精细化扫描 XSS 漏洞 – 智能化场景分析作者：长亭科技星期二, 一月 15, 20191 XSS 攻击简单、危害大Web 应用的研发人员对用户的输入输出若不加以严格控制，会导致产生 XSS 漏洞。XSS 漏洞的利用方式也非常简单，普通的攻击者通过 XSS 漏洞发起攻击可以获取用户（甚至是管理员）的访问权限进行敏感操作。传统扫描 XSS 的方式
转载
2023-08-02 21:55:37
267阅读
XSS漏洞XSS介绍XSS全程跨站脚本，是将任意JavaScript代码插入到Web用户页面里执行以达到攻击目的的漏洞，攻击者利用浏览器动态展示数据功能，在HTML页面嵌入恶意代码。当用户去浏览该页面时，这些嵌入在HTML中的恶意JS代码就会被执行，用户浏览器被攻击者控制，从而达到攻击者的攻击目的，如：利用XSS平台窃取Cookie信息、Beef操作用户浏览器等。XSS产生原理形成XSS漏洞的主要
转载
2024-03-09 21:55:23
74阅读
python是门简单易学的语言，强大的第三方库让我们在编程中事半功倍，今天我们就来谈谈python在渗透测试中的应用，让我们自己动手打造自己的渗透工具集。作者：xiaoye一、信息搜集–py端口扫描小脚本端口扫描是渗透测试中常用的技术手段，发现敏感端口，尝试弱口令或者默认口令爆破也是常用的手段，之前自学python时候百度着写了个小脚本。端口扫描小脚本： #coding: utf-8
impor
转载
2024-07-27 13:22:53
38阅读
XSS的利用利用XSS窃取cookieXSS修改网页XSS获取用户信息XSS+CSRF 组合拳盲打XSS(Blind XSS)利用开启HttpOnly下的利用1.phpinfo页2.框架钓鱼3.跳转钓鱼4.历史密码5.获取源码6.通过xss伪造oauth等授权请求，远程登录其它 利用XSS窃取cookie窃取cookie是xss利用最常见的手段，攻击者有了cookie就相当于拥有了“管理员”身份
转载
2024-08-12 18:34:50
96阅读
作者：w7ay@知道创宇404实验室时间：2020年2月12日原文地址：https://paper.seebug.org/1119/为了实现自动刷SRC的目标，过年前就开始对w13scan的xss扫描功能进行优化，灵感来源于xray所宣称的基于语义的扫描技术。之前xss扫描是参考w3af中的源码，原理也很简单就是暴力的使用xss的payload进行请求，最后在返回文本中查找关键字,xsspaylo
原创
精选
2020-02-16 20:19:50
9798阅读
1评论
– 自动刷SRCw13scan的xss扫描功能进行优化灵感注入xray所引起的基于语义的扫描技术。xss扫描之前是w3afxss paylo
原创
2022-05-19 09:16:45
1289阅读
一、扫描结果二、解决方案1.Content-Security-Policy头缺失或不安全 1.1作用简称CSP，意为内容安全策略，通过设置约束指定可信的内容来源，降低异源文件攻击，例如：js/css/image等
个人不建议配置，一是安全威胁较低，而是需要熟悉每一个站点资源引用情况，并且后续资源引用发生变化会导致错误1.2 相关设置值指令名demo说明default-src's
转载
2024-02-27 13:19:56
733阅读
0x00.个人感悟:一个大牛的成长，是离不开一样东西的，资源！！这个缺一不可的，但是资源从哪里来呢？资源可以说为，别人总结的经验，又或者是别人的笔记等等~ 但是资源多，并不能意味着什么，我们要利用资源合理去学习其中的重点，有时候你会发现自己看了很多书，视频等..但是，到头来却什么都没学会，原因就是你看懂了，但是实践的少就会忘记，为什么九九乘法表我们到现在都不会忘，因为生活中我们会经常用，所以不会忘
转载
2024-01-01 16:09:16
4阅读
自己购买服务器搭建网站就涉及到一个服务器安全问题，虽然你自己不知道，但是每天服务器都在被一些机器人扫描。本文奶爸给大家分享几个Nginx的规则可以防止服务器被扫描。1、禁止默认通过IP访问服务器每台服务器都有一个IP地址，而一些机器人会直接通过访问ip地址的方法来探测你网站上的内容。我们可以在Nginx的配置信息里面添加下面的代码来实现禁止通过IP地址访问服务器。#别人如果通过ip或者未知域名访问
转载
2024-05-22 13:21:23
534阅读
目录前言正文0x01：源码分析0x02 其他弹窗方式1）伪协议弹窗2）事件型弹窗0x03 靶场实战 0x04 其他常用事件1）onfoucs2）onmouseover0x04 弹窗函数0x05 拓展：总结：前言跨站脚本攻击。它指的是恶意攻击者往Web页面里插入恶意html代码，当用户浏览该页之时，嵌入其中Web里面的html代码会被执行，从而达到恶意的特殊目的。反射性XSS需要诱惑用户点
