- 博客(21)
- 收藏
- 关注
RSS订阅
1原创 使用Dreamweaver创建一个PHP程序
下载DW链接：https://pan.baidu.com/s/1rdv8jTGHwV37cCeQOvToqg提取码：5d24下载并配置Wampserver在wamp的官网即可下载。启动wamp，在浏览器输入网址：http://127.0.0.1出现如下页面及为成功安装。配置说明：一、在系统—>管理工具—>服务处找到apache和mysql这两项，设置成自动开启。二、apache默认端口是80，为避开端口占用的问题，直接在它的httpd.conf文件里面修改端口号，查找关键字l
2022-03-04 16:01:31
2315
原创 CTF之Misc
取证技术Misc题目类型：流量包、日志文件、磁盘内存镜像用到的工具：Wireshark和Tshark一般是PCAP格式的流量文件流量分析常见操作Wireshark的“统计”菜单可以查看流量包的大致情况，如包含哪些协议，哪些IP地址参与了会话等。协议分级统计和会话统计帮助快速定位到需要分析的点。TCP流功能，选中某条数据包，右键单机追踪TCP流，即可获取该TCP会话中双方传输的所有数据。导出对象功能（“文件”菜单中，可以方便的提取传输过程发送的文件等信息）内存镜像取证题目的形式：提供一个完
2021-11-15 14:37:02
1058
原创 OWASP之安全日志记录和监控失败
windows系统日志windows系统日志：命令eventvwr.exe查看日志缺失的危害不记录可审计的事件，例如登录、失败登录和高价值交易。警告和错误不会生成、不充分或不清楚的日志消息。不会监控应用程序和API的日志是否存在可疑活动。日志仅存储在本地。适当的警报阈值和响应升级流程没有到位或有效。动态应用程序安全测试工具（例如OWASP ZAP）的渗透测试和扫描不会触发警报。应用程序无法实时或接近实时地检测、升级或警告主动攻击。Apache日志服务器Apache日志记录服务：日志在
2021-11-15 14:06:44
3410
原创 OWASP之注入
注入漏洞产生的原因：可控变量，带入数据库查询，变量未存在过滤或过滤不严谨。怎么挖掘：通过输入sql语句，尝试输入，然后发现页面的回显。怎么利用：确认有漏洞之后，通过sql语句获得数据库的版本，数据库的用户名，库名，表名，字段名，最后获得数据。难点：1.如何去判断一个网站是否存在注入漏洞，什么反应又代表不存在漏洞？2.在网站配备了防火墙的情况下，怎么绕过？方法是什么？注入流程：1.判断注入2.猜解列名数量（字段数） order by 用枚举法，试出错误与正常的临界值 ,假如判断出字段数量
2021-11-01 14:24:59
2621
原创 不安全的设计
OWASP之不安全的设计漏洞产生的原因：在开发软件时，在关键身份验证、访问控制、业务逻辑和关键流部位没有进行安全的设计。怎么发掘？业务逻辑的显性体现：1.支付逻辑 2.密码找回 3.验证码暴力破解 4.验证码的重复使用 5.验证码客户端回显6.验证码绕过 7.验证码自动识别怎么利用？发现这些漏洞之后，或者是可以获得管理员的账号密码或者是私密用户的账号密码或者是造成对网站的业务上的损害。1.支付逻辑漏洞：所有涉及购买、支付等方面的功能处就有可能存在支付漏洞。三个重要因素：用户、商品、商家
2021-11-01 14:15:16
310
原创 OWASP之加密失败
常见的加密方式Md5规律：0到9，a到z的随即组合SHA，后面数字越大密文越长，也是0-9，a-z的组合方式时间戳，时间加密完是一串数字URL编码：百分号加两位数字Base64：0-9，a-z,A-Z的编码组合，区分大小写，一般后面会跟等于号Escape：百分号后边是u开头的4位数字AES：输出base64或者16进制两种方式，并且可以设置密码，偏移量，数据块，填充4个模块的参数，是一种比较安全的加密方式。以为是base64但是解密出来时乱码，说明可能是AES如果想解密，必须知道密码和偏移
2021-11-01 14:12:33
226
原创 损坏的访问控制详解
损坏的访问控制：访问控制强制执行策略，使用户不能在其预期权限之外采取行动。故障通常会导致未经授权的信息泄露、修改或破坏所有数据或执行超出用户限制的业务功能。用表现在网站上的效果区分，可以分为以下几种漏洞类型：越权，未授权访问，跨站请求伪造，敏感信息泄露，xss。1.未授权访问产生的原理：在攻击者没有获取到登录权限或未授权的情况下，不需要输入密码，即可通过输入网站控制台主页面地址或者不允许查看的连接便可进行访问，同时进行操作。怎么发掘？通过抓包工具（burpsuite、fiddler等），将抓取到
2021-11-01 10:08:41
2146
原创 CTF上的信息收集
git常规泄露工具：scrabble（在Github上）使用方法：./scrabble http://example.com/1.git回滚原理：git会记录每次提交commit的修改，这时可以利用git的“git reset”命令来恢复到以前的版本。先利用scrabble工具获取源码，再用过“git reset-hard HEAD^”命令跳到上一版本另一种方法：通过“git log-stat”命令查看每个commit修改了哪些文件，再用“git diff HEAD commit-id”比较在
2021-10-31 21:55:40
394
原创 Java条件语句和循环语句
到day3为止基础的语法就算学习完毕了。控制流程块作用域：块是指一对花括号阔起来的若干条简单的Java语句。块确定了变量的作用域。一个块可以嵌套在另一个块中。但是，不能在嵌套的两个块中声明同名的变量。条件语句：格式：if（condition）statement这里的条件必须用括号括起来。块语句格式为：{statement1;statement2;}例如：if（yourSales >= target）{performance = “Satisfactory”;bonu
