ctf - 随笔分类 - 波波sama

SSTI

摘要：

一、SSTI漏洞 1、漏洞概念 SSTI（server-side template injection)为服务端模板注入攻击，它主要是由于框架的不规范使用而导致的。主要为：python的一些框架，如 jinja2 mako tornado django flask（ flask默认使用 J 阅读全文

posted @ 2025-07-14 19:44 波波sama 阅读(287) 评论(0) 推荐(0)

SQL注入

摘要：

sql注入数据库一、sql注入解题技巧解题流程提示：先找到回显点，如果有回显按照如下步骤获取信息 ①找字段数 ②查库名 ③查表名 ④查字段 ⑤查内容 -- 查版本 and 1=2 union select 1,version() #原理：and 1=2显然不成立，则不会执行页面的正常sele 阅读全文

posted @ 2025-07-14 15:18 波波sama 阅读(122) 评论(0) 推荐(0)

WEB基础

摘要：

WEB基础一、web概念 1、页面类型我们访问的网站页面，有几种不同的类型：静态页面：静态页面是在服务器上预先创建好并保存在文件中的网页，它的内容在用户请求时直接传输给用户，不涉及服务器端的数据处理和生成。当然网页上是可以出现各种视觉动态效果，如GIF动画、Flash动画、滚动字幕、轮播图。而阅读全文

posted @ 2025-07-14 14:14 波波sama 阅读(136) 评论(0) 推荐(0)

PHP漏洞

摘要：PHP漏洞一、函数漏洞 intval大量漏洞 intval() 函数可以获取变量的「整数值」。常用于强制类型转换 int intval( $var, $base ) $var：需要转换成 integer 的「变量」 $base：转换所使用的「进制」第二个参数 $base 允许为空。特性： 1. 阅读全文

posted @ 2025-07-14 13:54 波波sama 阅读(174) 评论(1) 推荐(0)

原型链污染

摘要：

原型链污染一、简述原型链污染漏洞和 SSTI（Server-Side Template Injection）漏洞都涉及到原型链，但是原型链污染漏洞产生的原因和利用方式和后者有很大区别。原型链污染（Prototype Pollution）是指攻击者通过操控对象的原型链，修改或注入不应存在阅读全文

posted @ 2024-12-03 19:40 波波sama 阅读(1441) 评论(0) 推荐(0)

文件包含

摘要：一、文件包含 1.定义简单形式 <?php include($_GET['file']);?> #测试方法 ?file=https://www.baidu.com/ #网站测试 ?file=data://text/plain,<?php phpinfo()?> #伪协议测试 ?file=/etc/ 阅读全文

posted @ 2024-04-30 19:14 波波sama 阅读(246) 评论(0) 推荐(0)

文件上传

摘要：文件上传一、定义： 1.文件上传的定义 1.文件上传漏洞是指利用程序提供的文件上传功能，上传当前中间件可执行的脚本文件。比如tomcat就上传jsp文件等。 2.其实文件上传不是你能把脚本文件传上去就成功了，你还得知道其上传到的位置，还需要上传到的目录允许执行，否则传了上去也没法利用。 3.文件上阅读全文

posted @ 2024-04-30 19:12 波波sama 阅读(109) 评论(0) 推荐(0)

SSRF

摘要：SSRF漏洞一、概念什么是SSRF漏洞 SSRF（Server-Side Request Forgery,服务器请求伪造）是一种由攻击者构造请求,由服务端发起请求的安全漏洞，一般情况下,SSRF攻击的目标是外网无法访问的内网系统（正因为请求时由服务端发起的，所以服务端能请求到与自身相连而与外阅读全文

posted @ 2024-04-30 19:05 波波sama 阅读(126) 评论(0) 推荐(0)

RCE

摘要：php远程代码执行漏洞 RCE又称远程代码执行漏洞，可以让攻击者直接向后台服务器远程注入操作系统命令或者代码，从而控制后台系统。 PHP代码执行函数： eval()、assert()、preg_replace()、create_function()、array_map()、call_user_fun 阅读全文

posted @ 2024-04-30 12:27 波波sama 阅读(219) 评论(0) 推荐(0)

数据库语法

摘要：数据库一、数据库资料 1.数据库分为关系型数据库和非关系型数据库，关系型数据库的资料会储存成表格的形式，表格内的资料有各种属性，以此来进行区分，属性可以被设置成primary key（主键），它可以唯一的表示每一笔资料，比如： 2.属性还可以被设置成foreign key（外键），这样的属性会和另阅读全文

posted @ 2024-04-29 18:28 波波sama 阅读(118) 评论(0) 推荐(0)

ctfer001

随笔分类 - ctf

公告