写在前面该文章是关于作者在PortSwigger的SSRF靶场训练的记录和学习笔记
使用的工具为BurpSuite
有问题请留言
简介SSRF全称Server-Side Request Forgery（服务端请求伪造），这种允许者操纵服务端向非预期目标发起请求
SSRF根据有无回显可分为普通SSRF和BlindSSRF
对使用黑名单机制
原创
2024-07-14 15:47:42
304阅读
API测试主要包含了对开放api期望运行逻辑的破坏以及对未开放的api的检测和调用，导致的危害可能有敏感信息泄露，应用行为被改变等
原创
2024-07-14 01:41:55
274阅读
一篇关于路径遍历portswigger的lab的笔记
原创
2024-07-12 23:57:19
190阅读
该文章是作者在PortSwigger靶场训练的记录和笔记
原创
2024-07-13 16:04:29
226阅读
摘要：本靶场演示了如何利用link标签的accesskey属性绕过XSS防护。通过注入accesskey='x'onclick='alert(1)'，当用户按下Alt+X快捷键时即可触发弹窗。关键在于：1）利用accesskey提供触发机制；2）通过onclick注入恶意代码；3）闭合href属性实现注入。这种方法有效解决了link标签不可交互的难题，展示了属性组合在中的巧妙应用。（149字）
目录前言上期回顾靶场信息靶场地址跨站点脚本速查表 题解16.允许使用一些 SVG 标记的反射型 XSS解题思路解题过程17.规范链接标签中的反射型 XSS解题思路解题过程18.将反射型 XSS 注入 JavaScript 字符串中，并使用单引号和反斜杠进行转义解题思路解题过程19.将反射型 XSS 注入带有尖括号和双引号的 JavaScript 字符串中，并使用 HTML 编码和单引号进
目录前言上期回顾靶场信息靶场地址题解1.无防御的 CSRF 漏洞解题思路解题过程2.CSRF，其中令牌验证取决于请求方法解题思路解题过程3.CSRF，其中令牌验证取决于令牌是否存在解题思路解题过程4.令牌与用户会话不绑定的 CSRF解题思路解题思路5.将令牌与非会话 cookie 绑定的 CSRF解 ...
首先放张报错截图，对号入座解决这个问题很简单，依次点击图示位置将Allow the embedded browser to run without a sandbox.勾选上后在回去点击open browst就解决了欢迎关注公众号，原创不易，转载请注明来源哦????...
原创
2022-04-20 17:31:57
3074阅读
摘要：该实验室存在反射型XSS漏洞，由于特殊字符转义机制（尖括号和双引号被HTML编码，单引号被转义）导致常规攻击方法失效。通过巧妙构造payload（'-alert(1)//），利用双重转义原理：用户输入的反斜杠会转义服务器添加的转义符，最终使单引号成功闭合字符串并执行alert(1)。攻击过程分为三步：输入构造的payload、服务器转义处理、浏览器解析执行，成功绕过了防护机制。（149字）
LAB1https://portswigger.net/web-security/sql-injection/lab-retrieve-hidden-data注入点：categorypayload：'or+1=1+--LAB2https://portswigger.net/web-security/sql-injection/lab-login-bypass注入点：usernamepayload：
原创
2023-04-23 18:00:36
3642阅读
开启burpSuite，浏览器设置代理之后，如果访问使用https的网站时，会被卡住，告诉你“您的访问不安全”之类的。简单地说，这是证书与证书信任的问题，解决方法是下载burpSuite官方(也就是portSwigger)的证书，并信任它。官方指导：https://support.portswigger.net/customer/portal/articles/1783075-installing
Java 1.Burp Suite 英国PortSwigger团队开发，用起来很顺手，安全行业占有率很高，闭源、收费。 最近又出了款
转载
2023-05-16 23:23:04
762阅读
Burp Suite是一款功能强大的集成式Web应用程序安全测试工具，由PortSwigger公司开发，主要用于帮助安全测试人员
原创
2024-03-19 12:29:04
0阅读
https://portswigger.net/web-security/deserialization/exploiting/lab-deserialization-modifying-serialized-objects 靶场内容： 本实验使用基于序列化的会话机制，因此容易受到权限提升的影响。为 ...
转载
2021-08-23 09:52:00
353阅读
2评论
网络安全渗透神器——Burp Suite使用教程环境准备下载Burpsuite Pro 2022.2.2 Jar文件、注册机、jdkBurpsuite：https://portswigger.net/Burp/Releases
注册机：https://github.com/h3110w0r1d-y/BurpLoaderKeygen/releases
jdk：https://www.oracle
转载
2023-11-15 16:53:58
7阅读
HTTP
Burp Suite
https://portswigger.net/burp/
很多时候，免费版本已经满足需求
Fiddler
http://www.telerik.com/fiddler
Firefox
Firebug
NoScript
Chrome
F12
WhatWeb
htt
转载
2023-11-01 15:19:39
0阅读
下载：https://portswigger.net/burp/releases/download?product=community&version=2021.6.2&type=WindowsX64
打开burpsuite
修改报文编码
User options->Change font->选择仿宋/宋体
设置代理拦截
点击Open browser进行浏览器测试
原创
2021-07-27 10:07:26
2572阅读
Burp Suite是一款用于Web应用程序安全测试的集成式平台。它由PortSwigger Ltd.开发，是一个功能强大的工具，用于发现Web应用程序的漏洞和安全问题，例如跨站点脚本（XSS）、SQL注入、会话劫持等。
原创
2023-05-04 10:21:09
1069阅读
burpsuite抓取小程序 https数据包 burpsuite官网下载 https://portswigger.net/burp 破解工具 通过网盘分享的文件：burp破解工具.zip 链接: https://pan.baidu.com/s/1An6ebL2LdM3VvFhJSRf4Zg? ...
网络安全渗透神器——Burp Suite使用教程环境准备下载Burpsuite Pro 2022.2.2 Jar文件、注册机、jdkBurpsuite：https://portswigger.net/Burp/Releases
注册机：https://github.com/h3110w0r1d-y/BurpLoaderKeygen/releases
jdk：https://www.oracle
