前言上周参加了一个线上赛。有个Web题的WriteUp说是任意文件下载。由于之前没学过，所以就没有想到。现在学习一下为什么产生任意文件读取与下载漏洞一些网站的业务需要，可能提供文件查看或下载的功能，如果对用户查看或下载的文件不做限制，就能够查看或下载任意的文件，可以是源文件，敏感文件等等。
Github-Hexo的搭建这几天由于团队下发了一个任务，需要搭建一个github-hexo个人博客。第一次听到这个任务，你是不是有点懵，反正当时的我是特别懵。由于从没有搭建过一些东西，想着是不是特别有趣？于是在浓厚好奇心的驱使下，我开启了自学模式，学习一些大佬的搭建经验和讲解。
Web前端-CSS篇学习CSS之后，感觉对Web前端又有了更深一步的理解。学习总结了许久，总算把学习笔记写完了，顿觉一阵轻松！！学习过程中，虽然有些枯燥，但最终的收获却很多很多。下面便是我的CSS的学习笔记，自我认为还行~~一、CSS定义和三种用法1、CSS:层叠样式表负责页面内容的样式标签的属性产生的问题：浏览器麻烦，需要改很多对开发人员：复杂，难维护解决方法：通过标...
一次团队内部比赛经历经过这次登录框被多数人打爆的经历，我反思了很多。由于当时为了快点写好登录框，没有考虑对登录框的SQL注入进行预防。在写登录框制作总结时，也发现了自己登录框存在的漏洞，但是没有去改。。。最终导致这一惨剧的发生！！！
Web开发-PHP基础篇(三) 又继续学习了PHP的学习教程，正则表达式、日期与时间、图像处理、文件与目录操作和会话控制。感觉都十分重要，于是在学习中做了认真总结，总结如下 一、正则表达式 1、正则表达式语法规则 描述了一类字符串的特征，然后通过这个特征可以配合一些特定的函数，来完成对字符串更加复杂的一系列操作！ 普通字符和特殊字符组成的一个字符串 如： $a='/test/'; $str=
XSS漏洞攻关(二)前言之前已经总结过一部分xss的一些绕过方式，但由于其他原因没有总结完，现在有时间了，于是参考了大牛的博客，继续总结了一下。正文XSS攻击常见利用方式(后续)7.HTTP头流量包注入这一部分需要抓包改包，还好之前学习了点HTTP协议基础。就再次了解下BurpSuite怎么抓包改包就行了。参考博客：Burpsuite拦截并修改request/responseL...
前言之前已经通过sqli-libs攻关的方式，总结过SQL注入的简单注入和双注入。所以这次继续通过sqli-libs攻关的方式总结SQL注入的布尔盲注和时间盲注。正文...
前言这几天闲来无事，学习了下Hexo的博客速度优化，发现有好多方法。CDN加速、coding部署、gulp压缩、
Web开发-简单BBS论坛 开发了两周的bbs论坛系统，总算在上周完成了，并且已经把项目文件上传到github上了。[我的bbs]。。。 开发完之后，感觉对sql语句、mysql函数和PHP代码有了深刻的理解。同时了解了开发流程。。好像收获很多耶！！！总结一下吧。。。 大致思路 需求 浏览者有浏览任何版块、任何帖子以及任何回复的权限，并且任何浏览者都有注册成为本论坛的用户的权限。 注册用户比浏览者
Scri...
本文首发于先知社区 0x00 前言 想学XXE漏洞，XXE(XML External Entity Injection) 全称为 XML 外部实体注入。XML？！发现我不会，简单看了一下基础知识，发现XML还可能存在XML注入和XPath注入。那就把XML注入、XPath注入和XML 外部实体注入一起学习了吧！ 0x01 XML 什么是 XML？XML 指可扩展标记语言（EXtensible M
前言 学习进行时，最近我学习了文件上传漏洞，感觉收获很大，所以总结一下。 为什么存在文件上传漏洞 上传文件时，Web应用程序没有对上传文件的格式进行严格过滤 , 就容易造成可以上传任意文件的情况。还有一部分是攻击者通过 Web服务器的解析漏洞来突破Web应用程序的防护。 危害 上传漏洞与SQL注入或 XSS相比 , 其风险更大 , 如果 Web应用程序存在上传漏洞，攻击者可以利用上传的恶意脚本文
Web开发-PHP基础篇(一-二)学前准备学前准备：html、cssPHP超文本预处理器PHP 是一种创建动态交互性站点的强有力的服务器端脚本语言。php擅长网站开发 php吸收c java perl允许网站开发人员快速编写的动态页面（信息的更新)php可以运行在windows，linux等各种操作系统上！浏览器>输入url地址>显示网站内容网络主机(硬件)运...
