随笔分类 -  Web安全

文件类漏洞
摘要：一：文件上传漏洞 1、文件上传过程中，前端或者后端对上传的文件未做有效的过滤，导致恶意者上传一些带恶意代码的文件进入后台。 分类： 从验证地方分为：前端验证和后端验证，前端验证绕过方式可通过禁用js或者修改数据包（lab l1）。后端绕过请看下文。 从验证方式分为：白名单和黑名单，白名单：可通过修改 阅读全文
posted @ 2022-03-04 16:03 乒·乓 阅读(324) 评论(0) 推荐(0)
编码绕过专题
摘要：1、php中：可以用这些绕过空格（命令执行） ${IFS} 但不能写作 $IFS $IFS$9 %09 <> < 2、url出现了有+，空格，/，?，%，#，&，=等特殊符号的时候，可能在服务器端无法获得正确的参数值。（文件上传，sql注入等） 解决办法将这些字符转化成服务器可以识别的字符，对应关系 阅读全文
posted @ 2022-03-03 16:24 乒·乓 阅读(145) 评论(0) 推荐(0)
代码执行及命令执行漏洞
摘要：一、代码执行： 在参数，变量等执行地方，更改提交方式，注入畸形代码，出发安全漏洞。主要原因：由于服务器未针对函数的参数做有效过滤操作，导致的漏洞。 1、常见的代码执行函数： PHP （1）eval() eval() 函数把字符串按照 PHP 代码来计算，如常见的一句话后门程序：<?php eval( 阅读全文
posted @ 2022-03-03 14:43 乒·乓 阅读(713) 评论(0) 推荐(0)