随笔分类 -  web安全

HTTP请求走私
摘要：HTTP请求走私简介 HPPT请求走私是一种干扰网站处理HTTP请求系列方式的技术，请求走私大多发生于前端服务器对客户端传入的数据理解不一致的情况。这是因为HTTP规范提供了两种不同的方法来指定请求的结束位置，即Content-Length和Transfer-Encoding标头。 分类 CLTE： 阅读全文
posted @ 2024-03-02 17:43 kalixcn 阅读(133) 评论(0) 推荐(0)
Web技术演化
摘要：Web技术演化 1. 简单网站 静态页面 Web技术在最初阶段，网站的主要内容是静态的，大多站点托管在ISP上，由文字和图片组成，制作和表现形式也是以表格为主。 多媒体阶段 随着技术的不断发展，音频、视频、Flash等多媒体技术诞生了。 CGI阶段 CGI定义了Web服务器与外部应用程序之间的通信接 阅读全文
posted @ 2024-02-18 16:48 kalixcn 阅读(40) 评论(0) 推荐(0)
解析漏洞
摘要：Web容器解析漏洞简介 Web容器解析漏洞会将其他类型的文件当作脚本语言的文件进行解析，执行其中的代码。一般，在利用解析漏洞时都要配合文件上传的功能。 1. Apache解析漏洞 在Apache1.x和2.x版本中，Apache可以识别多个文件扩展名。如果文件存在多个扩展名，Apache会从后向前开 阅读全文
posted @ 2024-02-02 17:29 kalixcn 阅读(101) 评论(0) 推荐(0)
中间件漏洞
摘要：中间件漏洞 IIS服务器漏洞 IIS文件上传漏洞 IIS6.0 PUT上传漏洞是比较经典的ISS漏洞，如果IIS开启了PUT上传方法，就可以利用此方法上传任意文件，因此，该漏洞危害极大。 漏洞产生原因 IIS6.0 PUT上传漏洞产生的原因 IIS Server在WEB服务扩展中开启了WebDAV 阅读全文
posted @ 2024-02-02 16:49 kalixcn 阅读(147) 评论(0) 推荐(0)
sql注入学习
摘要：SQL注入分类 SQL注入按照类型分为数字型注入和字符型注入。注入点的数据类型为数字型时为数字型注入，注入点的数据类型为字符型为字符型注入。 SQL注入按照服务器返回信息是否显示分为报错注入和盲注。如果在注入的过程中，程序将获取的信息或者报错信息直接显示在页面中，这样的注入为报错注入；如果在注入的过 阅读全文
posted @ 2024-01-29 09:00 kalixcn 阅读(286) 评论(0) 推荐(0)
基础认证
摘要：### HTTP基础认证暴力破解 挂上 BurpSuite 的代理，随便输个账号密码（比如: 账号aaa 密码 bbb）访问，查看 HTTP 响应报文： ![img](https://img2023.cnblogs.com/blog/3171137/202308/3171137-2023082115 阅读全文
posted @ 2023-08-21 15:54 kalixcn 阅读(93) 评论(0) 推荐(0)
安全设备默认账号密码
摘要：防火墙 厂商 默认地址 用户名 密码 天融信 192.168.1.254 superman talent/talent@123 华为 192.168.0.1:8443 admin Huawei@123/Admin@123 网御星云一代防火墙 https://10.1.5.254:8889 admin 阅读全文
posted @ 2023-07-26 11:20 kalixcn 阅读(872) 评论(0) 推荐(0)
sql注入神功大法
摘要：### 一、mysql常用函数与参数 | 函数或者参数 | 用法 | | | | | version() | 数据库版本 | | user() | 数据库用户名 | | database() | 数据库名 | | @@datadir | 数据库路径 | | @@version_compile_os 阅读全文
posted @ 2023-07-24 16:15 kalixcn 阅读(175) 评论(0) 推荐(0)
SQL注入绕过
摘要：### SQL注入绕过 **1. 大小写绕过** SQL语句对大小写不敏感、开发人员做的黑名单过滤过于简单。 **2. 双写绕过** 双学绕过的原理是后台利用正则匹配到敏感词将其替换为空。例如：selselectect -> select **3. 空格过滤** 如果遇到空格被过滤了，主要的几个思路 阅读全文
posted @ 2023-07-18 17:12 kalixcn 阅读(499) 评论(0) 推荐(0)
sql注入漏洞
摘要：### 一、sql注入类型 sql注入方式根据应用程序处理数据库返回内容的不同，可以分为可显注入、报错注入和盲注。 **1. 可显注入** 攻击者可以直接在当前界面内容中获取想要获得的内容。 **2. 报错注入** 数据库查询返回结果并没有在页面中显示，但是应用程序将数据库报错信息打印到了页面中，所 阅读全文
posted @ 2023-07-17 15:01 kalixcn 阅读(92) 评论(0) 推荐(0)
文件包含漏洞
摘要：1. 漏洞产生的原因 文件包含漏洞产生的原因主要是开发人员没有正确的输入验证和参数过滤，或者在包含文件时使用了不安全的方式。以下是导致文件包含漏洞的几种原因： 非法输入过滤：开发人员没有对用户输入的参数进行正确的过滤和检查，导致攻击者可以在包含文件时控制参数的值，从而访问敏感文件。 绝对路径：在包含 阅读全文
posted @ 2023-05-03 14:55 kalixcn 阅读(597) 评论(0) 推荐(0)