摘要：
背景 Serialize() //将一个对象转换成一个字符串 unserialize() //将字符串还原成一个对象 通过序列化与反序列化我们可以很方便的在PHP中进行对象的传递。本质上反序列化是没有危害的。但是如果用户对数据可控那就可以利用反序列化构造payload攻击。 常见方法 __const 阅读全文
posted @ 2021-02-11 17:36
丶音尘绝
阅读(69)
评论(0)
推荐(0)
摘要：
0x00 文件包含与文件包含漏洞 文件包含是指，服务器执行PHP文件时，可以通过文件包含函数加载另一个文件中的PHP代码，并且当PHP来执行。文件包含还有另外一个名称，那就是代码重用。我们若是需要修改页面，只需要修改一个头部代码文件就可以了，其他上万个页面将会全部对应改变。 文件包含漏洞是指客户端（ 阅读全文
posted @ 2021-02-11 17:23
丶音尘绝
阅读(245)
评论(0)
推荐(0)
摘要：
0x00 SQL注入原理与分类 原理 SQL注入是因为后台SQL语句拼接了用户的输入，而且Web应用程序对用户输入数据的合法性没有判断和过滤，攻击者可以通过构造不同的SQL语句来实现对数据库的任意操作。比如查询、删除，增加，修改数据等等，如果数据库的用户权限足够大，还可以对操作系统执行操作。 分类 阅读全文
posted @ 2021-02-11 16:40
丶音尘绝
阅读(146)
评论(0)
推荐(0)
浙公网安备 33010602011771号