一、安全测试类型介绍 二、安全测试工具介绍11测试软件面向测试场景AWVS适用于系统漏洞扫描nessus适用于系统和数据库漏洞扫描，包括但不限于：主机、网络设备扫描appscan适用于网站等WEB应用进行自动化的应用安全扫描和测试burpsuite适用于WEB应用程序的集成攻击测试。包括但不限于：http请求爆破/爬取关键信息/DOS攻击，使用TCP洪水攻击耗尽服务器资源fo
Java Web学习四:XML&反射Java Web学习四:XML&反射一：XML&语法二：XML约束（Schema）1.DTD语法（了解）2.Schema约束三：dom4j解析（1）DOM：解析器把整个xml装在进内存，解析成一个Document对象2.（重点）DOM解析原理及结构模型四：dom4j解析，API使用说明五：反射&模拟浏览器路径 Java Web学
大范围XSS扫描工具：XSS-Freak，BurpSuite随机用户代理，Hades 静态代码审核系统。
原创
2023-09-27 15:04:25
0阅读
使用python实现端口扫描的脚本，使用到optparse模块解析命令 大部分解释已写入脚本注释。文件名为portscan.py'''
命令解析，多线程，端口扫描
----------author:Bluecap-------------
'''
#命令行参数解析模块
from optparse import OptionParser
import queue
import socket
imp
转载
2023-08-09 18:58:02
116阅读
近期线上出现一个bug，研发的小伙伴把测试环境的地址写死到代码中，在上线前忘记修改，导致线上发布的代码中使用了测试环境地址。开发过程中虽然有各种规范制度，但是难免有粗心，与其责备不如通过技术手段将问题进行避免。为了达到上述需求，初步想通过以下步骤来实现代码关键字自动扫描告警。Python安装Git安装GitPython安装定时任务配置（方案一：crontab 方案二：APS
转载
2023-08-29 18:04:17
58阅读
运维脚本：python实现批量IP端口扫描专注网络运维，只发实用干货 今天不想更新，发一篇存货，分享一小段python代码给大家，能实现简单的批量端口扫描，废话不多说，先上代码：===========================================================# -*- coding: utf-8 -*-
import socket
im
转载
2023-06-14 14:54:08
211阅读
目录1. 简介2. 代码实现1. 简介很多童鞋都会有这样一个需求，我想要扫描特定网段并需要知道未使用和已使用的IP有哪些，甚至需要将其做统计，那这时候用Python去实现IP段扫描就会比较的轻松，当前文中我是将数据保存到mongo中，这里的代码只做参考，需要根据实际的场景进行修改！！2. 代码实现import time
import IPy
from concurrent.futures impo
转载
2023-05-23 22:17:31
130阅读
当 redis 内存过期速度赶不上内存增长，会导致 redis 内存占用越来越大，我们可以调整 redis 清理频率，也可以手动扫描 redis 来触发内存清理。使用 python 执行以下代码即可：import redis
r = redis.Redis()
t = r.scan()
while t[0]:
t = r.scan(t[0])
转载
2023-06-28 20:37:45
67阅读
使用三方库：socket,threadpool测试目标：127.0.0.1程序原理：使用socket对目标+端口创建连接，如果存在则代表端口开放程序运行结果：1609737692_5ff2a5dc0593c02f5d225.png!small程序代码：#!/usr/bin/python-- coding: UTF-8 --‘’’ 多线程目录扫描器 作者：木尤 声明：本脚本仅用于学习交流，请勿用于非
转载
2023-07-09 12:16:10
104阅读
序接着学习。其实，在端口扫描工具里面有一个特别出名，那就是nmap，其官方网站是 https://nmap.org/，而Python里面也有一个nmap模块，此次就是使用 python-nmap 模块，借用nmap模块来进行端口扫描。nmap安装我的电脑系统是 Windows 10 ，Python版本是 2.7.13 64bit。最简单的安装方式是：pip install python-
转载
2023-06-29 19:39:55
345阅读
