小的谈一下关于这个的屏蔽方法。 #1：直接禁止有script字样出现 <!doctype html><html> <head> <meta charset="utf-8"> <title>login</tit 阅读全文
摘要：
#0：回顾一下 我们在part4中找到了主页面的XSS漏洞，编辑文档页面的XSS和执行任意脚本的问题，通过read页面的本地文件包含拿到了账号密码的xml文件，在part5中，我们通过一些手段不需要密码明文就可以登录，还通过read页面的本地文件包含访问了服务器上的cookie文件，同样拿到了别人的 阅读全文
摘要：
#0：挖掘密码 上一次是通过注册获得的session，这次就看一下登录页面有没有什么可以发掘的漏洞。打开登录页面，输入上一次注册时用的账号密码，点击登录，发现跳转到了和昨天一样的主页面，我们注销，然后再登录一次，但是要先把Burp suite打开并设置浏览器的代理，来看看能不能捕捉到登录请求。 发现 阅读全文
摘要：
#0：开始之前 因为是自己一个人搭建的网站，所以没有那么多的防护措施，只是一个演示，所以漏洞其实都很明显，与现实不符。但是因为马上要开学了（还是初三毕业班），所以没有那么多时间来编写适当的防护措施。所以看上去会很简单，但是主要是想了解方法，并不一定要特别难，掌握到方法就行了。 之前在搭建网站的过程中 阅读全文
摘要：
#0：注册页面 打开signup.php，编写如下代码： <?php function get_real_ip(){ //同前 $ip=false; if(!empty($_SERVER['HTTP_CLIENT_IP'])){ $ip=$_SERVER['HTTP_CLIENT_IP']; } i 阅读全文
摘要：
#0：主页面 开始编写index.php：网站的主页面。 其实最开始主页面上面没有什么太多的东西，废话不多说，上代码。 <!doctype html> <html> <head> <meta charset="utf-8"> <title>read online</title> <style>bod 阅读全文
摘要：
#0写在之前 最初是想用别人做好的网站来进行练习的，也没想过要把过程发表，但是在使用别人的东西的时候还是觉得不够方便（我最初用的是DVWA，但是无限报错是个很烦的东西），所以决心自己搭建练习用的服务器和网页。 在整个过程中其实我都比较随意，因为最初没有想过要发表，但是在做的过程中产生了这个念头，所以 阅读全文