这次学习SQL注入，就不放学习的基本链接了，本篇文章主要就是演示一些基本的SQL注入漏洞的发现和使用，特别是在利用它了解数据库上。 基于SQL的联系有很多很好的平台 SEED Lab、OWASP，这里我主要是用了WebGoat和DVWA做演示，尤其是DVWA，它有三个等级，更加利于SQL的深入学习。...
分类：
数据库 时间：
2015-11-21 00:31:03
阅读次数：
166
0x00 索引说明6.30在OWASP的分享，关于业务安全的漏洞检测模型。进一步的延伸科普。0x01 身份认证安全1 暴力破解在没有验证码限制或者一次验证码可以多次使用的地方，使用已知用户对密码进行暴力破解或者用一个通用密码对用户进行暴力破解。 简单的验证码爆破。URL: http://zone.w...
分类：
其他好文 时间：
2015-11-06 19:28:15
阅读次数：
201
OWASP top 10的安全威胁中的CrossSite Scripting（跨站脚本攻击），允许攻击者通过浏览器往网站注入恶意脚本。这种漏洞经常出现在web应用中需要用户输入的地方，如果网站有XSS漏洞，攻击者就可以通过这种漏洞向浏览网站的用户发送恶意脚本，同时也可以利用该漏洞偷取sessioni...
分类：
其他好文 时间：
2015-10-22 19:22:55
阅读次数：
196
Zed Attack Proxy (ZAP)?是个强大的跨平台的抓包工具，可以用来替代windows下的Fiddler https://www.owasp.org/index.php/OWASP_Zed_Attack_Proxy_Project https://github.com/zaproxy/zaproxy/wiki/Downloads?...
分类：
其他好文 时间：
2015-09-04 11:12:35
阅读次数：
157
0x01.在问题一(详见上文)中，获取文件后缀名$file_type = $_FIELS['file']['type'],通过和白名单比较，假如相同，则取上传文件的后缀名。上文说过，MIME头欺骗问题（这里不考虑重命名文件名问题），如果上传数据包修改Content-type的类型，$file_typ...
分类：
Web程序 时间：
2015-07-22 01:26:28
阅读次数：
703
0x01:文件上传漏洞起因于，上传程序没有对上传文件格式进行正确判断，导致可执行程序上传到网站目录。常见的验证上传文件有两种：1.js本地验证，通过js获取上传文件后缀名，并和白名单比较，匹配则上传成功。由于js代码是本地验证，存在绕过风险（去除js代码，构造表单数据，直接绕过）。2.后端程序验证，...
分类：
Web程序 时间：
2015-07-21 01:02:16
阅读次数：
336
最近才开始研究HTML以及安全问题。如果有什么说得不对的地方，望请指出。 在网络应用安全中，XSS可能是最常见，范围最大，所包含攻击方法最多，同时也是最难以理解的一种攻击。在OWASP所列出的十大...
分类：
其他好文 时间：
2015-06-12 17:34:15
阅读次数：
120
A1-互联网泄密事件/撞库攻击以大量的用户数据为基础，利用用户相同的注册习惯（相同的用户名和密码），尝试登陆其它的网站。2011年，互联网泄密事件引爆了整个信息安全 界，导致传统的用户+密码认证的方式已无法满足现有安全需求。泄露数据包括：天涯：31,758,468条，CSDN：6,428,559条，...
分类：
Web程序 时间：
2015-06-02 17:01:28
阅读次数：
202
程序员希望通过加密来提升程序的安全性性，但却缺乏专业的密码学背景知识，使得应用对数据的保护非常薄弱。本文将介绍可能出现在Android应用中的一些脆弱的加密方式，以及对应的攻击方法。造成脆弱加密的主要原因 Android应用中造成弱加密的原因多种多样，OWASP Mobile Top 10 给出了....
分类：
移动开发 时间：
2015-04-08 12:21:47
阅读次数：
162
OWASP top 10的安全威胁中的CrossSite Scripting（跨站脚本攻击），允许攻击者通过浏览器往网站注入恶意脚本。这种漏洞经常出现在web应用中需要用户输入的地方，如果网站有XSS漏 洞，攻击者就可以通过这种漏洞向浏览网站的用户发送恶意脚本，同时也可以利用该漏洞偷取session...
分类：
其他好文 时间：
2015-04-07 15:21:58
阅读次数：
179