Web开发-PHP基础篇(四)一、数据库基本概念**数据库：**信息存储的仓库，包括一系列的关系措施！**表:**一个数据库中可以有若干张表（形式上你可以看出我们日常生活中建立的表）**字段:**表里面的信息会分若干个栏目来存，这些栏目，在数据库技术中叫"字段",栏目里面存的具体信息叫"字段值"**记录：**一条信息我们叫一条记录一个数据库管理系统中可以建立若干个数据库，每个数据库中...
前言之前一次线上赛，遇到一道Web题，涉及了HTTP请求走私。由于之前未学习过，从而我展开了HTTP请求走私的学习之旅。HTTP请求走私是什么HTTP请求走私是一种干扰网站处理从一个或多个用户接收的HTTP请求序列的方式的技术。使攻击者可以绕过安全控制，未经授权访问敏感数据并直接危害其他应用程序用户。为什么会产生HTTP请求走私前端服务器(CDN)和后端服务器接收数据不同步，引起对客户端...
超级文本标记语言是标准通用标记语言下的一个应用，也是一种规范，一种标准，它通过标记符号来标记要显示的网页中的各个部分。但需要注意的是，对于不同的浏览器，对同一标记符可能会有不完全相同的解释，因而可能会有不同的显示效果。下面是我学习html前半部分后作出的简单总结以及一些练习实例，鄙人才疏学浅，敬请大佬指正。 1、html基本格式 <!DOCTYPE html> <
sqli-labs攻关(一)前言为了更好的学习和练习有关SQL注入的知识,于是我开启了sqli-labs的通关之路。。。。为了方便学习查看，我
前言之前没有对SQL报错注入详细总结过，总结一下。12种SQL报错注入1、通过floor报错,注入语句如下:and select 1 from (select count(*),concat(user(),floor(rand(0)*2))x from information_schema.tables group by x)a);2、通过extractvalue报错,注入语句如下:...
前言之前已经总结了一部分文件上传漏洞，现在继续总结剩余的另一部分。正文漏洞环境依旧用的upload-labs。四、白名单限制文件上传文件截断绕过%00截
前言最近又学习了新的漏洞知识——PHP反序列化漏洞，学习之余总结一下。什么是php反序列化漏洞php反序列化漏洞，又叫php对象注入漏洞。简单来讲，就是在php反序列化的时候，反
写在前面源码泄露漏洞成因把网站部署在某一个虚拟主机上面，然后把代码先打包压缩后上传，上传成功后再去服务器解压。虽然解
前言好久没打sqli-labs了，闲来无事继续打一下。一、联合查询-POST注入1、联合查询POST单引号注入1.注入点判断uname=admi
前言总结完最常见的GET型和POST型的联合查询注入、报错注入、SQL盲注。于是就继续总结了一些不太常见的SQL注入。
前言闲来无事，继续打sqlilabs，并总结相关知识。一、堆叠注入(Less-39~Less-45)Stacked injection：堆叠注入(堆查询注入)堆叠注入的原理在
前言Web学习进行时，最近又学习了命令执行和代码执行漏洞。于是记录了学习过程。命令执行与代码执行基础简介命令执行漏洞概念：命令执行漏洞，就是指用户通过浏览器或其他辅助程序提交执行命令，由于服务器端没有针对执行函数做过滤，导致在没有指定绝对路径的情况下.
Copyright © 2005-2025 51CTO.COM 版权所有 京ICP证060544号
