XML外部实体引用漏洞(XXE)
关于XXE漏洞的原理我这里不做过多的叙述有回显的情况下读数据按照网页的提示输入指定格式的数据,显示出来我们在xml中标记的字符串“Hello World”尝试XML头部自定义引用,可以看到成功了，关于这个xml实体引用的原理，我推荐大家去看下xml的文档说明，这样挖洞才做到知己知彼其实内部实体引用是几乎没有危害的，因为它能干的事情很少，真正可怕的是的外部实体引用和DTD引用，它会造成权限范围...
漏洞练习平台总结
漏洞及渗透练习平台：WebGoat漏洞练习环境https://github.com/WebGoat/WebGoathttps://github.com/WebGoat/WebGoat-LegacyDamn Vulnerable Web Application(漏洞练习平台)https://github.com/RandomStorm/DVWA数据库注入练习平台 https://g...
简单叙述命令执行注入
概述命令执行漏洞是指可以随意执行系统命令，属于高危漏洞之一，也属于代码执行范围内导致原因 代码过滤不严格 系统漏洞 调用第三方组件 如：php(system(),shell_exec(),exec(),eval())、 java(struts2)、thinkphp(老牌的php框架）等 &、&&、|、||在windows和linux的命令执行中，都有同样的效果comm...
msfvenom的简单使用
前言：下面简单的演示一下msfvenom的简单使用，攻击者：kali Linux ip：172.30.23.44靶机：Windows_server-2003思路：利用msfvenom制作 .exe 文件，然后发送到靶机Windows上面，运行后就可以在kali linux 上面利用msfconsole连接msfvenom服务控制靶机0x01.利用msfvenom生成木马文件1.在kali终...
浅谈渗透测试实战
前言:很多时候，在看白帽子们的漏洞的时候总有一种感觉就是把web渗透简单地理解成了发现web系统漏洞进而获取webshell。其实，个人感觉一个完整的渗透（从黑客的角度去思考问题）应该是以尽一切可能获取目标的系统或者服务器的最高权限，尽可能的发现足够多的敏感信息。这个过程应该包括但不限于以下几个方面：1.信息刺探： 待渗透目标的系统，人员，组织信息等2.漏洞侦测： 所有与...