摘要：
绕过访问 免责声明 本文档仅供学习和研究使用,请勿使用文中的技术源码用于非法用途,任何人造成的任何负面影响,与本人无关. 相关文章 Tips : Bypass Etag If-None-Match 记一次403绕过技巧 相关案例 Bypassing 403 Protection To Get Pag 阅读全文
摘要：
XXE 免责声明 本文档仅供学习和研究使用,请勿使用文中的技术源码用于非法用途,任何人造成的任何负面影响,与本人无关. 描述 XXE 就是 XML 外部实体注入。当允许引用外部实体时，通过构造恶意内容，就可能导致任意文件读取、系统命令执行、内网端口探测、攻击内网网站等危害。 XML 文档结构包括 X 阅读全文
摘要：
XSS 免责声明 本文档仅供学习和研究使用,请勿使用文中的技术源码用于非法用途,任何人造成的任何负面影响,与本人无关. 相关文章 XSS 插入绕过一些方式总结 XSS 总结 WAF的 XSS 绕过姿势 他山之石 | 对 XSS 的一次深入分析认识 minimaxir/big-list-of-naug 阅读全文
摘要：
Web Generic 免责声明 本文档仅供学习和研究使用,请勿使用文中的技术源码用于非法用途,任何人造成的任何负面影响,与本人无关. 大纲 文件包含 日志中毒攻击 文件解析 IIS Nginx Apache 其他 文件上传 信息泄露 目录遍历 任意文件读取 源码泄露 GIT SVN bzr DS_ 阅读全文
摘要：
Upload 免责声明 本文档仅供学习和研究使用,请勿使用文中的技术源码用于非法用途,任何人造成的任何负面影响,与本人无关. 描述 文件上传过程中，通常因为未校验上传文件后缀类型，导致用户可上传一些 webshell 文件。 相关文章 简单粗暴的文件上传漏洞 BookFresh Tricky Fil 阅读全文
摘要：
SSTI 免责声明 本文档仅供学习和研究使用,请勿使用文中的技术源码用于非法用途,任何人造成的任何负面影响,与本人无关. 什么是模板 模板引擎可以让（网站）程序实现界面与数据分离，业务代码与逻辑代码的分离，这大大提升了开发效率，良好的设计也使得代码重用变得更加容易。 模板引擎也扩展了黑客的攻击面。除 阅读全文
摘要：
SSRF 免责声明 本文档仅供学习和研究使用,请勿使用文中的技术源码用于非法用途,任何人造成的任何负面影响,与本人无关. 描述 很多 web 应用都提供了从其他的服务器上获取数据的功能.使用用户指定的 URL,web 应用可以获取图片,下载文件,读取文件内容等.这个功能如果被恶意使用,可以利用存在缺 阅读全文
摘要：
学习笔记-# SQLi 免责声明 本文档仅供学习和研究使用,请勿使用文中的技术源码用于非法用途,任何人造成的任何负面影响,与本人无关. 大纲 注入检测 MySQL MSSQL Oracle H2 database BigQuery SQLite 描述 注入攻击的本质，是程序把用户输入的数据当做代码执 阅读全文
摘要：
RCE 免责声明 本文档仅供学习和研究使用,请勿使用文中的技术源码用于非法用途,任何人造成的任何负面影响,与本人无关. 描述 由于业务需求，程序有可能要执行系统命令的功能，但如果执行的命令用户可控，业务上有没有做好限制，就可能出现命令执行漏洞。 相关工具 commixproject/commix 相 阅读全文
摘要：
Fileread 免责声明 本文档仅供学习和研究使用,请勿使用文中的技术源码用于非法用途,任何人造成的任何负面影响,与本人无关. 相关文章 渗透测试-任意文件读取/下载漏洞 相关案例 京东商城两处任意目录遍历下载漏洞 2 Path Traversal Cases 电信某分站配置不当导致敏感文件泄露 阅读全文