请勿用于非法用法，本帖仅为学习记录 shelshocke简介： shellshock即unix 系统下的bash shell的一个漏洞，Bash 4.3以及之前的版本在处理某些构造的环境变量时存在安全漏洞，向环境变量值内的函数定义后添加多余的字符串会触发此漏洞，攻击者可利用此漏洞改变或绕过环境限制， ...
分类：
系统相关 时间：
2019-08-16 11:51:19
阅读次数：
468
近日，补天漏洞响应平台近期监测思科官方发布了关于思科 S 系列 220 系列交换机的3个漏洞修复通告，其中包含2个高危漏洞，最高CVSS 3.0评分9.8。 更新时间 2019年 08月 09日 威胁目标 使用思科 S 系列 220 系列交换机的企业 主要风险 远程代码执行 认证绕过 命令注入 攻击 ...
分类：
其他好文 时间：
2019-08-09 21:17:40
阅读次数：
117
引言：作为长期占据OWASPTop10首位的注入，至于什么是OWASP可以参考一下百度百科OWASPSQL注入简介：所谓SQL注入，就是通过把SQL命令插入到Web表单提交或输入域名或页面请求的查询字符串，最终达到欺骗服务器执行恶意的SQL命令。具体来说，它是利用现有应用程序，将（恶意的）SQL命令注入到后台数据库引擎执行的能力，它可以通过在Web表单中输入（恶意）SQL语句得到一个存在安全漏洞的
分类：
数据库 时间：
2019-08-08 19:21:29
阅读次数：
103
前言 2019 工控安全比赛第一场的一道固件逆向的题目，好像也比较简单，好多人都做出来了。这里就分别从静态和动态调试分析复现一下这个命令执行的洞。 赛题说明 题目给的场景倒是挺真实的：路由器在处理 tddp 协议时出现了命令注入，导致了远程命令执行。就是后面做出来的这个答案的格式咋提交都不对... ...
分类：
其他好文 时间：
2019-08-02 13:08:10
阅读次数：
112
1.注入攻击 注入攻击包括系统命令注入，SQL注入，NoSQL注入，ORM注入等 1.1攻击原理 在编写SQL语句时，如果直接将用户传入的数据作为参数使用字符串拼接的方式插入到SQL查询中，那么攻击者可以通过注入其他语句来执行攻击操作，这些攻击操作包括可以通过SQL语句做的任何事：获取敏感数据、修改 ...
分类：
其他好文 时间：
2019-07-20 23:16:30
阅读次数：
115
Tomcat CGIServlet enableCmdLineArguments远程代码执行_CVE-2019-0232漏洞复现 一、漏洞描述 该漏洞是由于tomcat CGI将命令行参数传递给Windows程序的方式存在错误,使得CGIServlet被命令注入影响。成功利用此漏洞可允许远程攻击者在 ...
分类：
其他好文 时间：
2019-07-20 14:27:57
阅读次数：
119
代码来自第六届防灾科技学院网络安全技能大赛，侵删。 目标 获取Linux服务器根目录下的flag 代码 分析 该PHP文件只接收一个base64编码的POST参数，将其解码后会进行反序列化操作。 在进行反序列化操作时首先会触发__wakeup()魔术方法，该方法会过滤掉args参数中的空格。 在执行 ...
分类：
Web程序 时间：
2019-07-17 00:26:19
阅读次数：
209
先说一下SQL注入的概念，这里引用百度上的解释：所谓SQL注入，就是通过把SQL命令插入到Web表单提交或输入域名或页面请求的查询字符串，最终达到欺骗服务器执行恶意的SQL命令。具体来说，它是利用现有应用程序，将（恶意的）SQL命令注入到后台数据库引擎执行的能力，它可以通过在Web表单中输入（恶意） ...
分类：
数据库 时间：
2019-07-11 17:36:08
阅读次数：
291
DHCP命令执行_CVE-2018-1111漏洞复现 一、漏洞描述 在Red Hat Enterprise Linux多个版本的DHCP客户端软件包所包含的NetworkManager集成脚本中发现了命令注入漏洞,攻击者可以通过本地网络上的恶意DHCP服务器或者使用恶意的虚假DHCP响应来利用此漏洞 ...
分类：
其他好文 时间：
2019-06-29 00:38:42
阅读次数：
160
2018 2019 2 网络对抗技术 20165324 Exp9： Web安全基础 课下实验 实验内容概述 Webgoat准备 SQL注入攻击 1. 命令注入（Command Injection） 2. 数字型注入（Numeric SQL Injection） 3. 日志欺骗（Log Spoofin ...
分类：
Web程序 时间：
2019-05-26 18:21:01
阅读次数：
164
