摘要：
1.只是js对文件上传做了限制①、删除/禁用JavaScript代码。②、先上传符合规则的文件，通过burp suite抓包修文件后缀名。2.尝试文件后缀绕过攻击APache是从右到左开始解析文件后缀的，如果最右侧的扩展名不可识别，就继续往左判断，直到遇到可以解析的文件后缀为止eg：上传的文件名类似 阅读全文
摘要：
xss漏洞挖掘思路流程1.查找输入输出点位置输入点一般在：URL当中的参数，或者表单内容项输出点（好判断xss是否成功）输出在标签之间，例如：<script>输出</script>输出在属性之中，例如：<input value="输出" name="keyword">输出在注释之中，例如：//doc 阅读全文
摘要：
一般将安全防护软件划分为：云WAF、硬件waf、主机防护软件、软件waf等。 我的测试流程是先看看waf过滤了什么,例如union select被过滤那么就看看是union被过滤还是select被过滤或者union select连起来被过滤, 如果是过滤了union select，之后可以尝试大小写 阅读全文