weixin_49340699的博客

DVWA系列——XSS（跨站脚本注入）简介low级别反射型xss源码分析储存型xss源码分析DOM型xss源码分析medium级别反射型xss源码分析破解思路储存型xssDOM型xss源码分析high级别反射型xss储存型xssDOM型xss简介XSS全称Cross Site Scripting，即跨站脚本攻击，从某种意义上来说也是一种注入攻击，是指攻击者在页面中注入恶意的脚本代码，当受害者访问该页面，恶意代码就会在浏览器页面执行，xss不限于javascript，还包括flash等其他脚本语言，根据代

SQL injection（注入）简介工具low，medium级别high级别impossible级别总结简介SQL注入就是通过把SQL命令插入到web表单提交或输入域名或页面请求的查询字符串，最终达到欺骗服务器执行恶意sql的目的形成sql注入漏洞的原因：1 用户输入不可控2 输入内容被带入了SQL语句执行通过SQL注入可以对程序对应的储存区进行对应的探测工具sqlmapbrupsuite环境 kalilow，medium级别第一步输入个1用brupsuite截断在kali下使

DVWA系列——File Upload（文件上传）简介low级别源码分析上传木马打开中国菜刀进行连接medium源码分析破解思路high源码分析破解思路方法一方法二impossible简介File Upload文件上传漏洞，通常是由于对上传文件的类型内容没有进行严格的过滤检查使得可以上传webshell获取服务器权限，所以文件上传漏洞带来的危害也是毁灭性的。low级别源码分析<?phpif( isset( $_POST[ 'Upload' ] ) ) { // Where are

DVWN系列 ——暴力破解（Brute Force）暴力破解介绍暴力破解的原理就是使用攻击者自己的用户名和密码字典，一个个的去枚举，因为理论上只要字典足够强大枚举总能成功环境：java准备字典弱口令字典网上很多可自行下载工具瑞士军刀（Brupsuite）l...

NVWA系列 ——命令执行（Command Injection）命令执行：即命令注入，通过提交恶意构造的参数破坏命令语句结构，达到执行恶意命令的目的比如删除文件就可以用一个url请求http://127.0.0.1/delete.php?filename=bob.txt;iddelete.php 的内容<?php$file=$_GET['filename']system("rm $file");?>（基于linux系统）这样就能达到恶意删除bob.txt文件的目的同时用了

NVWA系列——CSRFCSRF跨站伪造请求介绍CSRF，全称Cross-site request forgery, 翻译过来就是跨站请求伪造，是指利用受害者尚未失 效的身份认证信息(cookie、 会话等)，诱骗其点击恶意链接或者访问包含攻击代码的页面，在受害人不知情的情况下以受害者的身份向(身份认证信息所对应的)服务器发送请求，从而完成非法操作 (如转账、改密等)。CSRF 与XSS最大的区别就在于，CSRF并没有盗取ookie而是直接利用漏洞利用打开NVWA这里CSRF是一个修改密码的界面在