E-COM-NET
首页
在线工具
Layui镜像站
SUI文档
联系我们
推荐频道
Java
PHP
C++
C
C#
Python
Ruby
go语言
Scala
Servlet
Vue
MySQL
NoSQL
Redis
CSS
Oracle
SQL Server
DB2
HBase
Http
HTML5
Spring
Ajax
Jquery
JavaScript
Json
XML
NodeJs
mybatis
Hibernate
算法
设计模式
shell
数据结构
大数据
JS
消息中间件
正则表达式
Tomcat
SQL
Nginx
Shiro
Maven
Linux
swallow代码审计
PHP
代码审计
11—逻辑漏洞
文章目录一、常见的逻辑漏洞1、身份验证漏洞2、支付逻辑漏洞3、越权访问二、DedeCMS任意用户密码重置分析1、漏洞分析2、漏洞复现三、CmsEasy7.6.3.2订单金额修改漏洞分析1、漏洞复现2、漏洞分析四、参考资料一、常见的逻辑漏洞1、身份验证漏洞1)暴力破解漏洞综述:暴力破解漏洞,是常见的web安全问题,往往有基于表单的暴力破解、针对验证码的暴力破解等。造成这种安全隐患的原因在于系统没有对
W0ngk
·
2023-09-05 09:37
PHP代码审计
php
安全
web安全
逻辑漏洞
失效的访问控制
代码审计
流程
1.什么是
代码审计
代码安全审计是指开发和有安全经验的人员,通过阅读开发文档和源代码,以自动化分析工具或者人工分析为手段,对应用程序进行深入分析,高效全面的发现系统代码的编码缺陷以及开发人员人员不安全的编码习惯
DDosG
·
2023-09-04 18:19
安全
文件读取漏洞复现(Metinfo 6.0.0)
文章目录安装环境启动环境漏洞复现
代码审计
安装环境安装phpstudy,下载MetInfo6.0.0版本软件,复制到phpstudy目录下的www目录中。
EMT00923
·
2023-09-04 16:38
网络安全
漏洞复现
网络
安全
文件上传漏洞
渗透测试漏洞原理之---【任意文件上传漏洞】
漏洞危害2、WebShell解析2.1、Shell2.2、WebShell2.2.1、大马2.2.2、小马2.2.3、GetShell3、任意文件上传攻防3.1、毫无检测3.1.1、源代码3.1.2、
代码审计
过期的秋刀鱼-
·
2023-09-04 15:30
#
渗透测试
web安全
【PWN · 栈迁移】[BUUCTF]ciscn_2019_es_2
一、
代码审计
有两次读入操作。read进的内容超过字符串的长度,存在栈溢出漏洞。然而计算溢出长度,发现只有8
Mr_Fmnwon
·
2023-09-03 16:19
【PWN
·
高级栈相关】
栈迁移
pwn
ctf
StackOverflow
【PWN · 栈迁移】[BUUCTF][Black Watch 入群题]PWN
记一道栈迁移题目前言【PWN·栈迁移】[BUUCTF]ciscn_2019_es_2_Mr_Fmnwon的博客-CSDN博客一、
代码审计
总结信息如下:1.第12行存在栈溢出漏洞,刚好可以溢出覆盖到ebp
Mr_Fmnwon
·
2023-09-03 16:19
【PWN
·
高级栈相关】
ctf
pwn
栈迁移
stackoverflow
Java
代码审计
13之URLDNS链
文章目录1、简介urldns链2、hashmap与url类的分析2.1、Hashmap类readObject方法的跟进2.2、URL类hashcode方法的跟进2.3、InetAddress类的getByName方法3、整个链路的分析3.1、整理上述的思路3.2、一些疑问的测试3.3、hashmap的put方法分析3.4、反射3.5、整个代码4、补充说明1、简介urldns链URLDNS链是jav
划水的小白白
·
2023-09-03 11:39
代码审计
java
开发语言
Java
代码审计
14之JDNI注入以及rmi和Ldap的利用
文章目录1、Jndi、Ldap、Rmi协议1.1、什么是ladp协议1.2、jndi协议1.3、rmi协议2、jndi注入2.1、简介与jdk版本限制2.2、rmi协议的利用2.2.1、更换idea的执行jdk版本2.2.2、生成恶意class文件payload2.2.3、模拟测试低版本jdk2.2.4、模拟高版本测试2.3、rmi攻击的疑问之两个两个步骤3、ladp协议利用3.1、测试ldap3
