当前位置: 首页 > WEB安全
  • XSS之防御篇

    在上一篇博文《XSS攻击入门》中介绍了XSS相关基础知识。在这篇blog中,将介绍下XSS的相关防御以及修复的知识。 一、HTML Encode 首先,介绍下HTML Encode。XSS之所以会发生, 是因为用户输入的数据变成了代码。 所以我们需要对用户输入的数据进行HTML Encode处理。 将其中的”中括号”, “单引号”,“引号” 之 ...

    作者:s0nnet | 发布:2016-01-03 | 分类:WEB安全, 网络安全 | 围观:9,097 次 | 标签:, | 评论: 抢沙发
  • XSS攻击入门

    一、前言 XSS表示Cross Site Scripting(跨站脚本攻击),通常指攻击者通过“HTML注入”篡改了网页,插入了恶意的脚本,从而在用户浏览网页时,控制用户浏览器的一种攻击过程。它与SQL注入攻击类似,SQL注入攻击中以SQL语句作为用户输入,从而达到查询/修改/删除数据的目的,而在XSS攻击中,通过插入恶意脚本,实现对用户游 ...

    作者:s0nnet | 发布:2015-05-21 | 分类:WEB安全 | 围观:8,952 次 | 标签:, | 评论: 抢沙发
  • SQL注入之防御篇(一)

    防御的基本原则是「外部数据不可信任」,其实在Web安全领域的各种攻击方式中,大多数都是因为开发者违反了这个原则而导致的, 所以保持“数据与代码分离”是原则性的解决方案。 一、检查数据类型 如果你的SQL语句是类似where id={$id}这种形式,数据库里所有的id都是数字,那么就应该在SQL被执行前,检查确保变量id是int ...

    作者:s0nnet | 发布:2015-05-12 | 分类:SQL, WEB安全 | 围观:7,386 次 | 标签:, | 评论: 抢沙发
  • SQL注入之攻击篇

    在上一篇博文《SQL注入之入门篇》 中讲解了SQL注入的基本原理,其本质问题是违反了安全设计的原则–“数据与代码分离”。在这篇博文中将向大家介绍有关于SQL注入攻击中的常用方式。 1. 库、表、字段名猜解 SQL注入可以猜解出数据库的版本信息,比如下面的Payload可以猜解MySQL数据库的相关版本信息: https://www.s0 ...

    作者:s0nnet | 发布:2015-04-24 | 分类:SQL, WEB安全 | 围观:8,718 次 | 标签:, | 评论: 抢沙发
  • SQL注入之入门篇

    一、理解SQL注入 SQL注入是一种将SQL代码插入或添加到应用(用户)的输入参数中的攻击,之后再将这些参数传递给后台的SQL数据库加以解析执行。简而言之,就是把用户输入的数据当做代码执行。注入的两个条件是: 第一,用户能够控制输入; 第二,程序要执行的代码拼接了用户输入的数据。 下面是一个SQL注入的典型例子: ...

    作者:s0nnet | 发布:2015-04-12 | 分类:SQL, WEB安全 | 围观:8,067 次 | 标签:, | 评论: 抢沙发
  • weevely入手使用笔记

    -前言 weevely是一款使用python编写的webshell工具,集webshell生成和连接于一身,采用c/s模式构建,可以算作是linux下的一款php菜刀替代工具,具有很好的隐蔽性(生成随机参数且base64加密),在linux上使用时还是很给力的(集服务器错误配置审计,后门放置,暴力破解,文件管理,资源搜索,网络代理,命令执行,数据 ...

    作者:s0nnet | 发布:2014-10-07 | 分类:Kali Linux, WEB安全, 安全工具, 网络安全 | 围观:10,438 次 | 标签:, | 评论: 抢沙发
  • 解决部分版本kali升级后w3af无法运行的问题

    1,w3af简介 w3af是一个Web应用程序攻击和检查框架.该项目已超过130个插件,其中包括检查网站爬虫,SQL注入(SQL Injection),跨站(XSS),本地文件包含(LFI),远程文件包含(RFI)等.该项目的目标是要建立一个框架,以寻找和开发Web应用安全漏洞,所以很容易使用和扩展. 2,问题现象1 Kali 使用apt-get upgrade  ...

    作者:s0nnet | 发布:2014-04-02 | 分类:Kali Linux, WEB安全 | 围观:11,106 次 | 标签: | 评论: 抢沙发
  • 18个扩展让你的Firefox成为渗透测试工具

    Firefox是一个出自Mozilla组织的流行的web浏览器。Firefox的流行并不仅仅是因为它是一个好的浏览器,而是因为它能够支持插件进而加强它自身的功能。Mozilla有一个插件站点,在那里面有成千上万的,非常有用的,不同种类的插件。一些插件对于渗透测试人员和安全分析人员来说是相当有用的。这些渗透测试插件帮助我们执行 ...

    作者:s0nnet | 发布:2014-03-29 | 分类:WEB安全 | 围观:7,049 次 | 标签: | 评论: 抢沙发