秋说

摘要： 原创文章，禁止转载。 目录调研背景搭建TinyMCE富文本编辑器靶场富文本编辑器前端过滤富文本编辑器后端攻击后端弱过滤弱过滤1弱过滤2后端有效过滤从甲方的视角看动态安全 调研背景 随着Web 2.0技术的普及，富文本编辑器在各种Web应用中得到了广泛应用，用户、网站管理员等可以通过富文本编辑器在网页 阅读全文

摘要： ## Command Injection ==命令注入（Command Injection）是一种安全漏洞，发生在应用程序使用用户提供的输入作为系统命令的一部分而未经充分验证和过滤的情况下。== 当应用程序在构造系统命令时，如果没有对用户输入进行适当的验证和过滤，攻击者可以通过在用户输入中插入恶意命 阅读全文

摘要： ## CSRF ==CSRF（Cross-Site Request Forgery，跨站请求伪造）是一种常见的Web应用程序安全漏洞，它利用了用户在已认证的网站中的身份，通过欺骗用户发起非预期的请求。== 攻击者会构造一个恶意网页，使用户在浏览器中访问该网页时，自动向目标网站发送了未经用户授权的请求 阅读全文

摘要： ## Insecure CAPTCHA CAPTCHA（Completely Automated Public Turing test to tell Computers and Humans Apart，全自动区分计算机和人类的图灵测试）是一种常用的人机验证机制，旨在防止恶意机器人或自动化程序对网 阅读全文

摘要： 概念详解 SQL注入（Blind）是一种常见的安全漏洞，它允许攻击者向应用程序的数据库中执行恶意的SQL查询。 在传统的SQL注入攻击中，攻击者可以直接获取到应用程序返回的数据库错误信息或查询结果，从而了解到他们所注入的恶意SQL语句是否生效。 但在盲注（Blind）注入中，攻击者无法直接获取到这些 阅读全文

摘要： ## 会话ID及弱会话ID 会话 ID（Session ID）是用于标识用户与服务器之间会话的唯一标识符。它通常在用户身份验证成功后由服务器生成，并通过 Cookie 或其他方式存储在客户端。会话 ID 在整个会话期间用于验证用户身份和维护会话状态。 弱会话 ID（Weak Session ID）指 阅读全文

摘要：  ## CSP概念 CSP 是 Content Security Policy（内容安全策略）的缩写，是一种用于增强 W 阅读全文

摘要： ## Low level 主页面如下：  点击 `Quote 1`，发现url传递参数 ![在这里插入图片描述](http 阅读全文

摘要： ## 题目要求 在郑州大学综合办事大厅，每天陆陆续续有很多人来排队办事。现在你能否写程序帮助老师时刻了解当前办理业务的情况。 输入格式: 第一行一个数字N，表示排队信息或者查询信息条目的数量。 以下N行，每行的内容有以下3种情况 (1) in name 表示名字为name的人员新来到办事大厅，排在队 阅读全文

摘要： ## 题目要求 题目描述：定义一个时间类，小时和分钟是其两个私有成员数据。输入一个起始时间和一个结束时间(起始时间早于结束时间)，通过运算符重载-（减号），计算这两个时间相隔多少分钟。说明：这两个时间在同一天之内，且采用24小时计时分式，即从00:00-23:59。 输入格式： 测试输入包含若干测试 阅读全文