# Web通用漏洞--CSRF ## 漏洞简介 CSRF（Cross Site Request Forgery, 跨站请求伪造/客户端请求伪造），即通过伪造访问数据包并制作成网页的形式，使受害者访问伪造网页，同时触发伪造的请求而达到攻击效果的一种手段。  一种由攻击者构造形成由服务端发起请求的一个安全漏洞; 一般情况下，SSRF攻击的目标是从外网无法访问的内部系统。正是因为它是由服务端发起的，所以它能够请求到与它相连而
# Web通用漏洞--RCE ## 漏洞简介 RCE远程代码/命令执行漏洞，可以让攻击者直接向后台服务器远程注入操作系统命令或者代码，从而控制后台系统。 RCE漏洞也分为代码执行漏洞和命令执行漏洞，所谓代码执行即通过漏洞点注入参数而使用源代码进行相应的操作，所谓的命令执行就是通过漏洞点注入参数使用源
# web攻防--xxe实体注入 ## 漏洞简介 XML 外部实体注入（也称为 XXE）是一种 Web 安全漏洞，允许攻击者干扰应用程序对 XML 数据的处理。它通常允许攻击者查看应用程序服务器文件系统上的文件，并与应用程序本身可以访问的任何后端或外部系统进行交互。 在某些情况下，攻击者可以利用 X
# ctfshow--web入门--XXE ## web373 源码 ```php loadXML($xmlfile, LIBXML_NOENT | LIBXML_DTDLOAD); //解析xml文档 $creds = simplexml_import_dom($dom); $ctfshow =
# Web通用漏洞--文件上传 ## 概述 文件上传安全指的是攻击者通过利用上传实现后门的写入连接后门进行权限控制的安全问题，对于如何确保这类安全问题，一般会从原生态功能中的文件内容，文件后缀，文件类型等方面判断，但是漏洞可能不仅在本身的代码验证逻辑中出现安全问题，也会在语言版本，语言函数，中间件，
# web攻防--PHP反序列化 ## 漏洞简介 序列化：把对象转换为字节序列的过程，即把对象转换为可以存储或传输的数据的过程。例如将内存中的对象转换为二进制数据流或文件，在网络传输过程中，可以是字节或是XML等格式。 反序列化：把字节序列恢复为对象的过程，即把可以存储或传输的数据转换为对象的过程。
# __wakeup()魔术方法绕过（CVE-2016-7124） ## 漏洞简介 在php反序列化数据过程中，如果类中存在__wakeup方法，调用 unserilize() 方法前则先调用__wakeup方法，当序列化字符串中表示对象属性个数的值大于 真实的属性个数时会跳过__wakeup的执行
# SQL注入 mysql注入目的：获取当前web权限 ## mysql注入--常规查询&union联合查询 1. MYSQL--Web组成架构 服务器搭建web服务可能存在多个站点搭建在一台服务器中，数据集中存储在数据库中，因此对数据库的管理也可以分为两种架构： 统一用户管理数据库，即对所有站点数
# Web攻防--JS算法逆向--断点调试--反调试&&代码混淆绕过 ## JS算法逆向 在进行渗透测试过程中，在一些功能点进行参数注入或者枚举爆破等过程中，会出现参数进行加密的情况，但是我们输入参数并不是加密状态，即便测试点存在漏洞也不可能测试成功，这时候便需要将所提交参数进行加密后在进行注入，针
预编译 编译器在编译sql语句时，会依次进行词法分析、语法分析、语义分析等操作， 预编译技术会让数据库跳过编译阶段，也就无法就进行词法分析，关键字不会被拆开，注入语句也就不会被识别为SQL的关键字，从而防止恶意注入语句改变原有SQL语句本身逻辑。 Java_JDBC注入 在使用JDBC进行数据库操作
JNDI注入 什么是JNDI JNDI全称为 Java Naming and Directory Interface（Java命名和目录接口），是一组应用程序接口，为开发人员查找和访问各种资源提供了统一的通用接口，可以用来定义用户、网络、机器、对象和服务等各种资源。 JNDI支持的服务主要有：DNS
## 简介 单例模式是一种常用的软件设计模式，用于创建类型。通过单例模式的方法创建的类在当前进程中只有一个实例。单例模式的类只能允许一个实例存在。单例模式的作用是保证在整个应用程序的生命周期中，任何一个时刻，单例类的实例都只存在一个。 组成部分： 1. 私有化构造方法。 2. 私有化内部实例。 3.
Redis未授权--沙箱绕过--(CNVD-2015-07557)&&(CNVD-2019-21763)&&(CVE-2022-0543) 环境复现 采用Vulfocus靶场进行环境复现，官网docker搭建有问题，具体搭建教程参考vulfocus不能同步的解决方法/vulfocus同步失败 CNV
https://www.cnblogs.com/the-tops/p/8798630.html 暂时目前的环境处理方法比较简单： 在root用户下添加计划任务： */10 * * * * sync;echo 3 > /proc/sys/vm/drop_caches; 每十分钟执行一次，先将脏数据写回
大家好，我是陶朱公Boy. 今天跟大家分享一款基于“生产者消费者模式”下实现的组件。 该组件是作者偶然在翻阅公司一中间件源码的时候碰到的，觉得设计的非常精美、巧妙，花了点时间整理成文分享给大家。
如今，视频正在以一种前所未有的方式渗入日常生活，是当下人们记录生活最热门的方式。所以，用户对视频的画质要求越来越高，App想要吸引更多的用户，拥有视频画质新技术的强力支撑很关键。 HDR（High-Dynamic Range）就是一种提高影像亮度和对比度的处理技术。它可以将每个暗部的细节变亮，增加对
Vue3 目前已经趋于稳定，不少代码库都已经开始使用它，很多项目未来也必然要迁移至Vue3。本文记录我在使用Vue3时遇到的一些问题，希望能为其他开发者提供帮助。 1. 使用reactive封装基础数据类型 传统开发模式中，数据声明很简单。但是在Vue中有多个响应式变量声明方式，整体的使用规则如下：
摘要：不知道大家在生活中有没有见过一些非常酷炫的可视化大屏应用？ 本文分享自华为云社区《老板要的物联网可视化大屏，我30分钟就搞定了》，作者：华为云社区精选 。 不知道大家在生活中有没有见过一些非常酷炫的可视化大屏应用？ 随着数字化经济的发展，我们对数据的呈现形式要求也越来越高，很多老板动不动就让我
昨天接到了许久未见老友的一个电话，片刻寒暄之后聊到主题：朋友受人之托，帮人打听家中小孩选择计算机专业之后的就业问题的。 既然是朋友，自然不敢欺瞒，就把目前计算机就业相关的真实情况如实“汇报”了。 那么计算机行业现状如何呢？大家看这幅图自然就明白了： 杭州一家不知名的公司（我从业十几年未曾听过的一家公
