####文件上传 文件上传就是在一些web应用中允许用户上传图片，文本等相应文件到服务器指定的位置。而文件上传漏洞就是利用这些可以上传的地方将恶意代码植入到服务器中，之后通过url去访问以执行代码达到攻击的目的。 ####可以成功攻击的条件 1.存放上传文件的目录要有执行脚本的权限，也就是文件能够被 ...
分类：
Web程序 时间：
2020-06-03 09:13:44
阅读次数：
95
####漏洞简介 ? phpMyAdmin是phpMyAdmin团队开发的一套免费的、基于Web的MySQL数据库管理工具。该工具能够创建和 删除数据库，创建、删除、修改数据库表，执行SQL脚本命令等。 ? phpMyAdmin 4.8.2之前的4.8.x版本中存在安全漏洞。攻击者可利用该漏洞包含（ ...
分类：
Web程序 时间：
2020-06-03 00:58:27
阅读次数：
130
####基本概念 CSRF(Cross-Site Request Forgery)，跨站请求伪造，是指利用受害者尚未失效的身份认证信息（cookie、会话等），诱骗其点击恶意链接或者访问包含攻击代码的页面，在受害人不知情的情况下以受害者的身份向相关对应服务器发送请求，从而完成非法操作。 ####攻击 ...
分类：
其他好文 时间：
2020-06-03 00:51:54
阅读次数：
81
####简述 程序员将一些可重复使用的函数写到单个文件中，在使用某些函数时，直接调用此文件，无需再次编写，这种调用文件的过程一般称为文件包含。 而文件包含漏洞就是文件包含函数加载的参数没有经过过滤，可以被攻击者控制，包含了其他恶意文件，执行了恶意代码。 ####php中的文件包含函数 include ...
分类：
其他好文 时间：
2020-06-03 00:47:06
阅读次数：
57
####定义 XSS(Cross Site Script)，跨站脚本攻击。它指的是恶意攻击者利用网站漏洞把恶意的脚本代码(通常包括HTML代码和JS脚本)注入到网页之中，当用户浏览该页之时，嵌入其中Web里面的恶意代码会被执行，从而对受害用户可能采取Cookie资料窃取、会话劫持、钓鱼欺骗等各种攻击 ...
分类：
其他好文 时间：
2020-06-03 00:24:06
阅读次数：
237
信息技术应用创新（以下简称：信创）已经成为国家信息化建设中涉及国家安全与产业自主发展的基石和保障，信创产品的安全性也成为信创产业发展中不可忽视的问题，加强信创产品安全能力建设是信创产业快速发展的重要保证。 产品安全能力是技术实力的重要体现 据IDC的报道，70% 的数据泄露始于终端设备。从攻击者的角 ...
分类：
其他好文 时间：
2020-06-02 18:55:50
阅读次数：
79
1. 条件1）攻击者可以控制服务器上的文件名/文件内容2）tomcat context配置了persistencemanager的fileSotre3) persistenceManager 配置了sessionAttributeValueClassNameFilter的值为NULL或者宽松过滤4） ...
分类：
其他好文 时间：
2020-06-02 11:11:38
阅读次数：
77
##什么是 CSRF 攻击，如何避免？ 答： CSRF是跨站点请求伪造(Cross—Site Request Forgery)，跟XSS攻击一样，存在巨大的危害性。 你可以这样来理解：攻击者盗用了你的身份，以你的名义发送恶意请求，对服务器来说这个请求是完全合法的，但是却完成了攻击者所期望的一个操作， ...
分类：
其他好文 时间：
2020-06-02 09:20:26
阅读次数：
71
与 Statement 相比，①PreparedStatement 接口代表预编译的语句，它主要的优 势在于可以减少 SQL 的编译错误并增加 SQL 的安全性（减少 SQL 注射攻击的可 能性）；②PreparedStatement 中的 SQL 语句是可以带参数的，避免了用字符串 连接拼接 SQ ...
分类：
其他好文 时间：
2020-06-01 20:54:48
阅读次数：
122
##什么是 XSS 攻击，如何避免？ 答： 概念：XSS是一种网站应用程序的安全漏洞攻击，是代码注入的一种,它允许恶意用户将代码注入到网页上，其他用户在观看网页时就会受到影响。这类攻击通常包含了HTML以及用户端脚本语言。 目的：想办法获取目标攻击网站的cookie，因为有了cookie相当于有了s ...
分类：
其他好文 时间：
2020-06-01 16:53:35
阅读次数：
73
