摘要：
thinkphp5反序列化RCE thinkphp5.1.37-5.1.41 NewStarCTF 第三周Web题目 Maybe You Have To think More ThinkPHP 5框架反序列化RCE 正好来研究一下php框架反序列化 php反序列化 魔法函数 __construct： 阅读全文
摘要：
Apache Shiro 1.2.4反序列化漏洞（CVE-2016-4437） 漏洞描述 Apache Shiro Apache Shiro是一款开源安全框架，提供身份验证、授权、密码学和会话管理。Shiro框架直观、易用，同时也能提供健壮的安全性。 Apache Shiro 1.2.4及以前版本中 阅读全文
摘要：
反序列化漏洞 序列化和反序列化 序列化是指把对象转换为字节序列的过程，反序列化是指把字节序列恢复为对象的过程 作用 通过序列化，能将对象写入内存、文件或数据库，可以作为字节流发送和接收，通常序列化后的数据格式为json或xml格式 通过反序列化，将序列化数据或字节流恢复为原始对象的完整副本，实现其状 阅读全文
摘要：
Portswigger靶场业务逻辑漏洞实验 对客户端控制过度信任 Excessive trust in client-side controls 靶场 logic-flaws-excessive-trust-in-client-side-control 说明 This lab doesn't ade 阅读全文
摘要：
业务逻辑漏洞 简介 业务逻辑 业务逻辑是指应用程序如何运行的规则集，其规定了应用程序在给定场景发生时应如何反应，包括阻止用户做会对业务产生负面影响或根本没有意义的事情 业务逻辑漏洞 业务逻辑漏洞是指由于应用程序设计实现中的缺陷，比如逻辑输入管控不严，导致程序不能够正常处理或处理错误，使得攻击者能够绕 阅读全文
摘要：
Portswigger靶场XML外部实体注入（XXE）实验 利用XXE外部实体检索文件 Exploiting XXE using external entities to retrieve files 靶场 exploiting-xxe-to-retrieve-files 说明 This lab h 阅读全文
摘要：
XML外部实体（XXE）注入漏洞 XML 简介 XML 指可扩展标记语言（eXtensible Markup Language），是一种用于标记电子文件使其具有结构性的标记语言，被设计用来传输和存储数据。 构建模块 元素 元素是XML以及 HTML文档的主要构建模块，元素可包含文本、其他元素或者为空 阅读全文
摘要：
Portswigger靶场OS命令注入实验 简单OS命令注入 OS command injection, simple case 靶场 simple 说明 This lab contains an OS command injection vulnerability in the product s 阅读全文
摘要：
命令执行（注入）漏洞 命令执行漏洞原理 原理 命令执行漏洞即攻击者通过执行系统命令或恶意代码命令，以此实现非法操作，比如获取敏感信息、拿到系统权限等。 本质 在系统服务器或应用程序端，没有对用户输入进行安全检测过滤，导致恶意代码被执行 命令执行漏洞分类 命令执行漏洞分为系统命令执行（OS命令注入）和 阅读全文
摘要：
文件包含漏洞 简介 文件包含 程序开发人员通常会把可重复使用的函数写到单个文件中，在使用某些函数时，直接调用此文件，无需再次编写，这种调用文件的过程一般被称为文件包含。 漏洞的形成原因 随着网站业务的需求，程序开发人员一般希望代码更灵活，所以将被包含的文件设置为变量，用来进行动态调用 但是正是这种灵 阅读全文
