Web Security 第24頁

今天分享一篇關於Java SSRF的漏洞介紹。本文主要說明Java的SSRF的漏洞代碼、利用方式、如何修復。 網絡上對Java的SSRF介紹較少，甚至還有很多誤區。 原文出處：https://joychou.org/web/javassrf...

贊(0)波波2018-03-17閱讀(2383)

PHP程序員在開發過程中難免會使用一些字符替換函數（str_replace）、反轉義函數（stripslashes），但這些函數使用位置不當就會繞過全局的防護造成SQL注入漏洞。 原文出處：http://www.cnbraid.com/20...

贊(0)波波2018-03-15閱讀(2433)

首先我們了解下寬字節注入，寬字節注入源於程序員設置MySQL連接時錯誤配置為：set character_set_client=gbk，這樣配置會引發編碼轉換從而導致的注入漏洞。具體原理如下： 1.正常情況下當GPC開啟或使用addslas...

贊(0)波波2018-03-15閱讀(2430)

現在的WEB程序基本都有對SQL注入的全局過濾，像PHP開啟了GPC或者在全局文件common.php上使用addslashes()函數對接收的參數進行過濾，尤其是單引號。二次注入也是一種比較常見的注入，它涉及到入庫和出庫。因為有全局轉義所...

贊(0)波波2018-03-15閱讀(2272)

現在的WEB程序基本都有對SQL注入的全局過濾，像PHP開啟了GPC或者在全局文件common.php上使用addslashes()函數對接收的參數進行過濾，尤其是單引號。同上一篇，我們需要找一些編碼解碼的函數來繞過全局防護，本篇介紹bas...

贊(0)波波2018-03-15閱讀(2395)

現在的WEB程序基本都有對SQL注入的全局過濾，像PHP開啟了GPC或者在全局文件common.php上使用addslashes()函數對接收的參數進行過濾，尤其是單引號。遇到這種情況我們就需要找一些編碼解碼的函數來繞過全局防護，這篇文章講...

贊(0)波波2018-03-14閱讀(2370)

今天分享一系列的代碼審計教學，透過代碼審計的方式可以完整地找到是否有Bug、漏洞存在，是非常重要的技能。 廢話不多說，直接跟著文章動手做吧！ 【PHP代碼審計】 那些年我們一起挖掘SQL注入 - 1.什麼都沒過濾的入門情況 原文出處：htt...

贊(0)波波2018-03-14閱讀(2361)

熟悉web安全的話就知道，如果對特殊字符過濾不當，會引發SQL Injection或者XSS等安全漏洞。其中，命令行注入較為嚴重，因為可以直接拿到漏洞程序當前權限的OSshell。 然而，命令行注入不僅在web中會出現，在C語言程序中，也會...

贊(0)波波2018-03-12閱讀(2369)

今天分享一篇在網站字符編碼"GBK"、"UTF-8"中可能遇到的SQL Injection問題，透過MYSQL中的寬字符注入與mysql_real_escape_string如何解決 ? 原文出處：https://www.leavesong...

贊(0)波波2018-03-11閱讀(2553)

今天分享一篇如何透過target的方式進行網站釣魚攻擊，也可以深入了解下”target="_blank" 與 “opener”的釣魚方式 原文出處：https://www.leavesongs.com/PENETRATION/use-tar...

贊(0)波波2018-03-09閱讀(2421)