0x01漏洞简介 uWSGI是一款Web应用程序服务器,它实现了WSGI.uwsgi和http等协议.uWSGI 2.0.17之前版本中存在路径遍历漏洞,该漏洞源于程序没有正确的处理DOCUMENT_ROOT检测.攻击者可通过发送带有‘..’序列的特制URL请求利用该漏洞查看系统上的任意文件. 0x02 漏洞编号 CVE-2018-7490 0x03 影响版本 Debian Debian_linux:8.0 Debian Debian_linux:9.0 0x04 靶场演练 http://219

Access数据库注入 前言:在常见的注入测试中,由于每个数据库内置架构和应用不同,导致数据库类型将决定注入的手法,Access数据库是小型数据库类型,普遍用于小型WEB应用,其中Access注入手法也相对于较为简单. 第一点:比较Mysql结构及功能 Mysql数据库 数据库A zblog = www.zblog.com 表名 列名 数据 数据库B dede = www.dede.com 表名 列名 数据 ACCESS数据库(只有一个数据库,不存在多个,适合小型网站) 表名 列名 数据 功能:

申请靶场环境后 点开题目 一段奇怪的PHP代码 因为我自己电脑重装了win10系统,php+apache+mysql的环境本地主机觉得没必要弄了,于是我们用在线的PHP编码(百度一下到处都是) 复制进去以":"来排个格式 运行下,报错. 看看源码,"$_"     "$__"     "$___" 这三个是变量名,我们用echo输出下内容 连在一起了,但是可以确定 $_ => 1 $__ => _GET $___

前言 大家好,我是一个渗透测试的爱好者和初学者,从事网络安全相关工作,由于爱好网上和朋友处找了好多关于渗透的视频.工具等资料,然后自己找了一个靶场,想把自己练习的体会和过程分享出来,希望能对其他渗透爱好者.初学者能有一些帮助.本人发布的内容为技术交流,不为其他用途.本人也是一个小白,还请技术大佬多多批评. 墨者SQL注入-MYSQL数据库实战环境 实践步骤 1. 决断注入点 输入and 1=1 返回页面正常: 输入 and 1=2 返回异常 2. 带入sqlmap查询信息 查询数据库版本信息(其

最近也是遇见了Zabbix,所以这里以CVE-2016-10134为例复现一下该漏洞 什么是Zabbix? zabbix是一个基于WEB界面的提供分布式系统监视以及网络监视功能的企业级的开源解决方案.zabbix能监视各种网络参数,保证服务器系统的安全运营:并提供灵活的通知机制以让系统管理员快速定位/解决存在的各种问题. zabbix由2部分构成,zabbix server与可选组件zabbix agent.zabbix server可以通过SNMP,zabbix agent,ping,端口监视

Orabbix介绍 监控Oracle数据库我们需要安装第三方提供的Zabbix插件,我们先测试比较有名的Orabbix,http://www.smartmarmot.com/product/orabbix/ 从部署架构图上可以看出,orabbix是通过JDBC去连接被监控数据库的,其实不是必须在数据库主机上安装Agent,而运行orabbix的主机,可以是Zabbix Server,也可以是数据库主机和zabbix server之外的任意一台主机,为了测试方便,我们将orabbix安装在Zabb

软件版本 Oracle Enterprise Linux 7.1 64bit Oracle Enterprise Edition 12.1.0.2 64bit Zabbix 3.2.1 准备工作 上传软件 我们选用Zabbix 3.2.1 解压路径为/u01/stage/zabbix-3.2.1 准备需要的软件 安装Oracle 12.1.0.2 安装和创建数据库过程略,数据库字符集注意一定要是UTF8或AL32UTF8. Apache Zabbix的frontend需要apache ,我们使用

监控主机一版需要在被监控的主机上安装Zabbix Agent 监控主机 安装zabbix-agent 首先需要在被监控的主机上安装agent,可以下载预编译好的RPM进行安装,下载地址:http://www.zabbix.com/download 也可以源码安装,类似server的安装,只是一个地方有区别,就是配置的参数只有一个: $./configure –prefix=/home/zabbix --enable-agent 配置agent 以RPM安装为例,安装后的agent配置文件位置:/

