DVWA 黑客攻防演练（七）Weak Session IDs
用户访问服务器的时候，一般服务器都会分配一个身份证 session id 给用户，用于标识。用户拿到 session id 后就会保存到 cookies 上，之后只要拿着 cookies 再访问服务器 ...
原文：DVWA 黑客攻防演练（十三）JS 攻击 JavaScript Attacks
新版本的 DVWA 有新东西，其中一个就是这个 JavaScript 模块了。 玩法也挺特别的，如果你能提交 success 这个词，成功是算你赢了。也看得我有点懵逼。 初级 如果你改成 success 提交一下会出现了这个，Invalid token。这是什么回事呢 你可以打开控制台 F ，看看情况。 你会看到这个 token，不是后台生成的，而是前台生成的。。。而前台生成的 token，是用 ...
2019-01-02 12:57 0 2149 推荐指数：
相关推荐
DVWA 黑客攻防演练（一） 介绍及安装
原本是像写一篇 SELinux 的文章的。而我写总结文章的时候，总会去想原因是什么，为什么会有这种需求。而我发觉 SELinux 的需求是编程人员的神奇代码或者维护者的脑袋短路而造成系统容易被攻击。就想找个充满漏洞的系统来证明 SELinux 的必要性。就找到了 DVWA 。因为它存在很多方面 ...
DVWA 黑客攻防演练（十）反射型 XSS 攻击 Reflected Cross Site Scripting
XSS （Cross-site scripting） 攻击，为和 CSS 有所区分，所以叫 XSS。又是一种防不胜防的攻击，应该算是一种 “HTML注入攻击”，原本开发者想的是显示数据，然而攻击者输入却是有破坏性的代码，而且能被解析执行。Symantec在2007年报告更是指出跨站脚本漏洞大概占 ...
DVWA 黑客攻防演练（十四）CSRF 攻击 Cross Site Request Forgery
这么多攻击中，CSRF 攻击，全称是 Cross Site Request Forgery，翻译过来是跨站请求伪造可谓是最防不胜防之一。比如删除一篇文章，添加一笔钱之类，如果开发者是没有考虑到会被 CSRF 攻击的，一旦被利用对公司损失很大的。 低级 界面如下，目的是实现修改密码 ...
DVWA 黑客攻防演练（十二） DOM型 XSS 攻击 DOM Based Cross Site Scripting
反射型攻击那篇提及到，如何是“数据是否保存在服务器端”来区分，DOM 型 XSS 攻击应该算是 反射型XSS 攻击。 DOM 型攻击的特殊之处在于它是利用 JS 的 document.write 、document.innerHTML 等函数进行 “HTML注入” 下面一起来探讨一下 ...
DVWA 通关指南：JavaScript Attacks (前端攻击)
目录 JavaScript Attacks (前端攻击) Low Level 源码审计 攻击方式 Medium Level 源码审计 攻击方式 High Level 源码审计 ...
DVWA 黑客攻防演练（五）文件上传漏洞 File Upload
说起文件上传漏洞 ，可谓是印象深刻。有次公司的网站突然访问不到了，同事去服务器看了一下。所有 webroot 文件夹下的所有文件都被重命名成其他文件，比如 jsp 文件变成 jsp.s ，以致于路径映射不到 jsp 文件，同事怀疑是攻击者上传了个 webshell 文件然后进行批量重命名 ...
DVWA 黑客攻防演练（八）SQL 注入 SQL Injection
web 程序中离不开数据库，但到今天 SQL注入是一种常见的攻击手段。如今现在一些 orm 框架（Hibernate）或者一些 mapper 框架（ iBatis）会对 SQL 有一个更友好的封装，使得SQL注入变得更困难，同时也让开发者对SQL注入漏洞放松警惕，甚至一些开发者是不知道有SQL ...