WEB安全第二篇--用文件搞定服务器：任意文件上传、文件包含与任意目录文件遍历
零、前言 最近做专心web安全有一段时间了，但是目测后面的活会有些复杂，涉及到更多的中间件、底层安全、漏洞研究与安全建设等越来越复杂的东东，所以在这里想写一个系列关于web安全基础以及一些讨巧的payload技巧以便于备忘。不是大神、博客内容非常基础，如果真的有人看而且是大牛们，请不要喷 ...
原文：跟bWAPP学WEB安全(PHP代码)--终结篇：文件目录遍历、文件上传、SSRF、CSRF、XXE、文件包含
前言 过年过的很不顺，家里领导和我本人接连生病，年前腊月 才都治好出院，大年初六家里的拉布拉多爱犬又因为细小医治无效离开了，没能过年回家，花了好多钱，狗狗还离世了。所以也就没什么心思更新博客。今天初七，正式上班了，更新一篇吧，把bWAPP中常见的web漏洞也就一次性更新完毕，完成这个系列，虽然有点虎头蛇尾，但是也颇感无奈了。去年立的flag也还有两个大系列没有完成，一个是互联网公司常见漏洞分析，一 ...
2019-02-11 16:38 1 642 推荐指数：
相关推荐
跟bWAPP学WEB安全(PHP代码)--PHP代码注入
---恢复内容开始---# 背景 *** *** 今天我们换一个方式来分析这个漏洞，从渗透的角度去搞。 渗透过程 测试漏洞 先来看看，观察URL是：http://192.168.195.195/bWAPP/phpi.php message像是有链接，点击看看 在查看url ...
基于 java 【Web安全】文件上传漏洞及目录遍历攻击
前言：web安全之文件上传漏洞，顺带讲一下目录遍历攻击。本文基于 java 写了一个示例。 原理 在上网的过程中，我们经常会将一些如图片、压缩包之类的文件上传到远端服务器进行保存。文件上传攻击指的是恶意攻击者利用一些站点没有对文件的类型做很好的校验，上传了可执行的文件或者脚本 ...
跟bWAPP学WEB安全(PHP代码)--邮件头和LDAP注入
背景 由于时间限制和这俩漏洞也不是特别常用，在这里就不搭建环境了，我们从注入原来和代码审计的角度来看看。 邮件头注入 注入原理： 这个地方首先要说一下邮件的结构，分为信封（MAIL FROM、RCPT TO）、头部（From，To，Subject、CC、BCC等）、主体 ...
跟bWAPP学WEB安全(PHP代码)--HTML注入和iFrame注入
背景 这里讲解HTML注入和iFrame注入，其他的本质都是HTML的改变。那么有人会问，XSS与HTML注入有啥区别呢？其实本质上都是没有区别的，改变前端代码，来攻击客户端，但是XSS可以理解为注入了富文本语言程序代码，而HTML注入只注入了超文本标记语言，不涉及富文本程序代码的问题 ...
Android安全开发之ZIP文件目录遍历
1、ZIP文件目录遍历简介 因为ZIP压缩包文件中允许存在“../”的字符串，攻击者可以利用多个“../”在解压时改变ZIP包中某个文件的存放位置，覆盖掉应用原有的文件。如果被覆盖掉的文件是动态链接so、dex或者odex文件，轻则产生本地拒绝服务漏洞，影响应用的可用性，重则可能造成任意代码执行 ...
PHP文件目录操作
目录操作 is_dir ( $path ) 判断当前路径是否为目录 ,返回布尔 opendir ( $path ) 打开路径目录，返回资源 readdir ( $handle ) 读取当前打开目录下一个文件，同时指针向前移动一位，返回字符串 （文件 ...
xray漏洞扫描模块——xss、sql注入、命令注入、目录遍历、xxe、文件上传、弱口令等
shell 命令注入、PHP 代码执行、模板注入等 目录枚举 (key: dirscan) 检测备份文 ...