之前看到Zabbix 出现SQL注入漏洞,自己来尝试分析. PS:我没找到3.0.3版本的 Zabbix ,暂用的是zabbix 2.2.0版本,如果有问题,请大牛指点. 0x00 Zabbix简介 zabbix是一个基于WEB界面的提供分布式系统监视以及网络监视功能的企业级的开源解决方案.能监视各种网络参数,保证服务器系统的安全运营:并提供灵活的通知机制以让系统管理员快速定位/解决存在的各种问题. 0x01 Zabbix漏洞POC&尝试 POC如下: '3297&updateProfil

atitit.管理学三大定律:彼得原理.墨菲定律.帕金森定律 彼得原理(The Peter Principle) 1 彼得原理解决方案1 帕金森定律 2 如何理解墨菲定律2 彼得原理(The Peter Principle) 由美国管理学家劳伦斯·彼得(Laurence．J．Peter)根据千百个有关组织中不能胜任的失败实例的分析而归纳出来,于1960年的一次研习会上提出.其具体内容是:“在一个等级制度中,每个员工趋向于上升到他所不能胜任的地位”.彼得指出,每一个员工由于在原有职位上工作成绩表现

搭建环境:Centos6.5_x86_64,Zabbix2.4.5,epel 源 服务端: 1.安装开发软件包yum -y groupinstall "Development Tools" 2.安装所需的依赖包yum -y install httpd mysql mysql-server mysql-devel php php-mysql php-commonphp-mbstring php-gd php-odbc php-pear curl curl-devel net-snmp n

config.yaml存储zabbix的信息(主要包括zabbix server的url .请求头部.登陆的用户名密码) Zabbix_Config: zabbix_url: http://192.168.1.179/zabbix/api_jsonrpc.php zabbix_header: {"Content-Type": "application/json"} zabbix_user: Admin zabbix_pass: zabbix auth.py文件,主要

PMP,全称是Percona Monitoring Plugins,是Percona公司为MySQL监控写的插件.支持Nagios,Cacti.从PMP 1.1开始,支持Zabbix. 下面,看看如何在Zabbix上安装PMP. 配置Zabbix Agent 下载PMP 下载地址:https://www.percona.com/downloads/percona-monitoring-plugins/ 因为我的Linux版本是RHEL 6.7,故选择RPM包 # wget https://www

部署环境 RHEL 6.7 Zabbix-server 2.2.14 安装zabbix官方源 # wget http://repo.zabbix.com/zabbix/2.2/rhel/6/x86_64/zabbix-release-2.2-1.el6.noarch.rpm # rpm -ivh zabbix-release-2.2-1.el6.noarch.rpm 安装zabbix-server # yum install zabbix zabbix-server-mysql zabbix-w

一.nginx安装 1.必要软件准备: 为了支持rewrite功能,我们需要安装pcre: yum install pcre-* 需要ssl的支持,如果不需要ssl支持,请跳过这一步: yum install openssl* 增加:yum install gcc gcc-c++ autoconf libjpeg libjpeg-devel libpng libpng-devel freetype freetype-devel libxml2 libxml2-devel zlib zlib-de

监控项:typepref -qx在zabbix中实现: 1.测试zabbix-get 获取数据: /usr/local/zabbix/bin/zabbix_get -s 192.168.1.3 -p10050 -k 'perf_counter[\VMware(Rhel-171)\Network Receive Errors/sec]' 用pref_counter[]内置函数获取window中对应值得数据 2.在web中添加监控项: 3.设置触发和图形

特殊注明:安装zabbix 2.4.8和2.4.6遇到2个问题,如下:找了很多解决办法,实在无解,只能换版本,尝试换(2.2.2正常 | 3.0.3正常)都正常,最后决定换3.0.3 1.Error connecting to database: No such file or directory 2.如图 ========================================================= 正文开始   1.安装mysql(略过,参考mysql5.1安装)   2

关于zabbix的API见,zabbixAPI 1item批量添加 我是根据我这边的具体情况来做的,本来想在模板里面添加item,但是看了看API不支持,只是支持在host里面添加,所以我先在一个host里面添加,然后在将item全部移动到模板里. 具体步骤就不说了,直接上代码: 为了快速完成,代码写的有点乱,也没怎么处理异常,算是第一版吧,有时间在优化  1 #!/usr/bin/env python #-*- coding: utf- -*- import json import sys i

概述 Zabbix使用一种自定义的基于TCP的协议与客户端进行通信 Zabbix <- TCP -> Zabbix agent 协议内容 <HEADER> - bytes) <DATALEN> - data length ( bytes). will be formatted as /////// (eight bytes bit number)<DATA> <DATA>: json格式,内容又分为主动检查和被动检查 为了避免Zabbix内存耗尽

概述 zabbix采用Trapper方式监控redis status 原理 redis-cli info命令得到redis服务器的统计信息,脚本对信息分两部分处理: (1)# Keyspace部分为Zabbix agent,因为不确定db的数目所以此段的items也不确定,Zabbix server需要low level discovery(redis.discovery脚本)来确定db的数目以确定对redis服务器发起哪些items请求 (2)其余部分为Zabbix trapper,脚本整理这