目录Apache 文件名解析漏洞(info.php.x 绕过)IIS6.0解析漏洞文件名解析漏洞(time.asp;1.jpg）目录解析漏洞(1.asp/time.jpg)PHP-CGI 解析漏洞（IIS 7.0（info.png/.php））Nginx解析漏洞1. 空字节漏洞（nginx/0.7.65）(/info.png%00.php)2. 文件名逻辑漏洞-CVE-2013-4547（1.4.
转载
2024-04-07 10:19:09
23阅读
看到别人写的文章就转载了服务器解析漏洞算是历史比较悠久了，但如今依然广泛存在。在此记录汇总一些常见服务器的解析漏洞，比如IIS6.0、IIS7.5、apache、nginx等方便以后回顾温习。（一）IIS5.x-6.x解析漏洞使用iis5.x-6.x版本的服务器，大多为windows server 2003，网站比较古老，开发语句一般为asp；该解析漏洞也只能解析asp文件，而不能解析aspx文件
转载
2017-08-14 09:59:31
1887阅读
跨站脚本攻击漏洞描述：目标存在跨站脚本攻击。1.跨站脚本攻击就是指恶意攻击者向网页中插入一段恶意代码，当用户浏览该网页时，嵌入到网页中的恶意代码就会被执行。2.跨站脚本攻击漏洞，英文名称Cross Site Scripting，简称CSS又叫XSS。它指的是恶意攻击者向Web页面中插入一段恶意代码，当用户浏览该页面时，嵌入到Web页面中的恶意代码就会被执行，从而达到恶意攻击者的
转载
精选
2014-05-04 14:37:32
889阅读
一、iis 6.0 当建立xxx.asp、xxx.asa文件夹时，其目录下的任意文件都将被IIS当作asp文件解析。 xxx.asp;.jpg，IIS默认分号后面不解析。 二、apache .php.jpg 从右向左解析，直到合法的后缀为止。 三、nginx .jpg/.php 原理：nginx中p ...
转载
2021-10-27 17:26:00
187阅读
2评论
[+]IIS 6.01. 目录解析：/xx.asp/xx.jpg xx.jpg可替换为任意文本文件(e.g. xx.txt)，文本内容为后门代码。（或者在fider里面如果有topath的话尝试，直接加目录传Jpg）比如 在网站下建立文件夹的名字为 .asp、.asa 的文件夹，其目录内的任何扩展名的文件都被IIS当作asp文件来解析并执行。例如创建目录 wooyun.asp，那么/
原创
2014-03-18 16:46:32
2520阅读
【Web渗透测试】—Web漏洞漏洞利用情景CTF，SRC，红蓝对抗取漏洞重点内容CTF：文件上传、S
原创
2022-07-04 09:07:23
1077阅读
点赞
漏洞描述 CSRF是跨站请求伪造，不攻击网站服务器，而是冒充用户在站内的正常操作。通常由于服务端没有对请求头做严格过滤引起的。CSRF会造成密码重置，用户伪造等问题，可能引发严重后果。绝大多数网站是通过 cookie 等方式辨识用户身份，再予以授权的。所以要伪造用户的正常操作，最好的方法是通过 XS ...
转载
2021-09-14 17:27:00
252阅读
2评论
XML基础 XML由三个部分构成，分别是：文档类型定义（Document Type Definition，DTD），即XML的布局语言；可扩展的样式语言（Extensible Style Language，XSL），即XML的样式语言；以及可扩展链接语言（Extensible Link Langua ...
转载
2021-09-15 18:23:00
324阅读
2评论
XML基础 XML由三个部分构成，分别是：文档类型定义（Document Type Definition，DTD），即XML的布局语言；可扩展的样式语言（Extensible Style Language，XSL），即XML的样式语言；以及可扩展链接语言（Extensible Link Langua ...
转载
2021-09-15 18:23:00
530阅读
2评论
现在有许多消息令我们感到Web的危险性，因此，当前如何构建一个安全的Web环境成为网管员和安全管理员们义不容辞的责任。但是巧妇难为无米之炊，该选择哪些安全工具呢?扫描程序可以在帮助造我们造就安全的Web站点上助一臂之力，也就是说在黑客“黑”你之前，先测试一下自己系统中的漏洞。我们在此推荐，供您参考。
1. Nikto
这是一个开源的Web服务器扫描程序，它可以对Web服
转载
精选
2012-03-27 14:11:34
611阅读
目录：
1.sql注入获取数据库信息2.sql注入绕过管理后台登录3.反射型xss4.存储型xss5.csrf6.文件上传7.暴力破解8.目录遍历9.权限跨越10.文件包含11.未知漏洞
web漏洞演练平台：https://pentesterlab.com/web_for_pentester.html
web漏洞演练平台使用手册及答案详解：https://pentesterlab.com/web_
转载
2014-03-19 21:02:00
138阅读
2评论
本文是对Web中最常见漏洞的一个小结：注入类漏洞：SQL注入：SQL注入漏洞详解 XML注入：XXE(XML外部实体注入)
原创
2022-08-11 09:52:26
129阅读
SkipFish skipfish语法格式，其他参数使用skipfish -h查看文档 -C 指定Cookie 最终会在~/root下面生成指定的文件夹，访问其中的index.html即可
原创
2021-06-04 20:29:48
438阅读
漏洞描述 SSRF（Server-Side Request Forgery，服务器端请求伪造）：通俗的来说就是我们可以伪造服务器端发起的请求，从而获取客户端所不能得到的数据。SSRF漏洞形成的原因主要是服务器端所提供的接口中包含了所要请求的内容的URL参数，并且未对客户端所传输过来的URL参数进行过 ...
转载
2021-09-15 09:23:00
2994阅读
2评论
在Kubernetes（K8S）中，web service 漏洞是指存在于服务部署中的安全漏洞，可能会导致恶意攻击者利用这些漏洞来获取敏感信息或者干扰服务正常运行。作为一名经验丰富的开发者，我们需要重视服务的安全性，并及时修复可能存在的漏洞。
实现 web service 漏洞的过程主要包括以下步骤：
| 步骤 | 描述 |
| --------
原创
2024-04-26 10:55:03
128阅读
漏洞介绍所谓SQL注入(SQLInjection),就是通过把SQL命令插入到Web表单提交或输入域名或页面请求的查询字符串,最终
