1、xss的形成原理 xss 中文名是“跨站脚本攻击”,英文名“Cross Site Scripting”。xss也是一种注入攻击,当web应用对用户输入过滤不严格,攻击者写入恶意的脚本代码(HTML、JavaScript)到网页中时,如果用户访问了含有恶意代码的页面,恶意脚本就会被浏览器解析执行导 ...
分类:
Web程序 时间:
2018-09-19 23:32:38
阅读次数:
233
XSS: 跨站脚本(Cross-site Scripting),xss攻击是一种注入式攻击。基本做法为将恶意代码注入到目标网站,用户在不知情的情况浏览了注入恶意代码的网页是,浏览器就会无差别的执行代码,从而触发了恶意代码,一般xss分为两种类型,一种是持久化的xss和非持久化xss; 持久化xss: ...
分类:
其他好文 时间:
2018-09-05 09:14:52
阅读次数:
167
静态分析: 1,virus total反病毒引擎搜索2,MD5计算哈希值3,用PEid检测是否加壳,并进行脱壳操作4,stringe.exe查看恶意代码的字符串,从中可以看到是否含有特殊的网址,IP地址,特殊的导入函数,比如读写文件,赋值文件,自启动,记录键盘的函数。。。5,用Dependency ...
分类:
其他好文 时间:
2018-09-02 21:47:05
阅读次数:
218
创建主机网络模式: 主机模式(Host-only)网络,可以在宿主操作系统和客户操作系统之间创建一个隔离的私有局域网,在进行恶意代码分析时,这是通常采用的联网方式。主机模式的局域网并不会连接到互联网,这意味着恶意代码会被包含在虚拟机里,同时也允许某些网络连接。 自定义配置: 让两个虚拟机相互连接。一 ...
分类:
其他好文 时间:
2018-08-31 14:49:42
阅读次数:
696
很多时候,安全应用是以牺牲复杂度(以及开发者的头痛)为代价的。Tornado Web服务器从设计之初就在安全方面有了很多考虑,使其能够更容易地防范那些常见的漏洞。安全cookies防止用户的本地状态被其浏览器中的恶意代码暗中修改。此外,浏览器cookies可以与HTTP请求参数值作比较来防范跨站请求 ...
分类:
其他好文 时间:
2018-08-18 13:03:53
阅读次数:
177
java反序列化-Transformer类可以执行恶意代码的原理0x00代码Transformer[]transformers=newTransformer[]{newConstantTransformer(Runtime.class),newInvokerTransformer("getMethod",newClass[]{String.class,Class[].class},newObjec
分类:
编程语言 时间:
2018-08-16 15:40:52
阅读次数:
200
禁止某个目录解析php语法为什么要禁止某个目录解析php如果web网站的目录中存在静态文件存放的目录,那么该目录下应该禁止解析php,因为这种目录下一般是上传图片等文件的,如果解析php,那么就有可能被别人上传一个以图片格式结尾实质上是一个php的解析文件,在浏览器中访问该文件会解析这些php语法,如果这种文件存在某种恶意代码,那么极有可能会被获取root权限在虚拟主机配置文件中添加一下配置:&l
分类:
Web程序 时间:
2018-08-07 18:58:58
阅读次数:
230
Web 安全概念 Web 应用中存在很多安全风险,这些风险会被黑客利用,轻则篡改网页内容,重则窃取网站内部数据,更为严重的则是在网页中植入恶意代码,使得用户受到侵害。常见的安全漏洞如下: XSS 攻击:对 Web 页面注入脚本,使用 JavaScript 窃取用户信息,诱导用户操作。 CSRF 攻击 ...
分类:
Web程序 时间:
2018-07-27 19:29:32
阅读次数:
215
本实验要求实验者具备如下的相关知识。 SQL 注入是一种攻击方式,在这种攻击方式中,恶意代码被插入到字符串中,然后将该字符串传递到 SQL Server 的实例以进行分析和执行。任何构成 SQL 语句的过程都应进行注入漏洞检查,因为 SQL Server 将执行其接收到的所有语法有效的查询。一个有经 ...
分类:
其他好文 时间:
2018-07-25 19:06:03
阅读次数:
168