webug的题目，比较简单，拿来巩固一哈。 1. 一看就知道是注入漏洞了，啥也不说sqlmap直接开炮。 先-u 之后-u 网址 --current-db 获取当前网址的数据库 所以当前数据库就是 pentesterlab 直接 -u 网址 -D pentesterlab --tables 爆表名 ...
分类：
Web程序 时间：
2018-10-11 01:50:05
阅读次数：
795
一、御剑 御剑是用来IP扫描的，看服务器在哪个ip上，可以扫出后台地址，检测注入漏洞，功能很多 C段速度超级快,实际测试扫描一个C段的绑定域名只要几秒 下载地址，百度搜了一下1.5 直接在这里就可以：http://www.exehack.net/775.html 然后，开始扫描，啊，我还替换了一下大 ...
分类：
其他好文 时间：
2018-10-03 00:16:52
阅读次数：
553
最为经典的单引号判断法： 在参数后面加上单引号,比如: http://xxx/abc.php?id=1' 如果页面返回错误，则存在 Sql 注入。 原因是无论字符型还是整型都会因为单引号个数不匹配而报错。 通常 Sql 注入漏洞分为 2 种类型： 数字型 字符型 数字型判断： 当输入的参 x 为整型 ...
分类：
数据库 时间：
2018-09-24 00:53:26
阅读次数：
259
1.CSP 简介 内容安全策略（Content Security Policy，简称CSP）是一种以可信白名单作机制，来限制网站是否可以包含某些来源内容，缓解广泛的内容注入漏洞，比如 XSS。 简单来说，就是我们能够规定，我们的网站只接受我们指定的请求资源。默认配置下不允许执行内联代码（``块内容， ...
分类：
Web程序 时间：
2018-09-06 23:57:11
阅读次数：
4187
第四十六关： http://www.bubuko.com/infodetail-2481914.html 这有篇文章讲得还不错可以看下 这关是order by后面的一个注入，用报错注入和盲注都是可以的 先看源码吧 可以看到是order by后面存在注入漏洞。 输入?sort=1' 页面报错，可以使用 ...
分类：
数据库 时间：
2018-09-06 02:57:38
阅读次数：
250
XXE（xml外部实体注入漏洞） 实验内容 介绍XXE漏洞的触发方式和利用方法，简单介绍XXE漏洞的修复。 影响版本: libxml2.8.0版本 漏洞介绍 XXE Injection即XML External Entity Injection,也就是XML外部实体注入攻击。漏洞是在对非安全的外部实 ...
分类：
其他好文 时间：
2018-08-26 11:47:58
阅读次数：
169
第五关：这关的重点是有联合查询的注入漏洞，但是页面不会显示查询信息，但是会有报错信息显示在页面上 这关是双查询注入，其实用报错注入和盲注都是可以注入的，但是我觉得这个双查询注入还是很有意思的，所以这关我们还是用双查询注入 的流程来走。 https://www.2cto.com/article/201 ...
分类：
数据库 时间：
2018-08-22 22:47:25
阅读次数：
210
XML实体注入漏洞的利用与学习 前言 XXE Injection即XML External Entity Injection,也就是XML外部实体注入攻击.漏洞是在对非安全的外部实体数据进行处理时引发的安全问题.在XML1.0标准里,XML文档结构里定义了实体(entity)这个概念.实体可以通过预 ...
分类：
其他好文 时间：
2018-08-10 01:25:46
阅读次数：
163
前言 漏洞本身原理很简单，用户的输入作为 要执行命令的一部分被 一些执行系统命令的函数去执行，如果不注意就能够让攻击者执行系统命令。 正文 相关的工具 测试环境 一个最简单的例子 或取 与 拼接后 由 执行。这种毫无防护的命令注入利用的方式有很多。比如利用 这里用 使用 来探测 绕过正则表达式 他这 ...
分类：
其他好文 时间：
2018-08-04 00:06:02
阅读次数：
1083
命令注入漏洞注：命令注入漏洞的分析，及含有命令注入漏洞的函数解析含有命令注入漏洞的函数：system()、exec()、passthru()、shell_exec()、``(与shell_exec（）功能相同)一、基于DVWA环境的命令注入漏洞（shell_exec）1、函数用法Stringshell_exec(stringcommand)command要执行的命令2、low级别源码：<?p
分类：
Web程序 时间：
2018-07-29 21:11:28
阅读次数：
306
