Xie02

摘要： XSS 常见类型及核心知识点 XSS（跨站脚本攻击）是Web安全中最常见的漏洞之一，核心原理是用户输入未被有效过滤/转义，直接被当作HTML/JS代码渲染到页面，导致浏览器执行恶意脚本，可实现窃取Cookie、劫持会话、篡改页面、钓鱼攻击等危害。以下是其常见类型及核心知识点梳理。 一、XSS 三大核 阅读全文

摘要： 一 [强网杯 2019]随便注 先输入1' or 1 = 1#（QL 注入的经典基础 Payload，主要用于绕过单值查询的判断、让查询条件恒真，从而获取更多数据)检查是否存在sql注入。 使用union select 1,2;# 得到过滤的词组，.既然select关键字无法使用，我们可以通过堆叠注 阅读全文

摘要： SQL注入常见漏洞类型及原 SQL注入是Web应用中最常见且危害极大的安全漏洞之一，其核心原理是攻击者通过在用户可控输入点构造特殊SQL语句片段，使应用程序执行非预期的SQL命令，进而实现窃取数据、篡改数据、控制服务器等恶意目的。该漏洞的本质是应用程序未对用户输入进行严格过滤与转义，直接将输入内容拼 阅读全文

摘要： 一 [SWPUCTF 2021 新生赛]easyupload3.0 先尝试上传一个php文件显示 于是尝试.htaccess绕过，接入蚁剑后在app/flag.php中找到flag 二 [HNCTF 2022 Week1]easy_upload 直接上传php文件显示成功 连接蚁剑 得到flag N 阅读全文

摘要： 网络攻防视角下的xlsx文件上传漏洞：原理、危害与防御 在Web应用的文件上传场景中，xlsx格式文件因办公场景的普遍性，常被攻击者当作突破防线的“伪装载体”。基于xlsx的文件上传漏洞，是指Web应用在处理用户上传的xlsx文件时，未对文件类型、内容结构、存储路径等进行严格校验，导致攻击者可上传植 阅读全文

摘要： 一、RCE漏洞核心概念 RCE（Remote Code Execution）即远程代码执行漏洞，指Web应用因代码/命令执行函数使用不当，导致攻击者可构造特定输入（payload），让服务端执行非预设的系统命令或脚本，进而实现数据窃取、服务器控制等恶意操作。 RCE主要分为两类： 代码执行漏洞：因e 阅读全文