02 2019 档案
摘要：章节回顾： 《TCP/IP详解卷1：协议》第1章 概述-读书笔记 《TCP/IP详解卷1：协议》第2章 链路层-读书笔记 《TCP/IP详解卷1：协议》第3章 IP：网际协议（1）-读书笔记 《TCP/IP详解卷1：协议》第3章 IP：网际协议（2）-读书笔记 《TCP/IP详解卷1：协议》第4章
阅读全文
摘要：Web安全视频 Online-Security-Videos – 红日Web安全攻防视频 Online-Security-Videos – 西安鹏程网络安全攻防课程 Online-Security-Videos – Vulhub系列视频 Online-Security-Videos – 米斯特Web
阅读全文
摘要：今天看到$sql = "SELECT * FROM admin WHERE pass = '".md5($password,true)."'";这样一个sql，其实可以注入。 思路比较明确，当md5后的hex转换成字符串后，如果包含'or'<trash>这样的字符串，那整个sql变成 SELECT
阅读全文
摘要：线上版本： http://evilcos.me/security_skill_tree_basic/index.html 安全技能树简版 HTTP Burp Suite https://portswigger.net/burp/ 很多时候，免费版本已经满足需求 Fiddler http://www.
阅读全文
摘要：Java反序列化漏洞简介 Java序列化就是把对象转换成字节流，便于保存在内存、文件、数据库中，Java中的 ObjectOutputStream 类的writeObject()方法可以实现序列化。 Java反序列化即逆过程，由字节流还原成对象。ObjectInputStream类的readObje
阅读全文
摘要：Firefox下 Firebug，调试js，HTTP请求响应观察，Cookie，DOM树观察等； GreaseMonkey，自己改了个Cookie修改脚本，其他同学可以用这款：Original Cookie Injector for Greasemonkey； Noscript，进行一些js的阻断；
阅读全文
摘要：前言 对于xxe漏洞的认识一直都不是很清楚，而在我为期不长的挖洞生涯中也没有遇到过，所以就想着总结一下，撰写此文以作为记录，加深自己对xxe漏洞的认识。 xml基础知识 要了解xxe漏洞，那么一定得先明白基础知识，了解xml文档的基础组成。 XML用于标记电子文件使其具有结构性的标记语言，可以用来标
阅读全文
摘要：XSS’OR这是一个在线免费的前端黑工具，目前主要包含 3 大模块： 1. Encode/Decode 加解密模块，包含：前端黑相关的加解密，代码压缩、解压、美化、执行测试，字符集转换，哈希生成，等。 2. Codz 代码模块，包含：CSRF 请求代码生成，AJAX 请求代码生成，XSS 攻击矢量，
阅读全文
摘要：★ Order by 注入本文所说的 Order by注入的题目在：Injection Flaws -> SQL injection(mitigation) -> 第8页的题目。网址为：http://127.0.0.1:8080/WebGoat/start.mvc#lesson/SqlInjecti
阅读全文
摘要：WebGoat SQL盲注 解题思路 ★ 题目：SQL Injection (advanced)地址： http://127.0.0.1:8080/WebGoat/start.mvc#lesson/SqlInjectionAdvanced.lesson/4 题目要求最终以Tom的身份登录到系统中。
阅读全文
摘要：概述 wavsep 是一款基于java的简单web攻防靶场，利用最简单的jsp技术进行实现。 GitHub地址为 https://github.com/sectooladdict/wavsep。 部署后首页截图 部署 从git上下载包后，倒入eclipse中，修复jdk版本号即可。wavsep使用的
阅读全文
摘要：概述 这是 WebGoat 的最后一部分，主要内容是 WebGoat中的Challenge，前面还有 1 和 2。 Challenge Admin lost password 本题目的服务端源代码。 @AssignmentPath("/challenge/1") public class Assig
阅读全文
摘要：概述 解除CTF也有很多年了，但是真正的将网上的题目通关刷题还是没有过的，同时感觉水平下降的太厉害，这两个月准备把网上目前公开有的CTF环境全部刷一遍，同时收集题目做为素材，为后面的培训及靶场搭建做好准备。本文是2018年7月8日前所有密码类的题目通关Writeup。 Writeup 变异凯撒 普通
阅读全文
