1. 斜线“\”是电脑出现了之后为了表示程序设计里的特殊含义才发明的专用标点。就是说，除了程序设计领域外，任何地方都不应该有使用反斜杠的时候，请永远使用正斜线“/”。 粗略想想还真差不多是这么回事，但是马上就想到一朵奇葩：Windows系统中用反斜线“\”来表示目录，但是Linux下用正斜线“/”来 ...
分类：
其他好文 时间：
2017-09-20 19:44:19
阅读次数：
173
漏洞产生原因：①代码层：开发者在编写代码的时候不严谨，未对文件上传的合法性进行检验； ②应用层：web容器漏洞，cgi，配置不当； 有网站到服务器上传文件的常用检测手段：①js（一般是检测文件后缀名）-可修改本地js代码或通过浏览器自带功能“No-script”进行绕过； ②服务器端MIME检测-对 ...
分类：
Web程序 时间：
2017-03-10 23:52:35
阅读次数：
456
1测试环境介绍测试环境为OWASP环境中的DVWA模块2测试说明由于文件上传功能实现代码没有严格限制用户上传的文件后缀以及文件类型，导致允许攻击者向某个可通过Web访问的目录上传任意PHP文件，并能够将这些文件传递给PHP解释器，就可以在远程服务器上执行任意PHP脚本3测试步骤上..
分类：
Web程序 时间：
2016-11-30 17:53:14
阅读次数：
256
写这篇文章的时候，我和团队正在处理项目漏洞问题，发现这些都是细节但又容易在项目实现的过程中忽视的部分，鉴于此，我想总结下来，方便以后出现类似问题能及时得到解决。 1、任意文件上传漏洞。 描述：允许用户上传任意文件可能让攻击者注入危险内容或恶意代码，并在服务器上运行。 利用：文件上传可以修改后缀导致可 ...
分类：
Web程序 时间：
2016-10-13 17:03:10
阅读次数：
246
1、 联想某站上传shell 1、AWVS扫描，发现这个phpmyadmin后台，root/root居然登录进去了 然后，暴该web站点的物理路径 发现：http://123.127.225.168/bespeak/user.php?main=BespeakTime&pro=lxj%27 pro参数 ...
分类：
Web程序 时间：
2016-04-20 17:40:04
阅读次数：
239
文章作者：rebeyond受影响版本：v6~v7漏洞说明：JEECMS是国内Java版开源网站内容管理系统（java cms、jsp cms）的简称。该系统基于java技术开发，继承其强大、稳定、安全、高效、跨平台等多方面的优点；采用SpringMVC3+Spring3+Hibernate3+Fre...
分类：
Web程序 时间：
2016-01-19 10:18:26
阅读次数：
6572
昨晚安全新闻爆出一个“PHP任意文件上传漏洞”，CVE编号为：CVE-2015-2348。当时楼主正准备收拾东西回家，看到这个新闻心里一惊：失传江湖多年的0字符截断上传漏洞又重现了？而且还影响这么多版本！如果漏洞属实，看来今晚又要通宵打补丁了啊。不过经过简单分析后，发现漏洞的利用条件相当苛刻（很多人...
分类：
Web程序 时间：
2015-04-03 20:54:13
阅读次数：
162
