摘要：
1.拿到一个待检测的站，你觉得应该先做什么？收集信息：whois、网站源 IP、旁站、C 段网站、服务器系统版本、容器版本、程序版本、数据库类型、二级域名、防火墙、维护者信息、敏感目录文件、后台地址，cms识别、漏洞信息收集 2.mysql 的网站注入，5.0 以上和 5.0 以下有什么区别？5.0 阅读全文
posted @ 2023-04-10 23:19
hello_bao
阅读(1788)
评论(0)
推荐(0)
摘要：
1、JWT（json web token）攻击手法（头部、负载、签名）？未校验签名 解码后换内容再编码禁用哈希 算法修改为none暴破弱密钥操纵Key ID 原因是key ID 里的内容可能被作为参数进数据库或者查询 （SQL注入、目录遍历、命令注入） 8、文件上传绕过？ 4、SSRF漏洞利用本地： 阅读全文
posted @ 2023-04-10 21:35
hello_bao
阅读(116)
评论(0)
推荐(0)
浙公网安备 33010602011771号