摘要：Web题目系列4 上传绕过 题目链接 http://shiyanbar.com/ctf/1781 题目描述 bypass the upload 格式：flag{} 解题思路 随意上传文件，发现提示只能上传图片文件，上传图片后，看到发送包的内容为 推测最后保存文件的名称为dir + filename，
阅读全文
摘要：Web题目系列3 让我进去 题目链接 http://shiyanbar.com/ctf/1848 题目描述 相信你一定能拿到想要的 Hint:你可能希望知道服务器端发生了什么。。 格式：CTF{} 解题思路 用burpsuite抓包后，发现cookie里有一个字段source=0，修改为1后获取源码
阅读全文
摘要：Web题目系列2 登陆一下好吗?? 题目链接 http://shiyanbar.com/ctf/1942 题目描述 不要怀疑,我已经过滤了一切,还再逼你注入,哈哈哈哈哈! flag格式：ctf{xxxx} 解题思路 一个万能密码问题，多试试就可以了。 username: ''=' password:
阅读全文
摘要：概述 解除CTF也有很多年了，但是真正的将网上的题目通关刷题还是没有过的，同时感觉水平下降的太厉害，这两个月准备把网上目前公开有的CTF环境全部刷一遍，同时收集题目做为素材，为后面的培训及靶场搭建做好准备。本文是2018年7月8日前所有Web类的题目通关Writeup。 Writeup 简单的登录题
阅读全文
摘要：概述 由于上一篇文章 Web安全攻防靶场之WebGoat - 1 过长，这里分开写后面内容 使用 Cross-Site Scripting (XSS) 跨站脚本攻击，跨站脚本分为三类 1. Reflected XSS Injection 反射型xss 通过一个链接产生的xss叫做反射型xss，所有恶
阅读全文
摘要：概述 WebGoat是OWASP组织研制出的用于进行web漏洞实验的Java靶场程序，用来说明web应用中存在的安全漏洞。WebGoat运行在带有java虚拟机的平台之上，当前提供的训练课程有30多个，其中包括：跨站点脚本攻击（XSS）、访问控制、线程安全、操作隐藏字段、操纵参数、弱会话cookie
阅读全文
摘要：Google Hack技术 目前黑客利用Google Hack技术来进行入侵或资料收集的时候主要有以下几点： ①、在入侵之前，可以利用Google Hack技术进行信息收集，典型的有比如查找网站后台及网站的拓扑结构等等。 ②、当发现或者公布某个漏洞之后，利用Google Hack技术大量收集存在这个
阅读全文
摘要：漏洞及渗透练习平台： WebGoat漏洞练习环境 https://github.com/WebGoat/WebGoat https://github.com/WebGoat/WebGoat-Legacy Damn Vulnerable Web Application(漏洞练习平台) https://
阅读全文
摘要：1、肉鸡 所谓“肉鸡”是一种很形象的比喻，比喻那些可以随意被我们控制的电脑，对方可以是WINDOWS系统，也可以是UNIX/LINUX系统，可以是普通的个人电脑，也可以是大型的服务器，我们可以象操作自己的电脑那样来操作它们，而不被对方所发觉。 2、木马 就是那些表面上伪装成了正常的程序，但是当这些被
阅读全文
摘要：第一周：入门 在学习的时候，你起码需要对常见的黑客术语需要掌握，了解术语的话可以去看看黑客专业术语大全，写的还是可以，对大多数的黑客术语都有过渡，而且对计算机网络原理需要有着一定的基础，所以务必要去学习一下。 了解好黑客术语后，你可能就会认为，我现在是不是就能去入侵别人家的电脑、网站挂黑页了？ No
阅读全文
摘要：对TCP/IP、UDP、Socket编程这些词你不会很陌生吧？随着网络技术的发展，这些词充斥着我们的耳朵。那么我想问：1. 什么是TCP/IP、UDP？2. Socket在哪里呢？3. Socket是什么呢？4. 你会使用它们吗？什么是TCP/IP、UDP？ TCP/IP（Transmission
阅读全文
摘要：ref:https://www.anquanke.com/post/id/85910 Web Service 渗透测试从入门到精通 发布时间：2017-04-18 14:26:54 译文声明:本文是翻译文章，文章原作者，文章来源：exploit-db.com 原文地址：https://www.exp
阅读全文
摘要：对于喜欢逛博客的人来说，看别人的博客确实能够对自己有不小的提高，有时候看到特别好的博客想转载下载，但是不能一个字一个字的敲了，这时候我们就想快速转载别人的博客，把别人的博客移到自己的空间里面，当然有人会说我们可以收藏博客啊，就不需要转载，(⊙o⊙)… 也对。。 实现 因为我自己当初想转载的时候却不知
阅读全文
摘要：这几天，阅读RFC2616认真学习一遍HTTP/1.1协议，一直认为要做互联网开发的话，一定要对于HTTP协议烂熟于胸，于是下定决心要将这个协议好好理解一遍。这两天，工作之余，拿着RFC就在那里读，对于HTTP协议有了不错的理解，对于其中的字段与机制有了一定的理解，于是静下心来，好好总结一下这两天的
阅读全文