摘要:
中间件漏洞 IIS服务器漏洞 IIS文件上传漏洞 IIS6.0 PUT上传漏洞是比较经典的ISS漏洞,如果IIS开启了PUT上传方法,就可以利用此方法上传任意文件,因此,该漏洞危害极大。 漏洞产生原因 IIS6.0 PUT上传漏洞产生的原因 IIS Server在WEB服务扩展中开启了WebDAV 阅读全文
摘要:
XXE漏洞简介 XXE(XML External Entity,XML外部实体注入)漏洞产生的原因是:应用程序在解析XML时没有过滤外部实体的加载,导致加载了恶意的外部文件,造成执行命令、读取文件、扫描内网、攻击内网应用等危害。 XML基础 XML(eXtensible Markup Languag 阅读全文
摘要:
SSRF意为服务端请求伪造(Server-Side Request Forge)。攻击者利用SSRF漏洞通过服务器发起伪造请求,这样就可以访问内网的数据,进行内网信息探测或者内网漏洞利用。 SSRF漏洞形成的原因是:应用程序存在可以从其他服务器获取数据的功能,但是对服务器的地址并没有做严格的过滤,导 阅读全文
摘要:
开放人员在开发的过程中,为了避免命令执行漏洞,可能会过滤一些命令或者比较常见的攻击payload。攻击者会通过多种方式绕过过滤规则。 绕过空格过滤 1. ${IFS}绕过 $IFS是shell的特殊环境变量,是Linux下的内部域分分隔符。$IFS中存储的值可以是空格、制表符、换行符或者其他自定义符 阅读全文