2022年10月26日
JS劫持
摘要： JS劫持和JS点击劫持，是完全两个漏洞哈，此文章为学习记录。 首先说明目前的主流浏览器创建数组对象时都默认不运行__defineSetter__设置好的函数，所以此类攻击已经近乎失效。 Javascript劫持与CSRF攻击原理非常相似，唯一不同的是，CSRF是模拟你的身份去发送请求，JavaScr 阅读全文
posted @ 2022-10-26 09:28 Jayus_F 阅读(597) 评论(0) 推荐(0) 编辑
JS点击劫持
摘要： 基本概念：通过覆盖不可见的框架误导受害者点击而造成的攻击行为。 1 构造一个点击劫持： 2 <!DOCTYPE html> 3 <html> 4 <meta http‐equiv="Content‐Type" content="text/html; charset=utf8"/> 5 <head> 阅读全文
posted @ 2022-10-26 09:13 Jayus_F 阅读(259) 评论(0) 推荐(0) 编辑
2019年8月30日
Java代码审计 HTTP头操纵 response.addHeader()
摘要： 系统中数据包含在一个HTTP响应头文件里，未经验证就发送给了web用户，即获取未经验证的值输入到头文件中。 String fileName = request.getParameter("fileName");fileName = new String(fileName.getBytes("gb23 阅读全文
posted @ 2019-08-30 16:01 Jayus_F 阅读(1568) 评论(1) 推荐(0) 编辑
java代码审计 命令注入 及 修复建议
摘要： 命令注入： 是指通过提交恶意构造的参数破坏命令语句结构，从而达到执行恶意命令的目的。 在Web应用中，有时候会用到一些命令执行的函数，如php中system、exec、shell_exec等，当对用户输入的命令没有进行限制或者过滤不严导致用户可以执行任意命令时，就会造成命令执行漏洞。 命令注入漏洞主 阅读全文
posted @ 2019-08-30 15:16 Jayus_F 阅读(6646) 评论(0) 推荐(0) 编辑
2019年8月28日
Java代码审计-路径遍历、漏洞修复-代码案例
摘要： ⭐代码审计及渗透测试相关思路，如下： 人工代码审计，关注关键字： 1 new FileInputStream( path 2 new FileOutputStream( path 3 new File( path 4 RandomAccessFile fp = new RandomAccessFil 阅读全文
posted @ 2019-08-28 14:16 Jayus_F 阅读(5772) 评论(0) 推荐(0) 编辑
下一页