2021-10-27 15:15:34
271
原创 Java运算符和数据类型转换
运算符用+、-、、/表示四则运算，当参与/运算的两个操作数都是整数时，表示整数除法，否则，表示浮点除法。整数的求余操作（有时称为取模）用%表示。更简单的写法：例如：x += 4;等价于x = x + 4;通常将运算符放在赋值号的左侧自增运算：n++ 与 ++n的区别：运算符在后面，使用变量原来的值，运算结束后该值加一。运算符在前面，n先加1做运算关系运算符与boolean运算符：两个等号= = 检测是否相等，例如3 = = 7的值为false使用 !=检测是否不相等，例如 3 !=
2021-10-22 09:55:47
197
原创 Java数据类型和变量
1.在oracle官网下载JDK，然后修改环境变量windows环境下，在path变量里添加jdk\bin文件路径测试是否成功，在shell窗口下执行 javac -version2.命名规范类名是以大写字母开头的名词，如果名字由多个单词组成，每个单词的第一个字母都应该大写（骆驼命名法，例如：CamelCase）java是严格区分大小写的。在类的源文件中必须包含一个main方法，也可以将用户自定义的方法添加 到类中，并且在main方法中调用他们main方法必须声明为public每个句子用分
2021-10-19 17:29:57
87
原创 jdk1.8API参考文档
API规范文档地址：https://docs.oracle.com/javase/8/docs/api/存在书签里方便阅读
2021-10-19 10:28:49
484
原创 win7虚拟机VCMI无法自动安装驱动程序
问题描述在虚拟机安装win7，然后安装vmware tools，这个时候弹出，VMCI驱动程序无法自动安装，需手动安装。解决方法在官网下载两个补丁下载对应系统版本windows 7 x64 的https://www.catalog.update.microsoft.com/search.aspx?q=kb4474419第二个补丁https://www.catalog.update.microsoft.com/search.aspx?q=4490628安装完成后再安装vmwaretools即可
2021-10-14 16:57:49
2623
原创 JavaScript入门
三种基础数据类型text（字符串）、number、boolean（true或false）alert框只能呈现文本，无法列出数字当数字与文本混合时，数据“必定”视为文本创建变量var + 变量名称 = 值；（初始化为0）创建常量const + 常量名称(全部大写) = 值 （必须为常量设置一个值）标识符tips：空格与特殊字符不能出现在标识符中；第一个字不能是数字驼峰型命名对象：Donut函数：getDonut变量：numDonut常量：NUMDONUT字符与数字的转换pars
2020-10-13 23:34:31
79
原创 在本地创建自己的模块——python
创建模块的步骤准备一个.py文件开始创建模块导入模块并使用准备一个.py文件在上一章中,已经创建过一个包含递归函数的文件:nester.py,内容如下:先测试一下代码:该函数作用是让列表按递归打印开始创建模块先为模块创建一个文件夹,把nester.py放进去再创建一个名为setup.py的文件,内容如下:打开cmd命令窗口,注意要cd到当前目录下,输入python setup.py sdist正式创建模块,输入python setup.py install现在新模块已经安装到本地
2020-06-03 13:26:31
255
原创 win10系统下python的环境搭建以及列表的应用
初识python安装python3添加系统变量打开IDLE编辑器编写第一个程序创建一个简单的列表向列表里添加、删除数据列表里还有列表 ...用for循环让这个列表好看点用函数来打印列表安装python3附上python3.8.6的链接：（现在官网进不去我就很纳闷…）https://pan.baidu.com/s/1Z2i5Q1ZyRDgY8ROannlNog提取码：46fd顺便弄个2.7版本（永久有效）：https://pan.baidu.com/s/1cJ7WIe48ANPKkpzqTGHlig
2020-05-27 16:58:26
192
原创 Llinux 7.3忘记root密码了咋办
启动时 按e 键下滑找到Linux16的地方 按 END键 在UTF-8后 空格输入rd.break,按 ctrl+x输入 mount //发现只有r权限输入mount -o remount,rw /sysroot/ //重新挂载获得rw权限输入 chroot /sysroot/ //改变根输入 cp /etc/shadow /etc/shadow_bak //做...
2020-01-08 20:09:33
126
原创 web安全学习日记
2019-9-11第一次接触黑客一些名词XSS：嵌入恶意脚本（js）代码到页面CSRF：伪装成用户发送请求给浏览器（偷取Cookie）点击劫持：控制你的浏览器SQL注入：操纵数据库缓冲区溢出：接受的数据超过最大限度文件上传漏洞：得到webshellwebshell：打开后门；控制服务器访问控制：判断用户权限DDOS:伪造ip，发送大量数据包至系统崩溃10.网络钓鱼：仿真页...
2019-09-11 20:43:33
168
空空如也
空空如也
TA创建的收藏夹 TA关注的收藏夹
TA关注的人