网络安全

绕过Web防火墙，WAF简介，WAF对于一些常规漏洞（如sql注入漏洞、XSS漏洞、命令执行漏洞、文件包含漏洞等）的检测大多是基于正则表达式和AI+规则的方法，因此会有一定的概率绕过其防御。在绕过WA...

2021年元旦初接到许多网友的留言，想要了解网站漏洞利用的高危方式都有哪些，其实最致命的漏洞就是执行任意命令导致可以拿下最高权限，但仅限于讨论，如果在渗透测试客户站点的时候，前提要得到正规...

这一阶段，就是利用对浏览器的控制，根据当前形势，探寻攻击的可能性。这种攻击有多种形式，包括对浏览器的“本地”攻击，对浏览器所在操作系统的攻击，以及对任意位置远程系统的...

近来，利用sql注入、xss和文件上传漏洞，成功getshell的一个非法网站，这里简单记录一下整个过程，与大家分享。收集信息，查找漏洞。第一步就是进行信息收集，经过一轮的收集，发现这个网站租的是香港...

通过2020、11、16年CISSP考试，总结备考经验。我没有参加培训班，完全自学。从报名到考试用了一年半的时间，期间断断续续的学习。实际学习大概两个月，我过了一次，比较顺利。第一，个人...

先看全景再看细节。方法论。所谓全景图，就是在努力学习之前，找出整个知识体系的框架结构。否则盲人摸大象，连门在哪里都不知道，就无从下手。需要理解的一般内容如下:是什么。需要有明确的定义；...

2020年9月的一天，天气晴朗，风宜人。我默默翻开日历，打算看看今天的运势。我应该划水，聊天，睡觉。这和我努力和积极的性格不太相符。我在打坐的时候，突然收到一条消息:中秋节快到了，所有s...

网站渗透测试服务在给客户写报告模板或者检查表的时候，应逐步完善。写报告在渗透测试中耗费大量的时间和精力。花费的时间取决于客户和经理期望的交付成果。(中文大概意思是客户和老板能不能看懂你的报...

该案例记录了笔者2020年渗透测试的目标网站，当时首先找到了子域名SA权限的检索型注入，认为能够顺利获得目标服务器的权限，结果在测试中遇到了很多问题。例如，我们测试了一些常用的注入软件，如果不识...

这篇文章是前一段时间做的渗透测试。这一次，整篇文章利用当前的服务器环境进行再现。如果有不合理的地方，可能是在做局部复制的过程中没有完全恢复真实环境，主要是记录当时做这个渗透测试的思路和被踩的坑。常规找...