划水的小白白
·
2023-09-03 11:39
代码审计
java
开发语言
Java
代码审计
12之反序列化漏洞的审计与利用
文章目录1、重点函数,2、漏洞源码3、利用工具ysoserial4、修复漏洞1、重点函数,ObjectInputStream.readObjectObjectInputStream.readUnsharedXMLDecoder.readObjectYaml.loadXStream.fromXMLObjectMapper.readValueJSON.parseObject2、漏洞源码接受前端传参,然
划水的小白白
·
2023-09-03 11:09
代码审计
java
开发语言
Java
代码审计
15之Apache log4j2漏洞
文章目录1、log4j简介2、复现2.1、高版本测试2.2、测试代码2.3、补充之dns探测2.3.1、rmi、ldap也可以dnslog探测2.3.2、dnslog外带信息3、漏洞原理3.1、漏洞的危害大的背景3.2、具体的代码调试4、靶场测试4.1、dns探测4.2、工具下载与使用4.3、测试4.4、手工可以测出,部分扫描器扫不到5、bypass1、log4j简介ApacheLog4j2是⼀个
划水的小白白
·
2023-09-03 10:36
代码审计
学习
sql
java
文件包含漏洞利用的几种方法
文章目录安装环境启动环境漏洞花式利用蚁剑连接图片马读取敏感文件(hosts)读取该网站的php源码
代码审计
安装环境安装phpstudy,下载MetInfo5.0.4版本软件,复制到phpstudy目录下的
EMT00923
·
2023-09-03 08:13
网络安全
漏洞复现
文件包含漏洞
文件上传漏洞
网络
安全
失效的访问控制漏洞复现(dvwa)
dvwa漏洞复现用未授权访问获取shell
代码审计
失效访问控制是什么?由于缺乏自动化的检测和应用程序开发人员缺乏有效的功能测试,因而访问控制缺陷很常见。
EMT00923
·
2023-09-03 08:12
网络安全
漏洞复现
网络
安全
PHP
代码审计
入门(SQL注入漏洞挖掘基础)
SQL注入漏洞SQL注入经常出现在登陆页面、和获取HTTP头(user-agent/client-ip等)、订单处理等地方,因为这几个地方是业务相对复杂的,登陆页面的注入现在来说大多数是发生在HTTP头里面的client-ip和x-forward-for。1.普通注入普通注入是指最容易利用的SQL注入漏洞,比如直接通过注入union查询就可以查询数据库,一般的SQL注入工具也能够非常好地利用。普通
weixin_30449239
·
2023-09-02 07:21
php
数据库
Centos下PostgreSQL安装及修改数据目录
花了半天时间…背景:内网服务器,搭了个sonarqube
代码审计
系统,用的docker,docker跑的postgresql数据库(有坑),数据库出过两次问题,不用docker了,老大说要本地装,今天收到命令
悠闲的悠闲
·
2023-09-02 06:00
OFCMS
代码审计
blog.csdn.net/oufua/article/details/82584637安装后是重启容器最后db-config.properties改成db.properties修改数据库连接搭建成功
代码审计
菜鸡学安全
·
2023-09-01 20:03
代码审计
java
网络安全
Metinfo6.0.0任意文件读取【漏洞复现】
文章目录1.1、漏洞描述1.2、漏洞等级1.3、影响版本1.4、漏洞复现
代码审计
漏洞点1.5、深度利用EXP编写1.6、漏洞挖掘1.7修复建议1.1、漏洞描述漏洞名称:MetInfo任意文件读取漏洞简介
过期的秋刀鱼-
·
2023-09-01 12:21
#
渗透测试
网络安全
DOM破坏绕过XSSfilter例题
目录一、什么是DOM破坏二、例题1三、多层关系1.Collection集合方式2.标签关系3.三层标签如何获取四、例题2五、例题31.
