摘要：
1. 工具测试： 使用SQLMAP进行扫描 2. 手工测试： 观察参数的值value是否为数字型。如果是数字型进行数字型测试，否则跳到第4步进行字符型测试（例如如果出现a那说明是字符型，如果出现2则将其当做数字型测试） 将被测参数后加上测试语句“and 1=1”，即：地址栏中填入“http://ww 阅读全文
摘要：
CSRF（Cross-site request forgery跨站请求伪造） 尽管听起来像跨站脚本（XSS），但它与XSS非常不同，并且攻击方式几乎相左。XSS利用站点内的信任用户，而CSRF则通过伪装来自受信任用户的请求来利用受信任的网站。 信任站点A， 恶意站点B， 用户C 攻击流程： 1. 前 阅读全文
摘要：
Brup SuiteBurpSuite是用于攻击web应用程序的集成平台。它包含了许多工具，并为这些工具设计了许多接口，以促进加快攻击应用程序的过程。所有的工具都共享一个能处理并显示HTTP消息，持久性，认证，代理，日志，警报的一个强大的可扩展的框架。 功能介绍proxy–Burp Suite带有一 阅读全文
摘要：
XSS主要是通过劫持用户COOKIE，执行JS脚本进行攻击 如何发现： 可以使用<script>alert(/yourname/)</script> script最具有代表性也可以使用其他标签 <b>asdasd</b> 看有没有效果, 闭合标签 >"<b>asdasd</b>最核心的原理就是打破了 阅读全文