摘要：
1、介绍 sql注入，是前端输入，参数未经过严格检查，拼接到sql语句中，交给sql应用执行。 2、场景 2.1 sql语句分类 sql注入，可以按照sql语句进行划分类型，主要为增删改查。广义上来说，各个参数都有可能作为sql注入的点，通过构造payload，使得超出预期的sql语句结构。 2.2 阅读全文
摘要：
1、介绍 xss，cross site script跨站脚本攻击。在用户的浏览器上解析攻击者构造的payload作为脚本执行，从而造成危害。 2、场景 2.1 反射型xss 测试参数在url的路径参数、直接参数中，或者表单请求体部中。响应体部包含该参数，并可以构造解析为脚本 浏览器执行js脚本 - 阅读全文
摘要：
1、介绍 csrf，cross site request forgery跨站请求伪造。 用户登录目标域，获取cookie的登录凭证，保存到本地浏览器。不存在直接或间接token 攻击者基于社工，使得用户在同一浏览器下访问其所控制的网站 该网站伪造请求，提交到目标域，这个过程自动或强制携带本地浏览器存 阅读全文
摘要：
渗透技术框架可以分作以下几个方面： 1、web基础漏洞 包括csrf、地址类参数响应包含、验证码爆破、越权漏洞、xss、sql注入、文件上传、文件包含、xxe、命令注入、ssrf，以及http响应拆分、会话固定漏洞、操作界面劫持、反序列化、溢出漏洞、解析漏洞等。 2、环境漏洞 (1)服务器容器，包括 阅读全文