九天

摘要：一：HTTP协议解析 1.HTTP协议即超文本传输协议，是一种详细规定了浏览器和万维网服务器之间互相通信的规则，他是万维网交换信息的基础，它允许将HTML（超文本标记语言）文档从web服务器传送到web浏览器。 2.发起一个HTTP请求 ①借助浏览器可以发起一个HTTP请求，输入URL ②不借助浏览 阅读全文

摘要：MD5的破解方法目前分为两类：一类为彩虹表破解；一类为专业的MD5破解站点。 1.彩虹表 彩虹表是一个庞大的、针对各种可能的字母组合预先计算好的哈希值的集合。彩虹表不仅针对MD5算法，主流的算法都有对应的彩虹表。利用它可以快速的破解各类密码。越是复杂的密码，需要的彩虹表就越大。 获取彩虹表的方式： 阅读全文

摘要：文件上传漏洞原理： 通常是由于对上传的文件内容和类型没有进行严格过滤和审查，攻击者可以通过上传脚本、木马获得服务器的webshell权限。 文件上传本身没有问题，有问题的是上传的文件服务器将以哪种格式去执行。 一般情况下，攻击者可以通过上传脚本、木马、病毒、webshell，在知道上传文件路径的情况 阅读全文

摘要：以下文章为自我学习总结。 内容涉及：自我总结、书籍参考（参考书籍为《白帽子讲web安全》《web安全全面解析》） 如有侵权，请联系sycamorext.163.com删除。 阅读全文

摘要：文件包含漏洞原理：（php） 是指当服务器开启allow_url_include选项的时候，通过php某些特性函数、如include()、include_once()、require()、require_once()，使用url动态的去包含文件，此时如果对包含的文件没有进行过滤，就可能导致任意文件读 阅读全文

摘要：xss（跨站脚本攻击） 原理：攻击者可以通过在页面中注入恶意链接或者脚本代码，当受害者访问时，脚本代码会在其浏览器中执行，这个时候，我们可以获取当前用户的cookie或者进行重定向等操作。 xss造成的原因是因为对用户插入的数据没有进行过滤，导致用户可以上传一些非法数据，对服务器数据进行盗取。 xs 阅读全文

摘要：csrf（跨站请求伪造攻击） 利用受害者尚未失效的身份认证信息，诱骗其点击恶意链接或包含攻击代码的页面，在受害人不知情的情况下以受害者的身份向服务器发送请求。 用户在关闭浏览器的时候，他的身份认证信息不会立刻失效。 用户在登录正常网站a的时候，同时打开了一个危险网站b，那么攻击者就可以通过危险网站b 阅读全文

摘要：通过远程部署获取webshell并不属于代码层次的漏洞，而是属于配置性错误漏洞。 1.Tomcat tomcat是一个jsp/Servlet容器 端口号：8080 攻击方法： 默认口令、弱口令，爆破，tomcat5 默认有两个角色：tomcat和role1。其中账号both、tomcat、role1 阅读全文