axios现在最新的版本的是v0.19.0，本节我们来分析一下它的实现源码，首先通过 gitHub地址获取到它的源代码,地址:https://github.com/axios/axios/tree/v0.19.0下载后就可以看到axios的目录结构,主目录下有一个index.js文件，该文件比较简单，内容如下:就是去引入./lib/axios模块而已,lib目录内容如下:大致文件说明如下:inde
转载
2023-11-23 16:26:08
272阅读
墨者学院-X-Forwarded-For注入漏洞实战前言： 刷题之前看到X--Forwarded-For，之前也了解过一点，又去百度了一下，原来X-Forwarded-For 是一个 HTTP 扩展头部。HTTP/1.1（RFC 2616）协议并没有对它的定义，它最开始是由 Squid 这个缓存代理软件引入，用来表示 HTTP请求端真实 IP。如今它已经成为事实上的标准，被各大 HTTP 代理、
转载
2024-01-19 14:30:31
381阅读
2022年7月12日，Uniswap V3 平台遭受了网络钓鱼攻击。据Tokenview数据显示，攻击者已盗取7,573枚ETH，价值约810万美元。CZ预警Binance首席执行官CZ发推提醒，黑客在Uniswap V3平台上窃取了4,295枚ETH。最初CZ将这次攻击解释为Uniswap V3的协议漏洞，但很快就被澄清为这是一场网络钓鱼活动。Uniswap创始人Hayden Adams也证实了
转载
2023-08-29 11:23:59
15阅读
最近挖了一些。虽然重复了，但是有参考价值。这边给大家分享下。 重复还是很难受的，转念一想，人生从不是事事如人意的，重复忽略，不代表失败。先来后到很重要，出场顺序很重要。1.某站rce 忽略理由:不在范围内 作者神父& 感谢神父带我 测试域名:https://***.***:8089/ 同时存在CVE-2017-11357 CVE-2019-18935 CVE-20
转载
2024-04-21 06:49:52
457阅读
前言记录一次完整的某SRC漏洞挖掘实战，为期一个多星期。文章有点长，请耐心看完，记录了完整的SRC漏洞挖掘实战渗透过程因为选择的幸运儿没有对测试范围进行规划，所以此次范围就是没有范围。先上主域名看一眼，看看能收集到什么有效信息：发现存在搜索框：测试点＋1对页面点点点没发现什么有用的页面。抓包看看，发现网站搭建了CDN，还有特殊文件：难度+1，信息+1谷歌一下，Sitecore是CMS，如果能确定这
探索ring0内核漏洞概述内核漏洞的分类 运行在ring0上的操作系统内核、设备驱动、第三方驱动能共享同一个虚拟地址空间，可以完全访问系统空间的所有内存，而不像用户态进程那样拥有独立私有的内存空间。由于内核程序的特殊性，内核程序漏洞类型也更加丰富。 可以从漏洞的严重程度和漏洞的利用原理两个角度来对内核漏洞进行分类。漏洞的严重程度是指漏洞利用后所造成的危害；漏洞的利用原理指漏洞利用过程中使用的原理和
转载
2024-02-04 21:39:23
19阅读
前言Java反序列化漏洞可以说是Java安全的一块心病，近年来更是在安全界“出尽风头”。其实说到Java反序列化的问题，早在2015年年初的在AppSecCali大会上，两名安全研究人员Chris Frohoff 和 Gabriel Lawrence发表了一篇题为《Marshalling Pickles》的报告，就详细描述了Java反序列化漏洞可以利用Apache Commons Collecti
转载
2023-08-12 20:01:56
32阅读
代码执行最早被称为命令注入攻击，是指由于web应用程序对用户提交的数据过滤不严格，导致黑客可以通过构造特殊命令字符串的方式，将数据提交至web应用程序，并利用该方式执行外部程序或系统命令实施攻击非法获取数据或网络资源等。PHP代码执行： PHP代码执行是PHP应用程序中常见的脚本漏洞之一，国内著名的web应用程序Discuz、DedeCMS等都曾存在过该类型漏洞。命令执行漏洞是直接操作系
转载
2024-03-25 19:37:39
82阅读
漏洞扫描是一种安全检测行为，更是一类重要的网络安全技术，它能够有效提高网络的安全性，而且漏洞扫描属于主动的防范措施，可以很好地避免黑客攻击行为，做到防患于未然。那么好用的漏洞扫描工具有哪些？答案就在本文！5款工具，打包带走吧！ 第一款：Trivy概述 Trivy 是一个开源漏洞扫描程序，能够检测开源软件中的 CVE。这款工具针对风险提供了及时的解释，开发人员可自行决定是否在容器或应用程序中使用
转载
2023-12-28 18:53:07
525阅读
SQL注入漏洞原理：网站对用户输入的数据没有经过严格的过滤导致带入到数据库中执行造成数据库信息泄露注入类型：按注入点类型： 数字型、字符型、搜索型；按数据库类型： Access、MsSQL、MySQL、Oracle、DB2等；按提交方式： GET、POST、Cookie、HTTP头、XFF；按执行效果分：布尔盲注、时间盲注、报错注入、联合注入、堆叠查询注入；数据库信息泄露/GetShell(Web
转载
2023-10-08 14:07:48
116阅读
从 Github 上把 Axios 项目的 master 分支拷贝到本地，用编辑器打开项目目录首先我们先解析一下整个 Axios 项目的一些关键的文件结构 //对照项目的文件目录，梳理一下其中的一些关键文件夹以及它的作用
// axios源码总体结构
.