代码审计
2.payload分析一、什么是DOM破坏DOM破坏(DOMClobbering
Catherines7
·
2023-08-31 00:08
安全
xss
前端
web安全
javascript
Semgrep结合GitLab实现
代码审计
实践-服务端
一、背景前段时间在做
代码审计
,发现很多项目都存在安全隐患,大多数是来自于参数未过滤所造成的;为了解决这个问题,我将Web安全开发规范手册V1.0进行了培训,但是效果并不是太理想,原因是培训后开发者的关注点主要在功能完成度上
汤青松
·
2023-08-30 21:02
代码规范
dvwa文件上传通关及代码分析
>对上传的文件没有任何过滤,上传一个具有一句话木马的php文件:上传成功,并且返回成功的地址:medium等级做
代码审计
:Yourimagewas
EMT00923
·
2023-08-30 06:47
网络安全
android
dvwa
文件上传漏洞
任意文件上传
2.1Shell2.1.1命令解释器2.2WebShell2.2.1大马2.2.2小马2.2.3GetShell2.2.4WebShell项目3.任意文件上传攻防3.1毫无检测3.1.1源代码3.1.2
代码审计
来日可期x
·
2023-08-30 05:01
网络安全
安全
系统安全
网络安全(黑客技术)学习手册
3.所需要的技术水平需要掌握的知识点偏多(举例):外围打点能力渗透漏洞挖掘流量分析
代码审计
逆向免杀4.国家政策环境对于国家与企业的地位愈发重要,没有网络安全就没有国
德西德西
·
2023-08-29 12:11
web安全
学习
安全
网络安全
开发语言
php
python
dvwa xss通关
xss/)通关成功:medium难度直接下面代码尝试后失败alert(/xss/)发现这段代码直接被输出:尝试修改标签的字母大小写,做大小写绕过:alert(/xss/)通关成功:high难度查看源码,做
代码审计
EMT00923
·
2023-08-28 09:22
网络安全
xss
前端
PHP
代码审计
-- 以ctfshow php特性 93-104为例
web93(intval()特性)来看源码首先是弱比较(不能等于4476)然后是正则比较不能出现大小写的字母最后就是等于4476;过滤了字母,所以不能用16进制,可以用8进制或者小数绕过/?num=010574或/?num=4476.1web94(intval()特性)来看源码函数分析:strpos()函数返回匹配的字符位置,默认从0开始strpos(string,find,start)strin
0e1G7
·
2023-08-28 04:58
作业
刷题笔记
php
开发语言
安全
经验分享
web安全
网络安全—黑客技术(学习笔记)
3.所需要的技术水平需要掌握的知识点偏多(举例):外围打点能力渗透漏洞挖掘流量分析
代码审计
逆向免杀4.国家政策环境对于国家与企业的地位愈发重要,没有网络安全就没有国
德西德西
·
2023-08-27 18:52
web安全
学习
笔记
网络安全
网络
安全
python
NSSCTF——Web题目2
HNCTF2022Week1]WhatisWeb三、[LitCTF2023]1zjs四、[NCTF2018]签到题五、[SWPUCTF2021新生赛]gift_F12一、[HNCTF2022Week1]2048知识点:源
代码审计
解题思路
賺钱娶甜甜
·
2023-08-27 00:48
CTF
web安全
xsschallenge通关(11-15)
level11老规矩,先查看源码,做
代码审计
:","",$str11);$str33=str_replace("没有找到和".htmlspecialchars($str)."相关的结果.".'';?
EMT00923
·
2023-08-26 15:07
网络安全
xss
上海大学生两道
代码审计
题目
放假抽空和同学打了一哈上海大学生的ctf,题目质量一般,脑洞太大,不过有两道
代码审计
题目还是不错的,同时自己也有好多点没有考虑到,这里记录一哈学习经验。
yangc随想
·
2023-08-26 07:27
记一次较为详细的某CMS
代码审计
前言本次审计的话是Seay+昆仑镜进行漏洞扫描Seay的话它可以很方便的查看各个文件,而昆仑镜可以很快且扫出更多的漏洞点,将这两者进行结合起来,就可以发挥更好的效果。昆仑镜官方地址https://github.com/LoRexxar/Kunlun-M环境KKCMS环境搭建KKCMS链接如下https://github.com/liumengxiang/kkcms安装的话正常步骤就好,即1、解压至
红队蓝军
·
2023-08-26 06:51
学习
网络安全
安全
web安全
网络安全工程师岗位一览-徐庆臣(黑客洗白者)
安全服务工程师安全运维工程师渗透测试工程师Web安全工程师安全攻防工程师等保测评工程师……
代码审计
工程师威胁分析工程师无线安全工程师安全研发工程师移动安全工程师云计算安全工程师……
黑客洗白者
·
2023-08-25 17:17
网络安全
网络安全工程师
渗透测试
网络
安全
web安全
网络安全
安全服务工程师-徐庆臣(黑客洗白者)
职位描述负责安全服务项目中的实施部分,包括:漏洞扫描、渗透测试、安全基线检查、
代码审计
、应急响应等;爆发高危漏洞后时行漏洞的分析应急;对公司安全产品的后端支持;掌握专业文档编写技巧;关注行业态势和热点。
黑客洗白者
·
2023-08-25 17:43
