摘要：
XSS-labs通关总结 基础知识 https://www.cnblogs.com/-meditation-/p/16168961.html Level 1 第一关很明显输入test在 <h2>中显示，看过上面链接的文章，就知道这是HTML标签<h2>之间的输出，直接使用<script>alert( 阅读全文
posted @ 2022-04-22 11:11
Rodericklog
阅读(934)
评论(0)
推荐(0)
摘要：
XSS跨站脚本攻击 简介 XSS全称跨站脚本(Cross Site Scripting)，为不和层叠样式表(Cascading Style Sheets, CSS)的缩写混淆，故缩写为XSS。XSS攻击通常指的是通过利用网页开发时留下的漏洞，通过巧妙的方法注入恶意指令代码到网页，使用户加载并执行攻击 阅读全文
posted @ 2022-04-20 10:58
Rodericklog
阅读(1547)
评论(0)
推荐(0)
摘要：
Java代码审计漏洞-XSS漏洞 基础知识 https://www.cnblogs.com/-meditation-/p/16168961.html 个人学习笔记，直接看代码，不写奇怪的东西，分析代码写注释。 情况一：反射型XSS //1. /** * Vuln Code. * ReflectXSS 阅读全文
posted @ 2022-04-18 18:14
Rodericklog
阅读(814)
评论(0)
推荐(0)
摘要：
【Vulfocus】CVE-2022-22965：Spring core RCE漏洞 漏洞影响范围 1、JDK版本为9及以上 2、使用Spring框架及衍生框架的应用系统，版本低于5.3.18和5.2.20 3、目前公开的漏洞利用仅影响使用Tomcat中间件且开启了Tomcat日志记录的应用系统 漏 阅读全文
posted @ 2022-04-18 15:25
Rodericklog
阅读(1491)
评论(0)
推荐(0)
摘要：
Java代码审计漏洞-SQL注入 基础知识 https://www.cnblogs.com/-meditation-/p/16031461.html https://www.cnblogs.com/-meditation-/p/16031338.html https://www.cnblogs.co 阅读全文
posted @ 2022-04-16 12:53
Rodericklog
阅读(339)
评论(0)
推荐(0)
摘要：
Web安全总结 初心 2020年7月大学毕业，参加工作到现在，已经入安全行当1年半，学的东西很多、很杂，没有很好的知识体系结构，为了更好的沉淀自己，所以开始写博客，这篇文章是自己写web相关文章一个规划，将web的漏洞梳理一遍，入行一年，知识面远远不够，可能不全，后面经过时间的沉淀，后续在继续补 阅读全文
posted @ 2022-04-15 14:08
Rodericklog
阅读(298)
评论(0)
推荐(0)
摘要：
综合利用 跨站脚本攻击(XSS) 漏洞描述 攻击者向Web页面里插入恶意的脚本代码（如javascript脚本），当用户浏览该Web页面时，嵌入其中的脚本代码会被执行，达到攻击用户的目的。 【高危】应用中存在存储型跨站 【中危】应用中存在反射型跨站 漏洞挖掘 1)针对web应用程序中每个页面上的用户 阅读全文
posted @ 2022-04-15 13:47
Rodericklog
阅读(328)
评论(0)
推荐(0)
摘要：
权限相关漏洞 权限缺失 Flash跨域访问 漏洞描述 跨域：协议，域名，端口三者为域，既三者之间有一个不同即为跨域。 flash访问另一个域的数据，flash player 会自动从该域加载策略文件（crossdomain.xml）,如果访问的数据所在的域名在策略文件中设置过允许访问，则该域的数据即 阅读全文
posted @ 2022-04-15 13:45
Rodericklog
阅读(897)
评论(0)
推荐(0)
摘要：
防护功能相关漏洞 防护功能失效 账号弱锁定机制 漏洞描述 低危漏洞，系统帐号锁定时间太短，账户在多次尝试失败后锁定时间低于 3 分钟。 漏洞挖掘 直接爆破，看锁定账户时间是否充分。 修复方式 多次输入登陆失败，锁定账户时间超过3分钟 图形验证码可自动获取 漏洞描述 低危漏洞，图形验证码过于简单，可使 阅读全文
posted @ 2022-04-15 13:44
Rodericklog
阅读(1357)
评论(0)
推荐(0)
摘要：
业务相关漏洞 业务逻辑篡改 密码修改/重置流程跳过 漏洞描述 高危漏洞，密码修改功能常采用分步骤方式来实现，攻击者在未知原始密码的情况下绕过某些检验步骤修改用户密码。有些密码修改／重置流程采用step=1、step=2类似的方式实现，如果应用校验不全面，攻击者可绕过前面的步骤，直接访问最后一步，输入 阅读全文
posted @ 2022-04-15 13:42
Rodericklog
阅读(699)
评论(0)
推荐(0)
浙公网安备 33010602011771号