摘要: 今天看到$sql = "SELECT * FROM admin WHERE pass = '".md5($password,true)."'";这样一个sql,其实可以注入。 思路比较明确,当md5后的hex转换成字符串后,如果包含'or'<trash>这样的字符串,那整个sql变成 很明显可以注入 阅读全文
posted @ 2019-01-22 14:59 yh_ma 阅读(180) 评论(0) 推荐(0) 编辑
摘要: Web安全视频 Online-Security-Videos – 红日Web安全攻防视频 Online-Security-Videos – 西安鹏程网络安全攻防课程 Online-Security-Videos – Vulhub系列视频 Online-Security-Videos – 米斯特Web 阅读全文
posted @ 2019-01-22 10:32 yh_ma 阅读(422) 评论(0) 推荐(0) 编辑
摘要: Java反序列化漏洞简介 Java序列化就是把对象转换成字节流,便于保存在内存、文件、数据库中,Java中的 ObjectOutputStream 类的writeObject()方法可以实现序列化。 Java反序列化即逆过程,由字节流还原成对象。ObjectInputStream类的readObje 阅读全文
posted @ 2019-01-21 16:08 yh_ma 阅读(1697) 评论(0) 推荐(0) 编辑
摘要: Firefox下 Chrome下 前端渗透工具 HTTP代理工具 漏洞扫描工具 漏洞利用 抓包工具 大数据平台 更多自己看看Kali Linux(老的是:BackTrack)。 节省生命推荐:熟练Linux众多命令+Vim。 阅读全文
posted @ 2019-01-17 09:40 yh_ma 阅读(113) 评论(0) 推荐(0) 编辑
摘要: XSS’OR这是一个在线免费的前端黑工具,目前主要包含 3 大模块: 1. Encode/Decode 加解密模块,包含:前端黑相关的加解密,代码压缩、解压、美化、执行测试,字符集转换,哈希生成,等。 2. Codz 代码模块,包含:CSRF 请求代码生成,AJAX 请求代码生成,XSS 攻击矢量, 阅读全文
posted @ 2019-01-17 09:32 yh_ma 阅读(270) 评论(0) 推荐(0) 编辑
摘要: 前言 对于xxe漏洞的认识一直都不是很清楚,而在我为期不长的挖洞生涯中也没有遇到过,所以就想着总结一下,撰写此文以作为记录,加深自己对xxe漏洞的认识。 xml基础知识 要了解xxe漏洞,那么一定得先明白基础知识,了解xml文档的基础组成。 XML用于标记电子文件使其具有结构性的标记语言,可以用来标 阅读全文
posted @ 2019-01-16 11:10 yh_ma 阅读(191) 评论(0) 推荐(0) 编辑
摘要: ★ Order by 注入本文所说的 Order by注入的题目在:Injection Flaws -> SQL injection(mitigation) -> 第8页的题目。网址为:http://127.0.0.1:8080/WebGoat/start.mvc#lesson/SqlInjecti 阅读全文
posted @ 2019-01-16 10:56 yh_ma 阅读(454) 评论(0) 推荐(1) 编辑
摘要: WebGoat SQL盲注 解题思路 ★ 题目:SQL Injection (advanced)地址: http://127.0.0.1:8080/WebGoat/start.mvc#lesson/SqlInjectionAdvanced.lesson/4 题目要求最终以Tom的身份登录到系统中。 阅读全文
posted @ 2019-01-16 10:54 yh_ma 阅读(296) 评论(0) 推荐(0) 编辑
摘要: 概述 wavsep 是一款基于java的简单web攻防靶场,利用最简单的jsp技术进行实现。 GitHub地址为 https://github.com/sectooladdict/wavsep。 部署后首页截图 部署 从git上下载包后,倒入eclipse中,修复jdk版本号即可。wavsep使用的 阅读全文
posted @ 2019-01-15 14:52 yh_ma 阅读(921) 评论(0) 推荐(0) 编辑
摘要: 概述 这是 WebGoat 的最后一部分,主要内容是 WebGoat中的Challenge,前面还有 1 和 2。 Challenge Admin lost password 本题目的服务端源代码。 可以看到是直接用两个输入和两个字符串常量做匹配,然后做了一个与操作。感觉无法绕过??? Withou 阅读全文
posted @ 2019-01-15 14:48 yh_ma 阅读(1254) 评论(0) 推荐(0) 编辑