XSS（跨站脚本）概述 Cross-Site Scripting 简称为“CSS”，为避免与前端叠成样式表的缩写"CSS"冲突，故又称XSS。一般XSS可以分为如下几种常见类型： 1.反射性XSS; 2.存储型XSS; 3.DOM型XSS; 危害：存储型>反射型>DOM型 XSS漏洞的防范: 一般会 ...
分类：
其他好文 时间：
2020-02-25 17:22:46
阅读次数：
145
1.创建个用户：ip:8000/create_user/?username=<script>alert(7)</script>显示用户已创建。2.触发漏洞，再次访问ip:8000/create_user/?username=<script>alert(7)</script>3.触发异常：duplicatekeyvalueviolatesuniquec
分类：
其他好文 时间：
2020-02-24 22:37:21
阅读次数：
108
XSS（跨站脚本）概述 Cross-Site Scripting 简称为“CSS”，为避免与前端叠成样式表的缩写"CSS"冲突，故又称XSS。一般XSS可以分为如下几种常见类型： 1.反射性XSS; 2.存储型XSS; 3.DOM型XSS; XSS漏洞一直被评估为web漏洞中危害较大的漏洞，在OWA ...
分类：
其他好文 时间：
2020-02-24 00:41:55
阅读次数：
63
一：什么是XSS XSS攻击全称跨站脚本攻击，是一种在web应用中的计算机安全漏洞，它允许恶意web用户将代码植入到提供给其它用户使用的页面中。 你可以自己做个简单尝试： 1. 在任何一个表单内，你输入一段简单的js代码：<script>for(var i=0;i<1000;i++){alert(" ...
分类：
编程语言 时间：
2020-02-24 00:03:05
阅读次数：
132
XSS全称Cross Site Scripting，名为跨站脚本攻击，黑客将恶意脚本代码植入到页面中从而实现盗取用户信息等操作。 常见的攻击情景： 1、用户A访问安全网站B，然后用户C发现B网站存在XSS漏洞，此时用户C向A发送了一封邮件，里面有包含恶意脚本的URL地址（此URL地址还是网站B的地址 ...
分类：
其他好文 时间：
2020-02-20 22:08:11
阅读次数：
65
考点：SSTI注入 原理： tornado render是python中的一个渲染函数，也就是一种模板，通过调用的参数不同，生成不同的网页，如果用户对render内容可控，不仅可以注入XSS代码，而且还可以通过{{}}进行传递变量和执行简单的表达式。 网上看到的例子： #!/usr/bin/env ...
分类：
其他好文 时间：
2020-02-20 13:42:13
阅读次数：
74
- -Xms 初始堆内存大小，默认物理内存64/1 -Xms = -XX:InitialHeapSize -Xmx 最大堆内存，默认物理内存4/1 -Xmx = -XX:MaxHeapSize -Xss 栈内存大小 设置单个线程栈大小，一般默认512~1024kb。 单个线程栈大小跟操作系统和JDK ...
分类：
其他好文 时间：
2020-02-19 23:48:54
阅读次数：
75
XSS-htmlspecialchars htmlspecialchars()函数把预定义的字符转换为html实体 预定义的字符： 预防： 可用的引号类型：(一般使用这个函数时候要指定类型) &转换为& ENT_COMPAT 默认，仅编码双引号 “转换为" ENT_QUOTES 编码双 ...
分类：
Web程序 时间：
2020-02-19 17:22:00
阅读次数：
126
中心主题Iptables及Firewalld加固服务器安全信息安全概述系统安全策略SSH端口修改，SUDO，禁用管理员登录文件指纹数据安全加密认证selinux，自身程序用于自身文件的访问，修改删除监控网络防火墙应用安全防火墙WAFWAF=>WebApplicationFirewall,可以用来屏蔽常见的网站漏洞***，如SQL注入，XML注入、XSS等。一般针对的是应用层而非网络层的***，从
分类：
其他好文 时间：
2020-02-19 00:55:24
阅读次数：
114
0x01简介 XSStrike 是一款用于探测并利用XSS漏洞的脚本 XSStrike目前所提供的产品特性： 对参数进行模糊测试之后构建合适的payload 使用payload对参数进行穷举匹配 内置爬虫功能 检测并尝试绕过WAF 同时支持GET及POST方式 大多数payload都是由作者精心构造 ...
分类：
其他好文 时间：
2020-02-19 00:36:26
阅读次数：
888
