摘要：
XSL(可扩展样式表语言)是一种用于转换XML文档的语言，XSLT表示的就是XSL转换，而XSL转换指的就是XML文档本身。转换后得到的一般都是不同的XML文档或其他类型文档，例如HTML文档、CSV文件以及明文文本文件等等。 一般来说，应用程序或模板引擎在处理不同文件类型时需要使用XSLT来进行数 阅读全文
posted @ 2018-11-16 16:28
京亟QAQ
阅读(1138)
评论(0)
推荐(0)
摘要：
之前遇到提交json的请求想要进行csrf攻击都是用的闭合表单的方法，很笨很麻烦， 这次看到了别人的操作记录一下. 这里用到了ajax异步请求（但是这里我有个疑问就是：这里用到了cors跨域，是不是必须服务器端也支持cors且又配置错误的情况才可以用此方法？待验证） <html> <body> <s 阅读全文
posted @ 2018-11-08 18:29
京亟QAQ
阅读(743)
评论(0)
推荐(0)
摘要：
以前一直觉得sessionid固定和session混淆就是两个一样的东西，后来发现两者还是要分开来的，主要因为利用场景的不同！！！ sessionid固定和session混淆还是需要区分开来的一般情况下：sessionid固定原理是因为用户登陆后未创建创建新的会话，导致sessionid不变（大部分 阅读全文
posted @ 2018-11-08 16:50
京亟QAQ
阅读(1293)
评论(0)
推荐(0)
摘要：
写这篇文章的目的一是由于目前网上关于java代码审计的资料实在是太少了，本人作为一个java代码审计的新手，深知学习java代码审计的难受之处，所以将自己学习过程中挖掘的一些漏洞写成博客发出来希望可以给后人一些帮助，同时也可以记录下自己的成长过程。目的二是由于这次挖掘的漏洞REDOS，个人觉得这个漏 阅读全文
posted @ 2018-10-19 16:56
京亟QAQ
阅读(2568)
评论(1)
推荐(1)
摘要：
__init__():__init__方法在类的一个对象被建立时，马上运行。这个方法可以用来对你的对象做一些你希望的初始化。注意，这个名称的开始和结尾都是双下划线。代码例子: p = Person('Swaroop')p.sayHi() 输出：Hello, my name is Swaroop 说明 阅读全文
posted @ 2018-10-19 09:48
京亟QAQ
阅读(6854)
评论(0)
推荐(0)
摘要：
最近在看open rasp，看源码的时候涉及到一些编译原理的知识，花了半天时间了解了一下。 JVM最主要的功能就是为了让java程序在任意平台上运行，也就是java语言的最重要的特性：平台无关性。 Java代码编译和执行的过程：（javac命令用于编译java文件成为class文件，java命令用于 阅读全文
posted @ 2018-10-15 16:24
京亟QAQ
阅读(288)
评论(0)
推荐(0)
摘要：
在freebuf上看到了一个关于任意用户重置密码的系列文章，感觉挺不错了，算得是上比较全得了，年初就看过，今天突然发现他出了新的文章，这里记录一下。 原网址：http://www.freebuf.com/articles/web/160883.html。 之所以写这篇文章主要是想总结一下这块的问题， 阅读全文
posted @ 2018-09-10 20:44
京亟QAQ
阅读(2342)
评论(0)
推荐(0)
摘要：
第五十五关：和上一关类似，只是拼凑的方法不一样，所以需要先判断后台是怎么拼凑的 分别输入id=1'--+ id=1"--+ id=') --+ id=1")--+ id=1)--+ 发现只有id=1)--+可以正常显示，说明是数字型 用的括号闭合。 后面的流程就一样了。 第五十六关、五十七关也和之前 阅读全文
posted @ 2018-09-06 20:44
京亟QAQ
阅读(619)
评论(0)
推荐(0)
摘要：
第五十四关： 这关大概意思就是尝试次数不能多于十次，必须十次之类查询处特点的key。 第一次：输入单引号报错 第二次：输入双引号不报错 说明后台是单引号进行的拼凑 第三步：这里应该是判断列，用order by来判断。 这里已知是三行（手动滑稽） 第四步：?id=-1' union select 1, 阅读全文
posted @ 2018-09-06 20:17
京亟QAQ
阅读(465)
评论(0)
推荐(0)
浙公网安备 33010602011771号