摘要：
AWD简介： 比赛中每个队伍维护多台服务器，服务器中存在多个漏洞，利用漏洞攻击其他队伍可以进行得分，修复漏洞可以避免被其他队伍攻击失分。 一般分配web服务器，服务器（多数为Linux）某处存在flag（一般在根目录下） Flag在主办方的设定下每隔一段时间刷新 各队一般都有自己的初始分数 扣除的积 阅读全文
posted @ 2023-07-18 10:02
Cx330ki
阅读(494)
评论(0)
推荐(0)
摘要：
CSRF漏洞解释，原理 CSRF：跨站请求伪造，是一种网络的攻击方式（核心：伪造请求） 黑客利用某网站用户的登陆状态，然后伪造请求的链接，造成对登录态用户的修改等各种危险操作 被攻击者需要依次完成两个步骤： 登陆受信任网站A，并在本地生成cookie； 在A的cookie存活期间，访问危险网站B。 阅读全文
posted @ 2023-03-17 15:16
Cx330ki
阅读(83)
评论(0)
推荐(0)
摘要：
常见WAF绕过思路 标签语法替换，特殊符号干预，/和#，提交方式更改，垃圾数据溢出，加解密算法，结合其他漏洞绕过 自动化工具说明 XSStrike主要特点反射和DOM XSS扫描，多线程爬虫，Context分析，可配置的核心，检测和规避WAF，老旧的JS库扫描，只能payload生成器，手工制作的H 阅读全文
posted @ 2023-03-17 15:05
Cx330ki
阅读(79)
评论(0)
推荐(0)
摘要：
进入后台获得后台权限：cookie权限进入后台；直接账号密码登录 Str-replace 关键字过滤 什么是httponly 如果在cookie中设置了httponly属性，那么通过js脚本将无法读取到cookie信息，这样能有效方式XSS攻击（是防止攻击，并不是防止XSS漏洞） 进入后台获取后台权 阅读全文
posted @ 2023-03-17 15:02
Cx330ki
阅读(146)
评论(0)
推荐(0)
摘要：
XSS平台及工具使用 postman可以通过获取的cookie登陆网站的后台 beef工具必须在linux中才可以使用 XSS经典应用案例测试 Webshell后门中的后门 箱子返回的代码中添加后门，然后获取到箱子的cookie后台 session与cookie获取问题 document.cooki 阅读全文
posted @ 2023-02-20 20:47
Cx330ki
阅读(53)
评论(0)
推荐(1)
摘要：
25、Web漏洞-XSS跨站之分类及攻击手法 XSS跨站漏洞产生原理、危害、特点 原理：在变量接受数据的时候，如果接受的数据被执行了，那么就铲产生了XSS漏洞。 危害： l 窃取管理员账号或cookie，入侵者可以冒充管理员的身份登陆后台，使得入侵者具有恶意操纵后台数据的能力，包括读取、更改、添加、 阅读全文
posted @ 2023-02-20 20:42
Cx330ki
阅读(27)
评论(0)
推荐(0)
摘要：
上传参数名解析：明确哪些东西是能够修改的 Contont-Disposition：一般可更改； Name：表单参数值，不可更改； Filename：文件名，可修改； Content-Type：文件MIME，视情况更改 常见绕过方式 数据溢出-防匹配（xxx……） 大量数据的重复溢出（在计算机中，当要 阅读全文
posted @ 2023-01-07 19:04
Cx330ki
阅读(126)
评论(0)
推荐(1)
摘要：
各个平台解析漏洞讲解 参考文献：中间件漏洞 IIS6/7简要说明-本地搭建 Apache配置安全—vulhub .htaccess Apache解析漏洞-低版本 符合Apache低版本就有漏洞 x.php.xxx.yyy 识别最后的yyy，如果不识别的就向前解析，直到识别 利用场景： 如果对方中间件 阅读全文
posted @ 2023-01-07 19:02
Cx330ki
阅读(43)
评论(0)
推荐(1)
摘要：
图片一句话制作方式 Copy 1.png/b+shell.php/a webshell.jpg 文件头检测 图像文件信息判断 逻辑安全-二次渲染 在我们上传文件后，网站会对图片进行二次处理（格式、尺寸要求等），服务器会把里面的内容进行替换更新，处理完成后，根据我们原有的图片生成一个新的图片并放到网站 阅读全文
posted @ 2023-01-07 19:02
Cx330ki
阅读(70)
评论(0)
推荐(1)
摘要：
后缀名：黑名单、白名单 l 黑名单：明确不让上传的格式后缀，比如asp、php、jsp、aspx、cgi、war等，但是黑名单易被绕过，比如上传ph5、phtml等。 l 白名单：明确可以上传的格式后缀，比如jpg、png、zip、rar、gif等，推荐白名单。 文件类型：MIME信息(MIME 类 阅读全文
posted @ 2023-01-07 19:00
Cx330ki
阅读(742)
评论(0)
推荐(0)
浙公网安备 33010602011771号