原创 網絡安全——黑客的技術操作原來是這樣的
注意：本片文章只是用來，讓大家知道如何更好的做好網絡安全。無其他引導，謝謝。 當今世界信息化建設飛速發展,尤其以通信、計算機、網絡爲代表的互聯網技術更是日新月異,令人眼花燎亂，目不睱接。由於互聯網絡的發展，計算機網絡在政治、經濟和生活的
2020-07-01 04:33:48
原创 邏輯漏洞原理
邏輯漏洞是： 網站開發人員再建設網站的時候，由於驗證不嚴格，造成的bug。 邏輯漏洞隱患： 1、任意用戶重置密碼 2、提權/越權 3、任意金額購買 4、驗證碼繞過 提權 查看用戶訂單信息 登錄->常看個人訂單信息 每
2020-07-01 04:33:48
原创 SQL注入——SQL注入方法
Sql注入讀寫文件 權限影響 secure_file_priv 1. secure_file_priv= 代表對文件讀寫沒有限制 2. secure_file_priv=NULL 代表不能進行文件讀寫 3. secure_file
2020-07-01 04:33:48
原创 PHP反序列化漏洞——漏洞原理及防禦措施
序列化 將對象轉換成字符串 反序列化 將特定格式的字符串轉換成對象 什麼是反序列化漏洞 PHP反序列化漏洞也叫PHP對象注入，是一個非常常見的漏洞，這種類型的漏洞雖然有些難以利用，但一旦利用成功就會造成非常危險的後果
2020-07-01 04:33:48
原创 SQL注入——SQL注入流程
1、判斷是否有注入 判斷是否存在注入 and 1=1 and 1=2 and 3-2=1 and 3-1=1 ‘ “ ) ‘) “) ‘)) “)) ` 測出頁面異常 ‘ and 1=1 -- - ‘ and 1=
2020-07-01 04:33:48
原创 XXE漏洞——xml外部實體注入XXE
XXE： XXE全稱XML External Entity Injection，也就是XML外部實體注入攻擊，漏洞是對非安全的外部實體數據進行處理時引發的安全問題。要了解XXE，就必須懂得XML的一些規則。 XML是用於標記電子文件使其
2020-07-01 04:33:48
原创 SSRF漏洞——原理-挖掘
SSRF-漏洞 SSRF漏洞：SSRF(Server-Side Request Forgery:服務器端請求僞造) 是一種由惡意訪問者構造形成由服務端發起請求的一個安全漏洞。 一般情況下，SSRF訪問的目標是從外網無法訪問的內部系統
2020-07-01 04:33:48
2
原创 SQL注入——mssql注入
1、Mssql權限問題 Mssql角色： 服務器角色--針對運行整個數據庫服務器設定的角色和權限。 數據庫角色--針對某個特定數據庫設定的角色和權限。 固定服務器角色 sysadmin 可以在
2020-07-01 04:33:48
原创 SQL注入——SQL注入具體防禦方案
1.GPC/RUNTIME魔術引號 magic_quotes_gpc負責對GET,POST，COOKIE的值進行過濾。 magic_quotes_runtime對從數據庫或者文件中獲取的數據進行過濾。 通常在開啓這兩個選項之後能防
2020-07-01 04:33:48
原创 內網滲透——權限維持
一、權限維持： 當攻擊者獲取服務器權限後，通常會採用一些後門技術來維持自己當前得到的權限，服務器一旦被植入後門，那麼攻擊者下次進入就方便多了。 由於攻擊可能被發現，會清除一些shell，導致目標丟失，所以需要留下後門來維持權限，達到
2020-07-01 04:33:48
原创 SQL注入——SQLmap使用
什麼是sqlmap SQLmap SQLmap是一個自動化的SQL注入工具，其主要功能是掃描，發現並利用給定的URL的SQL注入漏洞，其廣泛的功能和選項包括數據庫指紋，枚舉，數據庫提權，訪問目標文件系統，並在獲取完全操作權限時實行任意命
2020-07-01 04:33:48
原创 文件上傳漏洞——漏洞解析彙總
1、.htaccess文件突破上傳 該方法使用的前提： 沒有禁止.htaccess文件的上傳，且服務商允許用戶使用自定義.htaccess文件。 原理： .htaccess文件(或者"分佈式配置文件"）,全稱是Hyperte
2020-07-01 04:33:48
原创 XSS跨站腳本攻擊——及修復防禦
XSS漏洞相關基礎知識-瀏覽器工作機制 瀏覽器常見的有IE、Firefox、Chrome等，這些瀏覽器在性能和效率上也許有較大差別，但是它們基本的工作機制是相同的。 瀏覽器主要是解析渲染Web中間件響應的HTML、JavaScrip
2020-07-01 04:33:48
原创 文件上傳漏洞——基礎原理
文件上傳原理 在文件上傳的功能處，若服務端腳本語言未對上傳的文件進行嚴格驗證和過濾，導致惡意用戶上傳惡意的腳本文件時，就有可能獲取執行服務端命令的能力，這就是文件上傳漏洞。 文件上傳漏洞高危觸發點 相冊 頭像上傳 視頻 照片分享 附件
2020-07-01 04:33:48