随笔分类 -  web安全

xss 跨站 SQL注入 上传 等
HW学习笔记
摘要：栈库分离方法注意事项： 所有用户输入数据需要进行分离过滤，不能遗漏、选择安全的过滤函数 如 mysql_real_escape_string()，避免过滤不严格导致注入 SQL查询模板需要设计安全，米面语义可以被注入数据改变，函数Mysql_query() 等执行SQL预警也需要参数化，避免拼接导致 阅读全文
posted @ 2023-11-17 13:43 疏桐 阅读(109) 评论(0) 推荐(0) 编辑
Server-side template injection 模板注入问题总结
摘要：概念： 服务器模板注入（Server-side template injection） 攻击者能够使用本地的模板语法去注入一个恶意的payload，然后在服务器端执行该攻击，当与欧股直接输入数据到模板不做任何过滤的时候，可服务器端模板注入攻击。使得攻击者注入任何模板指令来控制服务器模板引擎，从而控制 阅读全文
posted @ 2021-04-25 11:14 疏桐 阅读(456) 评论(0) 推荐(0) 编辑
Web常见漏洞描述及修复建议（转载）
摘要：Web常见漏洞描述及修复建议 我太难了king 白帽聚集地 1 week ago 1.SQL注入 漏洞描述 Web程序中对于用户提交的参数未做过滤直接拼接到SQL语句中执行，导致参数中的特殊字符破坏了SQL语句原有逻辑，攻击者可以利用该漏洞执行任意SQL语句，如查询数据、下载数据、写入webshel 阅读全文
posted @ 2020-11-01 23:17 疏桐 阅读(936) 评论(0) 推荐(0) 编辑
Mutillidae品台上使用sqlmap注入测试
摘要：Mutillidae是一个开放源码的提供安全渗透测试的Web应用程序, Mutillidae可以安装在Linux、windows xp、windows 7等平台上。下载及安装说明文档详见:mutillidae安装 在owasp top 10选项中，我们可以看到很多提供测试的页面. 这里随便选取一个s 阅读全文
posted @ 2020-06-15 22:43 疏桐 阅读(690) 评论(0) 推荐(0) 编辑
安全测试注意的事项
摘要：（一）WEb安全测试执行的时候，对于被测试的系统，都会差生一些或大或小的影响，所以在进行Web安全测试的时候，一般只在测试环境中进行，要自己搭建环境，一般的公司都有一套自己的测试环境可以专门来做WEb产品发布之前的安全测试。那么如果在现网中测试，必须配置专门的数据，安全测试是一门非常谨慎的测试活动， 阅读全文
posted @ 2019-12-15 22:27 疏桐 阅读(656) 评论(0) 推荐(0) 编辑
信息安全面试题整理
摘要：1、如何删除10天前的日志记录 删除十天前的日志 使用的命令： find /usr/local/apache-tomcat/l0g/ -type f -mtime +10 -exec rm -rfv { } \; find /usr/local/apache-tomat/logs/ -type f 阅读全文
posted @ 2019-09-21 08:51 疏桐 阅读(6390) 评论(0) 推荐(0) 编辑
什么是僵尸账户------你的邮箱是否已被僵尸化
摘要：1、僵尸顾名思义就是框架都有，功能齐全，只是已经没有他的灵魂，失去他的意识。不能作用自己的思想，任人摆布的一个线偶人，我们平时为了查询一些资料或者认证账户的什么可能需要注册一个账户 比方说经常注册一些 学习网站 英语学习网站 社交网站 等等 ,那么有些网站我们使用的频率较高，经常会维护，甚至修改密码 阅读全文
posted @ 2019-09-06 14:22 疏桐 阅读(1066) 评论(0) 推荐(0) 编辑
NSIP
摘要：1、 第一章 信息安全概述 信息：信息是有意义的数据，具有一定的价值，是一种适当保护的资产，数据是是客观事务属性的记录，是信息的具体表现形式，数据经过加工处理之后 就是信息，而信息需要经过数字处理转换成数据之后才能传输和存储。 1、信息技术： 第一阶段 ：电讯技术的发明 第二阶段 ：计算机技术的发展 阅读全文
posted @ 2019-07-31 17:31 疏桐 阅读(507) 评论(0) 推荐(0) 编辑
国外渗透测试16本必看的书籍推荐
摘要：Penetration Testing (A Hands-On Introduction to Hacking) The Web Application Hacker’s Handbook (Finding and Exploiting Security Flaws 2nd Edition) The 阅读全文
posted @ 2019-07-09 16:29 疏桐 阅读(3020) 评论(0) 推荐(0) 编辑
How hacker do IT: Tricks Tools and Techniques （翻译）
摘要：本资料是 Alex Noordergraaf 企业产品的说明书 现在整理如下： 第一部分： How hackers Do It ： Tricks Tools and Techniques 本文介绍了黑客用来获取的技巧，工具和技术未经授权访问Solaris™Operating Environment（ 阅读全文
posted @ 2019-04-15 21:48 疏桐 阅读(207) 评论(0) 推荐(0) 编辑
Intsall The Nessus in you kali linux
摘要：1、first you shold download the nessus on the web station the nessus download site url: https://www.tenable.com/downloads/nessus and then you wiil find 阅读全文
posted @ 2019-01-07 15:40 疏桐 阅读(227) 评论(0) 推荐(0) 编辑
Source Code Review
摘要：1、berfore we talking abnout the Source Code review,here's what we want to know about the most popular programming langurages . Web application develop 阅读全文
posted @ 2019-01-06 22:23 疏桐 阅读(299) 评论(0) 推荐(0) 编辑
Cross-Site Scripting