网络安全
网络安全工程师
渗透测试
安全
网络
web安全
网络安全
服务器
[HarekazeCTF2019]Easy Notes-
代码审计
文章目录[HarekazeCTF2019]EasyNotes-
代码审计
[HarekazeCTF2019]EasyNotes-
代码审计
登录之后有几个功能点,可以添加节点,然后使用Export导出我们查看源码
Leekos
·
2023-08-25 09:50
wp
web安全
ctf
wp
【安全】原型链污染 - Hackit2018
目录准备工作解题
代码审计
Payload准备工作将这道题所需依赖模块都安装好后运行一下,然后可以试着访问一下,报错是因为里面没内容而已,不影响,准备工作就做好了解题
代码审计
constexpress=require
OoGalxy
·
2023-08-25 08:35
安全
javascript
前端
网络安全(黑客)自学笔记
3.所需要的技术水平需要掌握的知识点偏多(举例):外围打点能力渗透漏洞挖掘流量分析
代码审计
逆向免杀4.国家政策环境对于国家与企业的地位愈发重要,没有网络安全就没有国
德西德西
·
2023-08-25 07:35
网络安全
web安全
开发语言
网络
计算机网络
python
[LitCTF2023] web方向全题解wp
导弹迷踪前端js小游戏开调试器进行
代码审计
可知当游戏进入finished状态的时候会得到flag,可以直接找到Followmeandhackme传参题,按照要求传参直接出CTF=Lit2023Post:
Leafzzz__
·
2023-08-25 05:33
CTF比赛复现
php
web安全
SQL注入之宽字节注入
注入练习让转义符失效联合查询
代码审计
宽字节注入是什么?宽字节注入准确来说不是注入手法,而是另外一种比较特殊的情况。宽字节注入的目的是绕过单双引号转义。
EMT00923
·
2023-08-24 17:25
网络安全
sql
android
数据库
【安全】原型链污染 - Code-Breaking 2018 Thejs
目录准备工作环境搭建加载项目复现
代码审计
payload总结准备工作环境搭建NodejsBurpSuite加载项目项目链接①下载好了cmd切进去②安装这个项目可以检查一下③运行并监听可以看到已经在3000
OoGalxy
·
2023-08-24 08:16
安全
javascript
前端
原型链污染
node.js
漏洞挖掘和安全审计的技巧与策略
文章目录漏洞挖掘:发现隐藏的弱点1.源
代码审计
:2.黑盒测试:3.静态分析工具:安全审计:系统的全面评估1.渗透测试:2.
代码审计
:3.安全策略审查:代码示例:SQL注入漏洞挖掘拓展:自动化工具和漏洞数据库结论欢迎来到
IT·陈寒
·
2023-08-23 19:21
AIGC人工智能
安全
推荐算法
数据分析
0基础入门
代码审计
-2 Fortify初探
0x01序言目前又加入一位新童鞋了,最近将会再加入cs相关的专栏,都是以基础为主,毕竟太复杂的东西,能看懂的人太少。0x02准备工具1、Fortify2、需要审计的源码0x03Fortify的简单使用1、1、在开始菜单栏中找到AuditWorkbench。2、打开之后,是Fortify的首页(不同版本,首页可能不同)。3、选择AdvancedScan导入源码。1)选择源码;2)选择java版本;3
白夜鬼魅
·
2023-08-23 13:14
代码审计
安全
web安全
CSRF漏洞的挖掘与利用
黑盒测试的思路与
代码审计
基本一致,在关键功能处抓包查看有没有token验证,如果没有再次请求这个页面,删去referer,如果返回数据一致,那么大概率会出现CSRFCSRF百度上的意思是跨站请求伪造,其实最简单的理解我
白小黑
·
2023-08-22 06:15
代码审计
-审计工具介绍-DAST+SAST+IAST项目
DAST+SAST+IAST项目介绍DAST:动态应用程序安全测试(DynamicApplicationSecurityTesting)技术在测试或运行阶段分析应用程序的动态运行状态。它模拟黑客行为对应用程序进行动态攻击,分析应用程序的反应,从而确定该Web应用是否易受攻击。SAST:静态应用程序安全测试(StaticApplicationSecurityTesting)技术通常在编码阶段分析应用
xiaoheizi安全
·
2023-08-21 23:10
代码审计
网络安全
web安全
代码审计
--语言指南(c/c++)
目录1通用安全指南I.C/C++使用错误1.1不得直接使用无长度限制的字符拷贝函数1.2创建进程类的函数的安全规范1.3尽量减少使用_alloca和可变长度数组1.4printf系列参数必须对应1.5防止泄露指针(包括%p)的值1.6不应当把用户可修改的字符串作为printf系列函数的“format”参数1.7对数组delete时需要使用delete[]1.8注意隐式符号转换1.9注意八进制问题I
jerry-Autumn
·
2023-08-20 12:49
c++
c语言
开发语言
黑客学习笔记(网络安全)
3.所需要的技术水平需要掌握的知识点偏多(举例):外围打点能力渗透漏洞挖掘流量分析
代码审计
逆向免杀4.国家政策环境对于国家与企业的地位愈发重要,没有网络安全就没有国
德西德西
·
2023-08-19 14:25
学习
笔记
web安全
网络安全
网络
php
安全
模糊测试是如何高效挖掘漏洞,精准定位问题的?
