08 2019 档案

httpleaks及url的小技巧（http:evil）
摘要：HTTP Leak攻击简介 当前Web技术下包含了大量HTML元素和属性，这些HTML元素和属性会请求一些外部资源，而在它们的HTTP请求过程中，可能存在潜在的敏感信息泄露。为此，德国著名网络安全公司Cure53发起了名为HTTP Leaks的攻击方法研究项目（项目参见Github -HttpLea 阅读全文
posted @ 2019-08-28 23:23 Alummox 阅读(442) 评论(0) 推荐(0)
jsfuck-原理
摘要：jsfuck真的fuck，第一眼就是WTF?? Example The following source will do an alert(1): [][(![]+[])[+[]]+([![]]+[][[]])[+!+[]+[+[]]]+(![]+[])[!+[]+!+[]]+(!![]+[])[+ 阅读全文
posted @ 2019-08-28 22:48 Alummox 阅读(1051) 评论(0) 推荐(0)
宽字节注入原理及利用
摘要：概念 单字节字符集： 所有的字符都使用一个字节来表示，比如 ASCII 编码。 多字节字符集： 在多字节字符集中，一部分字节用多个字节来表示，另一部分（可能没有）用单个字节来表示。 两位的多字节字符有一个前导字节和尾字节。 在某个多字节字符集内，前导字节位于某个特定范围内，尾字节也一样。 UTF-8 阅读全文
posted @ 2019-08-24 12:59 Alummox 阅读(6843) 评论(0) 推荐(1)
xss技巧记录
摘要：1、iframe的srcdoc属性 先演示一下 浏览器渲染后 srcdoc 是 HTML5 中的新属性。 定义 srcdoc 属性规定要显示在内联框架中的页面的 HTML 内容。 语法 2、反引号 这个可以参考“javascript模板字符串” 阅读全文
posted @ 2019-08-21 21:49 Alummox 阅读(221) 评论(0) 推荐(0)
SQL注入--盲注及报错注入
摘要：盲注查询 盲注其实就是没有回显，不能直观地得到结果来调整注入数据，只能通过其他方式来得到是否注入成功，主要是利用了一些数据库内置函数来达到的 布尔盲注 布尔很明显Ture跟Fales，也就是说它只会根据你的注入信息返回Ture跟Fales 其实登录处的注入就是布尔型的，万能密码就是构造一个永真的查询 阅读全文
posted @ 2019-08-18 21:18 Alummox 阅读(2257) 评论(0) 推荐(0)
SQL注入总结
摘要：SQL注入类型及检测注入 字符型注入 对于字符型注入，SQL语句如下 其实就是用户输入在引号内啦 就上面的定义来说，简单的检测方法就是用户输入带引号，以导致SQL语句结构不完整而报错或没有响应 True表示语句可用(正确显示内容或者操作有效) False表示语句不可用(Mysql报错或者无内容显示) 阅读全文
posted @ 2019-08-18 21:15 Alummox 阅读(1041) 评论(0) 推荐(0)
mysql安装及加固
摘要：mysql安装 查看是否安装mysql 我们先看一下有没有安装mysql 本地只安装了php链接mysql的库，没有安装mysql 如果有安装，可以使用安装的或者卸载了重新安装 添加yum源 去mysql官网查找yum源 找到最新的https://repo.mysql.com//mysql80-co 阅读全文
posted @ 2019-08-17 23:38 Alummox 阅读(547) 评论(0) 推荐(0)
php-fpm搭建及加固
摘要：php-fpm安装 nginx本身不能处理PHP，它只是个web服务器，当接收到请求后，如果是php请求，则发给php解释器处理，并把结果返回给客户端。 nginx一般是把请求发fastcgi管理进程处理，fascgi管理进程选择cgi子进程处理结果并返回被nginx。 那什么又是cgi呢？ CGI 阅读全文
posted @ 2019-08-17 23:30 Alummox 阅读(532) 评论(0) 推荐(0)
nginx搭建及加固
摘要：系统使用的是centos7 Nginx安装及配置 Nginx (engine x) 是一个高性能的HTTP和反向代理web服务器，同时也提供了IMAP/POP3/SMTP服务 安装 我是用的环境是centos 7，系统默认的yum源没有nginx，找到一个使用nginx官方源地址 首先建立nginx 阅读全文
posted @ 2019-08-17 22:13 Alummox 阅读(1138) 评论(0) 推荐(0)
javascript模板字符串（标签函数）
摘要：前面介绍了javascript的模板字符串的基本知识，今天深入学习一下标签函数 模板字符串概述 这里先简单说一下模板字符串的概念 1、模板字符串，从名字上可以得出其实返回的是字符串，普通使用其实就想引号一样的使用，只是加了一些功能 注：先这些实验例子都是自浏览器控制台中测试的。 当做引号使用，返回字 阅读全文
posted @ 2019-08-13 22:49 Alummox 阅读(27738) 评论(0) 推荐(1)
javascript模板字符串（反引号）
摘要：模板字面量 是允许嵌入表达式的字符串字面量。 你可以使用多行字符串和字符串插值功能。它们在ES2015规范的先前版本中被称为“模板字符串”。 语法 描述 模板字符串使用反引号 () 来代替普通字符串中的用双引号和单引号。模板字符串可以包含特定语法（${expression}）的占位符。占位符中的表达 阅读全文
posted @ 2019-08-12 23:19 Alummox 阅读(9271) 评论(0) 推荐(2)