风炫安全

2021年1月9日

摘要：风炫安全web安全学习第三十四节课文件包含漏洞防御文件包含防御在功能设计上不要把文件包含的对应文件放到前台去操作过滤各种../,https://, http:// 配置php.ini文件 allow_url_fopen=off allow_url_include=off magic_quot 阅读全文

posted @ 2021-01-09 11:57 风炫安全阅读(61) 评论(0) 推荐(0) 编辑

风炫安全web安全学习第三十三节课文件包含漏洞基础以及利用伪协议进行攻击

摘要：风炫安全web安全学习第三十三节课文件包含漏洞基础以及利用伪协议进行攻击文件包含漏洞参考文章：https://chybeta.github.io/2017/10/08/php%E6%96%87%E4%BB%B6%E5%8C%85%E5%90%AB%E6%BC%8F%E6%B4%9E/ 分类 L 阅读全文

posted @ 2021-01-09 11:53 风炫安全阅读(110) 评论(0) 推荐(0) 编辑

风炫安全web安全学习第三十二节课 Python代码执行以及代码防御措施

摘要：风炫安全web安全学习第三十二节课 Python代码执行以及代码防御措施 Python 语言可能发生的命令执行漏洞内置危险函数 eval和exec函数 eval eval是一个python内置函数，语法为eval(expression, globals=None,locals=None) eval 阅读全文

posted @ 2021-01-09 11:46 风炫安全阅读(234) 评论(0) 推荐(0) 编辑

2021年1月5日

风炫安全web安全学习第三十一节课命令执行以及代码执行演示

摘要：风炫安全web安全学习第三十一节课命令执行以及代码执行演示参考： http://blog.evalshell.com/2020/12/20/风炫安全web安全学习第三十一节课-命令执行以及代/ 阅读全文

posted @ 2021-01-05 20:30 风炫安全阅读(72) 评论(0) 推荐(0) 编辑

风炫安全web安全学习第三十节课命令执行&代码执行基础

摘要：风炫安全web安全学习第三十节课命令执行&代码执行基础代码执行&命令执行 RCE漏洞，可以让攻击者直接向后台服务器远程注入操作系统命令或者代码，从而控制后台系统。远程系统命令执行一般出现这种漏洞，是因为应用系统从设计上需要给用户提供指定的远程命令操作的接口比如我们常见的路由器、防火墙、入侵阅读全文

posted @ 2021-01-05 20:16 风炫安全阅读(72) 评论(0) 推荐(0) 编辑

风炫安全web安全学习第二十九节课 CSRF防御措施

摘要：风炫安全web安全学习第二十九节课 CSRF防御措施 CSRF防御措施增加token验证对关键操作增加token验证，token值必须随机，每次都不一样关于安全的会话管理（SESSION）不要在客户端保存敏感信息关闭浏览器直接销毁SESSION 设置会话过期操作，比如超过15分钟没有操作，阅读全文

posted @ 2021-01-05 20:14 风炫安全阅读(50) 评论(0) 推荐(0) 编辑

风炫安全web安全学习第二十八节课 CSRF攻击原理

摘要：风炫安全web安全学习第二十八节课 CSRF攻击原理 CSRF 简介跨站请求伪造 (Cross-Site Request Forgery, CSRF)，也被称为 One Click Attack 或者 Session Riding ，通常缩写为CSRF，是一种对网站的恶意利用。尽管听起来像XSS，阅读全文

posted @ 2021-01-05 20:12 风炫安全阅读(82) 评论(0) 推荐(0) 编辑

风炫安全WEB安全学习第二十七节课 XSS的防御措施

摘要：风炫安全WEB安全学习第二十七节课 XSS的防御措施 XSS防御措施总的原则控制好输入/输出过滤：根据业务需求进行过滤，对email，手机号码这样的输入框进行验证。转义：所有输出到前端的数据都根据输出点进行转义，对输入的字符串进行html实体化编码 PHP php可以用以下函数来防御 htm 阅读全文

posted @ 2021-01-05 19:20 风炫安全阅读(153) 评论(0) 推荐(0) 编辑

风炫安全WEB安全学习第二十六节课 XSS常见绕过防御技巧

摘要：风炫安全WEB安全学习第二十六节课 XSS常见绕过防御技巧 XSS绕过-过滤-编码核心思想后台过滤了特殊字符，比如说标签，但该标签可以被各种编码，后台不一定过滤，当浏览器对该编码进行识别的时候，会翻译成正常的标签，从而被执行。 <img src=x onerror="alert('xxx')" 阅读全文

posted @ 2021-01-05 19:16 风炫安全阅读(146) 评论(0) 推荐(0) 编辑

风炫安全WEB安全学习第二十五节课利用XSS键盘记录

摘要：风炫安全WEB安全学习第二十五节课利用XSS键盘记录 XSS键盘记录同源策略是浏览器的一个安全功能，不同源的客户端脚本在没有明确授权的情况下，不能读写对方资源。所以xyz.com下的js脚本采用ajax读取abc.com里面的文件数据是会被拒绝的。同源策略限制了从同一个源加载的文档或脚本如何与阅读全文

posted @ 2021-01-05 19:13 风炫安全阅读(171) 评论(0) 推荐(0) 编辑

公告