企业挖掘漏洞的方式一般以人工+静态分析的
代码审计
工具。
开源网安
·
2023-08-18 13:32
安全
第三方软件测试报告收费标准影响因素?
和系统架构,测试工具选取和脚本录制正相关3、信息安全性系统架构,安全测试关注点如功能安全、漏洞扫描、
代码审计
、渗透测试对应的每关注点不一定工作量差
软件测评闲聊站
·
2023-08-18 12:21
软件测试
安全性测试
功能测试
压力测试
代码审计
-java项目-组件漏洞审计
代码审计
必备知识点:1、
代码审计
开始前准备:环境搭建使用,工具插件安装使用,掌握各种漏洞原理及利用,代码开发类知识点。
xiaoheizi安全
·
2023-08-18 03:43
代码审计
java
web安全
网络安全
tp5防止sql注入mysql_
代码审计
| ThinkPHP5漏洞分析之SQL注入(五)
本系列文章将针对ThinkPHP的历史漏洞进行分析,今后爆出的所有ThinkPHP漏洞分析,也将更新于ThinkPHP-Vuln(https://github.com/Mochazz/ThinkPHP-Vuln)项目上。本篇文章,将分析ThinkPHP中存在的SQL注入漏洞(orderby方法注入)。漏洞概要本次漏洞存在于Builder类的parseOrder方法中。由于程序没有对数据进行很好的过
Mandy Liu
·
2023-08-17 14:21
tp5防止sql注入mysql
php sql json防注入,
代码审计
| ThinkPHP5漏洞分析之SQL注入(六)
原标题:
代码审计
|ThinkPHP5漏洞分析之SQL注入(六)ThinkPHPThinkPHP漏洞分析,也将更新于ThinkPHP-Vuln(https://github.com/Mochazz/ThinkPHP-Vuln
食色也
·
2023-08-17 14:21
php
sql
json防注入
网络安全(黑客)自学笔记
3.所需要的技术水平需要掌握的知识点偏多(举例):外围打点能力渗透漏洞挖掘流量分析
代码审计
逆向免杀4.国家政策环境对于国家与企业的地位愈发重要,没有网络安全就没有国
羊村最强沸羊羊
·
2023-08-17 09:01
web安全
笔记
安全
网络安全
网络
python
网络协议
【Go语言】go_session(超级详细)
目录前言附件
代码审计
Index函数Admin函数Flask函数server.py问题思路本地搭建环境admin绕过SaveUploadedFile方法payload总结前言国赛初赛有一道题目gosession
拉马努金的小石头
·
2023-08-16 21:26
Go语言
golang
开发语言
后端
代码审计
-Thinkphp框架审计前置知识点
代码审计
必备知识点:1、
代码审计
开始前准备:环境搭建使用,工具插件安装使用,掌握各种漏洞原理及利用,代码开发类知识点。
xiaoheizi安全
·
2023-08-16 18:54
代码审计
网络安全
web安全
上一页
7
8
9
10
11
12
13
14
下一页
按字母分类:
A
B
C
D
E
F
G
H
I
J
K
L
M
N
O
P
Q
R
S
T
U
V
W
X
Y
Z
其他