進(jìn)行手頭測(cè)試之前，最重要的一步就是信息收集，所謂知己知彼，百戰(zhàn)不殆。我們?cè)绞橇私鉁y(cè)試目標(biāo)，在進(jìn)行測(cè)試過程中的工作就會(huì)越容易。但是我們?cè)谑占畔⒌臅r(shí)候需要收集哪些信息呢？哪些信...
發(fā)簡(jiǎn)信
IP屬地：河南
-
滲透測(cè)試之信息收集
-
-
WEB服務(wù)器通信原理
常見服務(wù)器系統(tǒng)： 什么是服務(wù)器，簡(jiǎn)單來說就是一臺(tái)二十四小時(shí)不關(guān)機(jī)用來提供服務(wù)的電腦。服務(wù)器有三種:Linux、windows、macosLinux ：安卓 、Centos 、...
-
SSRF-服務(wù)端請(qǐng)求偽造什么是SSRF？ 服務(wù)器端請(qǐng)求偽造（SSRF）是指攻擊者能夠從易受攻擊的Web應(yīng)用程序發(fā)送精心設(shè)計(jì)的請(qǐng)求的對(duì)其他網(wǎng)站進(jìn)行攻擊。(利用一個(gè)可發(fā)起網(wǎng)絡(luò)請(qǐng)求的服務(wù)當(dāng)作跳板來攻擊其他...
-
越權(quán)漏洞
什么是越權(quán)漏洞？ 越權(quán)漏洞是一種很常見的邏輯安全漏洞，是服務(wù)器端對(duì)客戶提出的數(shù)據(jù)操作請(qǐng)求過分信任，而忽略了對(duì)該用戶操作權(quán)限的判定，導(dǎo)致修改相關(guān)參數(shù)就可以擁有了其他帳號(hào)的增刪改...
-
驗(yàn)證碼繞過漏洞
驗(yàn)證碼繞過漏洞 什么是驗(yàn)證碼繞過漏洞？ 比如說，開發(fā)人員在考慮用戶登錄的時(shí)候，為了安全添加了驗(yàn)證碼驗(yàn)證，但是在代碼層面他只做了 if（存在驗(yàn)證碼）{ 驗(yàn)證登錄 } 存在驗(yàn)證碼...
-
-
寬字節(jié)注入
概念 單字節(jié)字符集： 所有的字符都使用一個(gè)字節(jié)來表示，比如 ASCII 編碼。 多字節(jié)字符集： 在多字節(jié)字符集中，一部分字節(jié)用多個(gè)字節(jié)來表示，另一部分（可能沒有）用單個(gè)字節(jié)來...
-
SQL注入之head注入當(dāng)然傳統(tǒng)的sql注入也包含head注入，其實(shí)head注入與get和post差別不大，其實(shí)所謂的head注入只是傳參方式上的不同，其基本傳輸原理就是在我們提交數(shù)據(jù)的時(shí)候數(shù)據(jù)會(huì)以...
-
-
SQL注入之報(bào)錯(cuò)注入
但是post注入與get不太一樣的是post注入一般頁(yè)面不會(huì)有回顯，最多的就是是在登陸成功后提示一個(gè)登錄成功，我們根本無(wú)法直觀的看到我們想要的數(shù)據(jù)，這時(shí)候我們就可以嘗試?yán)脠?bào)...
-
CSRF跨站請(qǐng)求偽造
什么是CSRF? CSRF（Cross-site request forgery）跨站請(qǐng)求偽造：也被稱為“One Click Attack”或者Session Riding，...
-
XXE實(shí)體注入攻擊
什么是XXE？ XXE = XML External Entity 即外部實(shí)體，從安全角度理解成XML External Entity attack XML外部實(shí)體注入攻擊，...
-
安全|常見的Web攻擊手段之CSRF攻擊對(duì)于常規(guī)的Web攻擊手段，如XSS、CRSF、SQL注入、（常規(guī)的不包括文件上傳漏洞、DDoS攻擊）等，防范措施相對(duì)來說比較容易，對(duì)癥下藥即可，比如XSS的防范需要轉(zhuǎn)義掉輸入...
-
深入理解Cookie1. 前言 朋友問我cookie是什么，用來干什么的，可是我居然無(wú)法清楚明白簡(jiǎn)短地向其闡述cookie，這不禁讓我陷入了沉思：為什么我無(wú)法解釋清楚，我對(duì)學(xué)習(xí)的方法產(chǎn)生了懷疑！...