wybsignal

摘要： DVWA靶场实战（五） 五、File Upload： 1．漏洞原理： File Upload中文名叫做文件上传，文件上传漏洞是指用户上传了一个可执行脚本文件（php、jsp、xml、cer等文件），而WEB系统没有进行检测或逻辑做的不够安全。但文件上传功能本身没有问题，问题在于上传后如何处理以及解析 阅读全文

摘要： MSIC总结取证分析 一、日志分析： 1．常见日志分析类型： 2．常见一些考点： （1）还原特定IP攻击手段（SQL注入、暴力破解、命令执行等），或还原最初攻击时间； （2）寻找flag或者特定文件解密需要的Key； （3）寻找getshell的后门文件的密码，可能需要解密； （4）分析寻找提示点或 阅读全文

摘要： DVWA靶场实战（四） 四、File Inclusion： 1.漏洞原理： 随着网站的业务的需求，程序开发人员一般希望代码更加灵活，所以将被包含的文件设置为变量，用来进行动态调用，但是正是这种灵活性通过动态变量的方式引入需要包含的文件时，用户对这个变量可控而且服务端又没有做合理的校检或者校检被绕过就 阅读全文

摘要： DVWA靶场实战（三） 三、CSRF： 1．漏洞原理： CSRF(Cross-site request forgery)，中文名叫做“跨站请求伪造”，也被称作“one click attack/session riding”，缩写为“CSRF/XSRF”。在场景中，攻击者会伪造一个请求（通常是一个链 阅读全文

摘要： DVWA靶场实战（二） 二、Command Injection: 1.漏洞介绍： Command Injection,中文叫做命令注入，是指通过提交恶意构造的参数破坏命令语句结构，从而达到执行恶意命令的目的。PHP命令注入攻击漏洞是PHP应用程序常见的脚本漏洞之一。 2.漏洞成因： （1）外部参数可 阅读全文

摘要： 个人年终总结 阅读全文

摘要： DVWA靶场实战（一） 一、Brute Force: 1.漏洞原理： Brute Force是暴力破解的意思，大致原理就是利用穷举法，穷举出所有可能的密码。 2.攻击方法： Burpsuite中的Intruder功能常被用于密码爆破功能。 打开Burpsuite找到Proxy在Options中配置好 阅读全文

摘要： CTF-MISC方向涉及技术导图 阅读全文

摘要： DVWA靶场搭建 一、phpstudy环境准备： 第一步：下载PHPstudy： 找到PHPstudy官网，下载windows版小皮面板，然后安装。官网下载地址：https://www.xp.cn/ 第二步：安装PHPstudy并配置环境： 安装好小皮面板后打开Apache和MySQL，访问127. 阅读全文

摘要： MISC比赛总结 阅读全文