zhengna - 博客园

2022年1月5日

2021年书单

摘要： 2021年书单： 01.吴军《格局》（2021.01.04读完） 02.乔治奥威尔《动物农场》（2021.01.12读完） 03.亦舒《喜宝》（2021.01.22读完） 04.傅雷《傅雷家书》（2021.01.26读完） 05.曹昇《流血的仕途·李斯与秦帝国》（2021.04.21读完） 06.亦阅读全文

posted @ 2022-01-05 10:07 zhengna 阅读(260) 评论(0) 推荐(1)

2021年12月28日

38：WEB漏洞-反序列化之PHP&JAVA全解(下)

摘要：思维导图 Java中的API实现：位置： Java.io.ObjectOutputStream java.io.ObjectInputStream 序列化： ObjectOutputStream类 --> writeObject() 注：该方法对参数指定的obj对象进行序列化，把字节序列写到一个目阅读全文

posted @ 2021-12-28 10:13 zhengna 阅读(1252) 评论(0) 推荐(1)

37：WEB漏洞-反序列化之PHP&JAVA全解(上)

摘要：思维导图知识点 PHP反序列化原理：未对用户输入的序列化字符串进行检测，导致攻击者可以控制反序列化过程，从而导致代码执行，SQL注入，目录遍历等不可控后果。在反序列化的过程中自动触发了某些魔术方法。当进行反序列化的时候有可能触发对象中的一些魔术方法。 serialize() //将一个对象转换为阅读全文

posted @ 2021-12-28 10:07 zhengna 阅读(1060) 评论(0) 推荐(0)

2021年12月27日

36：WEB漏洞-逻辑越权之验证码与Token及接口

摘要：知识点验证码安全分类：图片，手机或者邮箱，语音，视频，操作等原理：验证生成或验证过程中的逻辑问题危害：账户权限泄露，短信轰炸，遍历，任意用户操作等漏洞：客户端回显(已讲)，验证码复用，验证码爆破(已讲)，绕过等 Token安全基本上述同理，主要验证中可存在绕过可继续后续测试 token爆阅读全文

posted @ 2021-12-27 11:12 zhengna 阅读(1402) 评论(0) 推荐(0)

35：WEB漏洞-逻辑越权之找回机制及接口安全

摘要：知识点找回重置机制客户端回显：验证码在客户端浏览器或数据包中回显 Response状态值：单独请求回复状态值判断验证码是否正确验证码爆破：验证码纯数字过于简单找回流程绕过：跳过中间验证步骤，直接抓包最后一步接口调用乱用短信轰炸，来电轰炸等本课重点：案例1：找回密码验证码逻辑-爆破测试阅读全文

posted @ 2021-12-27 10:47 zhengna 阅读(594) 评论(0) 推荐(0)

34：WEB漏洞-逻辑越权之登录脆弱及支付篡改

摘要：知识点登录应用功能点安全问题检测功能点，检测，危害，修复方案等 1.登录点暴力破解 2.HTTP/HTTPS传输 3.Cookie脆弱点验证 4.session固定点测试 5.验证密文比对安全测试数据篡改安全问题原理，检测，危害，修复等参考：https://www.secpulse.com 阅读全文

posted @ 2021-12-27 10:44 zhengna 阅读(625) 评论(0) 推荐(0)

33：WEB漏洞-逻辑越权之水平垂直越权全解

摘要：思维导图知识点水平越权，垂直越权，未授权访问解释，原理，检测，利用，防御等水平越权：通过更换的某个ID之类的身份标识，从而使得A账号获取（修改，删除等）B账号的数据。垂直越权：通过低权限身份的账号，发送高权限账号才能有的请求，获得其高权限的操作。未授权访问：通过删除请求中的认证信息后重放阅读全文

posted @ 2021-12-27 10:39 zhengna 阅读(4552) 评论(0) 推荐(0)

32：WEB漏洞-文件操作之文件下载读取全解

摘要：思维导图知识点文件下载，读取原理，检测，利用，修复等漏洞发现从文件名，参数值，目录符号等 read.xxx?filename= down.xxx?filename= readfile.xxx?file= downfile.xxx?file= ../ ..\ .\ ./ 等 %00 ？ %2 阅读全文

posted @ 2021-12-27 10:36 zhengna 阅读(1141) 评论(0) 推荐(0)

31：WEB漏洞-文件操作之文件包含漏洞全解

摘要：思维导图知识点文件包含漏洞原理，检测，类型，利用，修复等原理：将文件以脚本执行文件包含各个脚本代码 ASP,PHP,JSP,ASPXdeng   <c:import url 阅读全文

posted @ 2021-12-27 10:34 zhengna 阅读(983) 评论(0) 推荐(0)

2021年12月2日

24：WEB漏洞-文件上传之WAF绕过及安全修复

摘要：本课重点案例1：上传数据包参数对应修改测试案例2：safedog+云服务器+uploadlabs测试案例3：safedog+云服务器+uploadlabs_fuzz测试案例4：文件上传安全修复方案-函数自定义及WAF 案例1：上传数据包参数对应修改测试上传参数名解析：明确哪些东西能修改？阅读全文

posted @ 2021-12-02 10:53 zhengna 阅读(1326) 评论(0) 推荐(0)

公告