r0cky's Blog

摘要： 文件解析漏洞(上) IIS 5.x/6.0 解析漏洞 1. 目录解析 /xx.asp/xx.jpg 网站下建立文件夹名为xx.asp、xx.asa的文件夹，其目录的任何扩展名的文件都被IIS当作asp文件来解析并执行。 例如创建目录 asp.asp，那么 将被当作asp文件来执行。假设黑阔可以控制上 阅读全文

摘要： 具体还是要根据实战情况来判断分析，本文仅供思路学习和参考 漏洞危害 可以直接上传Shell，导致服务器getshell 漏洞形成 Web应用程序没有对上传文件的格式进行严格过滤 , 还有一部分是攻击者通过 Web服务器的解析漏洞来突破Web应用程序的防护；通常都会出现在，上传功能上 文件上传格式及解 阅读全文

摘要： SQL注入之盲注 实战过程中，大多情况下很少会有回显，这个时候就要去使用盲注技术 盲注，Blind SQL Injection，听这名字就感觉整个过程就是一个盲目的过程 当注入时，没有任何提示的时候，就改用上盲注 常见函数 str是一个字符串参数，返回值为其最左侧字符的ascii码。通过它，我们才能 阅读全文

摘要： Redis未授权检测小工具 使用方法 不写指定端口默认为 端口 阅读全文

摘要： 首先，第一个复现Redis未授权访问这个漏洞是有原因的，在 2019 07 24 的某一天，我同学的服务器突然特别卡，卡到连不上的那种，通过 top，free，netstat 等命令查看后发现，CPU占用200%，并且存在可疑进程，在很多目录下发现了可疑文件。经过排查后，确定为全盘感染的挖矿病毒，而 阅读全文

摘要： Nginx环境搭建 下载解压Nginx源码包 可以通过已有的压缩包 这里也可以通过yum的在线下载 安装nginx 进入解压后的源码包内 执行命令之前，要做一件事情，解决依赖，不然安装不了nginx 一键安装依赖包 开始安装nginx 执行 以下表示成功 编译 安装 设置配置文件 启动命令 ngin 阅读全文

该文被密码保护。 阅读全文

该文被密码保护。 阅读全文

摘要： [TOC] 漏洞原理及防御 XSS又叫CSS (CrossSiteScript),因为与层叠样式表(css)重名,所以叫Xss，中文名叫跨站脚本攻击。 xss攻击，主要就是攻击者通过“html注入”篡改了网页，插入了恶意的脚本，从而在用户浏览网页时，控制用户浏览器的一种攻击方式。 危害 可以盗取用户 阅读全文

摘要： 再次骚扰 某SRC提现额度竟然最低是两千，而已经有750的我不甘心呐，这不得把这2000拿出来嘛。 之后我就疯狂的挖这个站，偶然发现了一个之前没挖出来的点，还有个存储型XSS！ 刚开始来到这个之前挖过但没挖出来的站，看了一下感觉这站没啥东西了啊，然后来到评论区又一次测试了一下 先简单测试一下 心态： 阅读全文