随笔分类 -  web安全

docker学习笔记
摘要：Mac系统安装docker： 国内镜像源： Vulhub使用： VulAPP的使用：（源地址：http://vulapps.evalbug.com） 删除镜像相关操作: 阅读全文
posted @ 2019-08-23 11:29 i11USi0n 阅读(191) 评论(0) 推荐(0)
CC攻击防护方法
摘要：代码层面防护： 1、优化代码，多利用缓存减少重复查询内容，减少资源开销。 2、不重要的站多用静态页面 3、限制最大连接数 网络、中间件层面防护： 1、更改web端口 2、域名解析欺骗（临时修改域名对应的IP地址） 3、禁止网站代理访问 4、应用防火墙（限制一定时间内的访问次数） 阅读全文
posted @ 2019-03-18 16:55 i11USi0n 阅读(362) 评论(0) 推荐(0)
上传漏洞分类
摘要：/*以下例子多来自《web安全深度剖析》，权当记录。*/ 一、web容器解析漏洞 IIS解析漏洞（V6.0）： 1、当建立*.asa 或*.asp的文件夹时，起目录下的任意文件IIS6.0都当做asp来解析，如下图： 2、当文件以*.asp;1.jpg命名时，IIS6.0同样会当做asp来解析，如下 阅读全文
posted @ 2019-03-11 23:22 i11USi0n 阅读(397) 评论(0) 推荐(0)
OWASP top 10 （2017） 学习笔记--安全错误配置
摘要：A6:2017 安全错误配置 漏洞描述： 安全配置错误是最常见的安全问题，这通常是由于不安全的默认配置、不完整的临时配置、开源云存储、错误的HTTP 标头配置以及包含敏感信息的详细错误信息所造成的 漏洞影响： 攻击者能够通过未修复的漏洞、访问默认账户、不再使用的页面、未受保护的文件和目录等来取得对系 阅读全文
posted @ 2019-01-16 16:21 i11USi0n 阅读(1417) 评论(0) 推荐(0)
OWASP top 10 （2017） 学习笔记--跨站脚本（XSS）
摘要：A7:2017 跨站脚本（XSS） 漏洞描述： 当应用程序的新网页中包含不受信任的、未经恰当验证或转义的数据时，或者使用可以创建HTML或JavaScript 的浏览器API 更新现有的网页时，就会出现XSS 缺陷。 漏洞影响： 常见危害为窃取凭证为主。该漏洞的危害性由JavaScript代码决定， 阅读全文
posted @ 2019-01-16 16:21 i11USi0n 阅读(534) 评论(0) 推荐(0)
OWASP top 10 （2017） 学习笔记--失效的访问控制
摘要：A5:2017 失效的访问控制 漏洞描述： 未对通过身份验证的用户实施恰当的访问控制，攻击者可以利用这些缺陷访问未经授权的功能或数据。 漏洞影响： 技术影响是攻击者可以冒充用户、管理员或拥有特权的用户，或者创建、访问、更新或删除任何记录。业务影响取决于应用程序和数据的保护需求。 检测场景： 越权： 阅读全文
posted @ 2019-01-09 15:04 i11USi0n 阅读(1627) 评论(0) 推荐(1)
OWASP top 10 （2017） 学习笔记--XML外部实体（XXE）
摘要：A4:2017-XML 外部实体(XXE) 漏洞描述： 如果攻击者可以上传XML文档或者在XML文档中添加恶意内容，通过易受攻击的代码、依赖项或集成，他们就能够攻击含有缺陷的XML处理器。 漏洞影响： 攻击者可以利用XML外部实体窃取使用URI文件处理器的内部文件和共享文件、监听内部扫描端口、执行远 阅读全文
posted @ 2019-01-09 14:51 i11USi0n 阅读(705) 评论(0) 推荐(1)
OWASP top 10 （2017） 学习笔记--敏感信息泄露
摘要：A3:2017-敏感信息泄露 漏洞描述： 许多Web应用程序和API都无法正确保护敏感数据，例如：财务数据、医疗数据和PII数据。攻击者可以通过窃取或修改未加密的数据来实施信用卡诈骗、身份盗窃或其他犯罪行为。未加密的敏感数据容易受到破坏，因此，我们需要对敏感数据加密，这些数据包括：传输过程中的数据、 阅读全文
posted @ 2019-01-09 10:50 i11USi0n 阅读(1467) 评论(0) 推荐(0)
OWASP top 10 （2017） 学习笔记--失效的身份验证
摘要：A2:2017 - 失效的身份验证 漏洞描述： 通过错误使用应用程序的身份认证和会话管理功能，攻击者能够破译密码、密钥或会话令牌，或者利用其它开发缺陷来暂时性或永久性冒充其他用户的身份。 漏洞影响： 攻击者只需要访问几个帐户，或者只需要一个管理员帐户就可以破坏我们的系统。根据应用程序领域的不同，可能 阅读全文
posted @ 2019-01-09 10:48 i11USi0n 阅读(1940) 评论(0) 推荐(1)
OWASP top 10 （2017） 学习笔记-注入
摘要：A1:2017 - 注入 漏洞描述： 将不受信任的数据作为命令或查询的一部分发送到解析器时，会产生诸如SQL注入、NoSQL注入、OS注入和LDAP注入的注入缺陷。攻击者的恶意数据可以诱使解析器在没有适当授权的情况下执行非预期命令或访问数据。 漏洞影响： 注入能导致数据丢失、破坏或泄露给无授权方，缺 阅读全文
posted @ 2019-01-09 10:45 i11USi0n 阅读(722) 评论(0) 推荐(0)
上传文件漏洞（上传绕过）
摘要：0x00 漏洞概述 任意文件上传漏洞主要是由于程序员在开发文件上传功能时，没有考虑对文件格式后缀的合法性进行校验或只考虑在应用前端（Web 浏览器端）通过 javascript 进行后缀校验，攻击者可上传一个包含恶意代码的动态脚本（如 jsp、asp、php、aspx 文件后缀）到服务器上，攻击者访 阅读全文
posted @ 2018-09-21 01:21 i11USi0n 阅读(2700) 评论(0) 推荐(0)
不安全的直接对象引用漏洞（浅析）
摘要：漏洞定义 不安全的直接对象引用，也被称IDOR。IDOR允许攻击者绕过网站的身份验证机制，并通过修改指向对象链接中的参数值来直接访问目标对象资源，这类资源可以是属于其他用户的数据库条目以及服务器系统中的隐私文件等等。导致这种情况出现的原因是，系统在接受用户输入并利用输入信息获取对象之前没有对用户身份 阅读全文
posted @ 2018-09-09 00:47 i11USi0n 阅读(3232) 评论(0) 推荐(0)