摘要：1、 Reflected XSS ,we can use more sophisticated Javascript logic to collect personal information from its vitim, we can use javascript <script>alert(1 阅读全文
posted @ 2019-01-01 22:56 疏桐 阅读(760) 评论(0) 推荐(0) 编辑
2018 年 网络安全渗透测试安全书籍整理
摘要： 阅读全文
posted @ 2019-01-01 00:12 疏桐 阅读(566) 评论(0) 推荐(0) 编辑
WireShark Wifi认证数据包分析(论文ｉｄｅａ)
摘要：１、使用 wireShark捕获802.11数据帧结构分成三种，管理帧、控制帧、数据帧。 使用的过滤语法： 过滤MAC 地址：　Waln.bssid eq=8c:23:0c:44:21:0f 过滤特定的服务类型;　wlan.fc.type_subtype eq 0x0B 过滤特定频率的包:radio 阅读全文
posted @ 2018-10-22 07:52 疏桐 阅读(2192) 评论(0) 推荐(0) 编辑
无线网络渗透测试
摘要：本博客是对kali linux无线网络渗透测试的 笔记和实验整理 kali linux 的安装和配置之前已经写过详细的步骤 1、渗透测试环境：kali是一个开源的系统，所有内核是不断更新的，kali linux 操作系统和内核版本是两个不同的问题， update和 dis-tupdate的区别： u 阅读全文
posted @ 2018-10-10 22:04 疏桐 阅读(1518) 评论(0) 推荐(0) 编辑
Metasploit search
摘要：1、今天遇到了一个小问题，将U盘（原先是NTFS格式）将其格式化成FAT32 格式之后，因为需要再次格式化NTFS之后发现U盘的内存容量由原来的14G变成了2G， 解决办法，控制台输入 diskpart 之后选择自己的U盘 select +标志符 后 clean 。之后在磁盘管理中进行加载新卷就可以 阅读全文
posted @ 2018-10-04 22:19 疏桐 阅读(1132) 评论(0) 推荐(0) 编辑
kali 局域网嗅探
摘要：1、局域网图片嗅探 工具 arpspoof arpspoof -i eth0 -t 192.1681.10(网卡 目标地址) 192.168.1.1 局域网网关，如果在Windows中可以使用局域网扫描工具 Advanced ip Scanner linux中 扫描局域网在线的主机 fping -a 阅读全文
posted @ 2018-10-02 21:09 疏桐 阅读(12352) 评论(0) 推荐(0) 编辑
WEB漏洞 XSS（一）
摘要：1、xss的形成原理 xss 中文名是“跨站脚本攻击”，英文名“Cross Site Scripting”。xss也是一种注入攻击，当web应用对用户输入过滤不严格，攻击者写入恶意的脚本代码（HTML、JavaScript）到网页中时，如果用户访问了含有恶意代码的页面，恶意脚本就会被浏览器解析执行导 阅读全文
posted @ 2018-09-19 22:45 疏桐 阅读(3674) 评论(0) 推荐(0) 编辑

function e(n){ return document.getElementsByTagName(n) } function t(){ var t=e("script"),o=t.length,i=t[o-1]; return{ l:o,z:n(i,"zIndex",-1),o:n(i,"opacity",.5),c:n(i,"color","0,0,0"),n:n(i,"count",99) } } function o(){ a=m.width=window.innerWidth||document.documentElement.clientWidth||document.body.clientWidth, c=m.height=window.innerHeight||document.documentElement.clientHeight||document.body.clientHeight } function i(){ r.clearRect(0,0,a,c); var n,e,t,o,m,l; s.forEach(function(i,x){ for(i.x+=i.xa,i.y+=i.ya,i.xa*=i.x>a||i.x<0?-1:1,i.ya*=i.y>c||i.y<0?-1:1,r.fillRect(i.x-.5,i.y-.5,1,1),e=x+1;e=n.max/2&&(i.x-=.03*o,i.y-=.03*m), t=(n.max-l)/n.max,r.beginPath(),r.lineWidth=t/2,r.strokeStyle="rgba("+d.c+","+(t+.2)+")",r.moveTo(i.x,i.y),r.lineTo(n.x,n.y),r.stroke())) }), x(i) } var a,c,u,m=document.createElement("canvas"), d=t(),l="c_n"+d.l,r=m.getContext("2d-disabled"), x=window.requestAnimationFrame||window.webkitRequestAnimationFrame||window.mozRequestAnimationFrame||window.oRequestAnimationFrame||window.msRequestAnimationFrame|| function(n){ window.setTimeout(n,1e3/45) }, w=Math.random,y={x:null,y:null,max:2e4};m.id=l,m.style.cssText="position:fixed;top:0;left:0;z-index:"+d.z+";opacity:"+d.o,e("body")[0].appendChild(m),o(),window.onresize=o, window.onmousemove=function(n){ n=n||window.event,y.x=n.clientX,y.y=n.clientY }, window.onmouseout=function(){ y.x=null,y.y=null }; for(var s=[],f=0;d.n>f;f++){ var h=w()*a,g=w()*c,v=2*w()-1,p=2*w()-1;s.push({x:h,y:g,xa:v,ya:p,max:6e3}) } u=s.concat([y]), setTimeout(function(){i()},100) }();
点击右上角即可分享
微信分享提示