├── dist # 存放压缩过后的axios代码
├── examples # 存放axios方法应用示例
├── lib # 存放axio
转载
2023-12-27 16:58:34
145阅读
## 实现"addJavascriptInterface有漏洞问题"的步骤
### 流程图：
```mermaid
flowchart TD
A[创建WebView对象] --> B[通过WebView对象调用addJavascriptInterface方法]
B --> C[编写JavaScript代码]
C --> D[执行JavaScript代码]
D -
原创
2024-01-08 06:58:14
136阅读
axios是一个基于Promise的HTTP客户端，每周的npm下载量4000W+，如果回到在10年前，promise式的请求工具是一个很大的创新，它解决了请求繁琐的问题，在那个性能要求不那么高的年代可谓是一骑绝尘。但随着时间的推移，Axios在开发效率和性能方面开始有所落后，现在都已经是2023年了，面对日益复杂的需求，我们需要的是一款更具创新性和领先性的请求工具，而promise式的请求工具
转载
2023-12-06 14:57:59
89阅读
KAFKA不是单纯的消息机制，也可以作为可靠的存储介质。传统的消息队列系统。消息队列有一些不成文的规则，比如“不要在消息队列里保存消息”。传统的消息系统之所以不能用来保存消息，是因为：消息被读取后就会被删除伸缩性差缺乏健壮的复制机制（如果broker崩溃，数据也就丢失了) 实际上，Kafka并非传统意义上的消息队列，它与RabbitMQ等消息系统并不一样。它更像是一个分布式的文件系统或数
代码漏洞扫描常见漏洞1.日志注入（Log Forging漏洞）漏洞描述将未经验证的用户输入写入日志文件可致使攻击者伪造日志条目或将恶意信息内容注入日志。在以下情况下会发生日志伪造的漏洞：数据从一个不可信赖的数据源进入应用程序。数据写入到应用程序或系统日志文件中。影响：误导日志文件的解读；如果日志文件是自动处理的，可能影响日志处理应用程序。日志注入一般不会引起服务功能性的损害，而主要是作为一种辅助攻
转载
2023-12-02 13:32:24
452阅读
一、概念 XSS（cross site scripting）跨站脚本为了不与网页中层叠样式表（css）混淆，故命名为xss。黑客将恶意代码嵌入网页中，当客户网文网页的时候，网页中的脚本会自动执行，从而达成黑客攻击的目的。 XSS分类：反射型xss、持久性xss、dom型xss。二、反射型xss 非持久化，一般需要欺骗客户去点击构造好的链接才能触发代码。 &nbs
转载
2023-11-01 20:03:45
202阅读
一.CSRF是什么？ CSRF（Cross-site request forgery），中文名称：跨站请求伪造，也被称为：one click attack/session riding，缩写为：CSRF/XSRF。二.CSRF可以做什么？ 你这可以这么理解CSRF攻击：攻击者盗用了你的身份，以你的名义发送恶意请求。CSRF能够做的事情包括：以你名义发送邮件，发消息，盗取你的账号，甚至于购买商品
转载
2024-01-04 18:37:58
41阅读
事件起因，被迫参加某竞赛，中途发现，全员摸鱼，遂一起摸鱼 Vulhub是一个面向大众的开源漏洞靶场，无需docker知识，简单执行一条命令即可编译、运行一个完整的漏洞靶场镜像。Installation在Ubuntu 20.04下安装docker/docker-compose:# 安装pip
curl -s https://bootstrap.pypa.io/get-pip.py | pyth
棱镜七彩安全预警
原创
2023-01-11 17:06:08
206阅读
CVE-2010-1622很老的的一个洞了，最近在分析Spring之前的漏洞时看到的。利用思路很有意思，因为这个功能其实之前开发的时候也经常用，当然也有很多局限性。有点类似js原型链攻击的感觉，这里分享出来。介绍CVE-2010-1622因为Spring框架中使用了不安全的表单绑定对象功能。这个机制允许攻击者修改加载对象的类加载器的属性，可能导致拒绝服务和任意命令执行漏洞。Versions Aff
转载
2023-07-20 22:27:44
44阅读
