[第一章 web入门]SQL注入-1
进入到页面之后发现是一片文章。文章内容不重要。sql注入嘛,重要的是看url地址和表单 它的url是这样的: 很明显id是一个参数,我们需要传入一个值进去。 我们这里尝试传入id=2。发现文章内容有变化,很明显这是一个查询。 尝试键入id=2a 发现…
[第一章 web入门]粗心的小李
进入到网页之后发现如下文字: 当前大量开发人员使用git进行版本控制,对站点自动部署。如果配置不当,可能会将.git文件夹直接部署到线上环境。这就引起了git泄露漏洞。 小李好像不是很小心,经过了几次迭代更新就直接就把整个文件夹放到线上环境了:( 根…
[第一章 web入门]常见的搜集
进入的网站web页面之后。发现如下文字: 文字提示我们敏感文件,而常见的敏感文件有robots.txt、readme.md以及www.zip/rar/tar.gz 一、常规文件 robots.txt文件是一种叫做robots的协议。其文件常在网站根目…
主机发现工具之arping
预备知识 ARP协议是"Address Resolution Protocol"(地址解析协议)的缩写。在同一以太网中,通过地址解析协议,发送方可以通过接受方的IP地址获得接收方的MAC地址。arping工具就是完成上述过程的程序。同时它也可以作为主…
PHP(反)序列化学习
前言 在很多语言中,将对象的状态信息转为可存储或可传输的过后才能就是序列化。序列化的逆向过程则是反序列化。主要是为了方便对象的传输,通过文件、网络等方式将序列化后的字符串进行传输,最终可以通过反序列化获取之前的对象。 正文 PHP反序列化后的基本类型…
BUUCTF (WEB)二篇
[极客大挑战 2019]PHP 进入到网页之后,发现页面是一只小猫。很有意思哈哈哈哈。 看到页面上的文字提示,可以发现页面可能存在备份文件。 而对于网站备份文件,一般名为www.zip或www.rar以及www.tar.gz 我们可以使用dirsea…
BUUCTF (WEB)篇
靶场链接🔗:BUUCTF题目平台 [HCTF 2018]WarmUp 进入靶场之后,发现靶场是一个表情包。右键查看源代码发现source.php 访问source.php会返回一个源码页面。 我们先看下面的代码块: 发现是一个文件包含。其解析: if…