web基础—dvwa靶场（十二）JavaScript Attacks
由于执行 token_part_2("XX") 有 300 毫秒延时，所以 token_part_1("ABCD", 44) 会被先执行，而 token_part_3() 则是和提交按钮的 click 事件一起执行。和前 2 个等级差不多，依次执行 token_part_1("ABCD", 44)
websphere内存马 构造分析过程
得到fcc对象之后，返回到WebAppFilterManager#getFilterChain()，调用this.getFilterInstanceWrapper()实例化对应的filter对象，接着将该对象添加到newChain过滤器链中。得到fcc对象之后，就会遍历fcc对象中的_filterN
信息搜集 --前端js打点
在Javascript中也存在变量和函数，当存在可控变量及函数调用即可参数漏洞JS开发的WEB应用和PHP，JAVA,NET等区别在于即没有源代码，也可以通过浏览器的查看源代码获取真实的点。获取URL，获取Js敏感信息，获取代码传参等，所以相当于JS开发的WEB应用属于白盒测试(默认有源码参考)，一
WAAP解决方案：守护数字时代的安全盾牌
WAAP，即Web应用程序与API保护，是一种综合性的多层防护解决方案。它旨在通过强化认证、加密机制以及集成多种安全防护手段，如API安全、Web攻击防护、全站隔离、漏洞扫描和流量清洗等，为企业的Web应用程序和API提供全方位的安全保障。WAAP不仅能够有效防御常见的网络攻击，如跨站脚本（XSS）
春秋云境 | SQL | CVE-2022-4230
WP Statistics WordPress 插件13.2.9之前的版本不会转义参数，这可能允许经过身份验证的用户执行 SQL 注入攻击。默认情况下，具有管理选项功能 (admin+) 的用户可以使用受影响的功能，但是该插件有一个设置允许低权限用户也可以访问它。WP Statistics < 13
网络安全与区块链技术：信任与安全的融合
为了充分发挥区块链技术在网络安全领域的潜力，我们需要持续进行技术创新，加强法律监管，提高用户教育，并探索区块链技术与其他网络安全技术的融合。随着技术的不断发展和应用的深入，区块链有望成为网络安全领域的重要支撑技术，为构建更加安全、透明和可信的网络环境做出贡献。区块链是一种分布式数据库技术，它通过将数
JWT解释以及ctfshow web345、web346、web347、web348、web349、web834题解
生成一个包含负载的 JWT，签署后存储在名为auth的 Cookie 中，并响应。从请求的 Cookies 中读取authJWT，使用公钥验证它，如果 JWT 有效且user字段为'admin'，返回flag；否则，返回。dirsearch 扫到文件将私钥加载进去将user改为admin，重新生成然
网页提示“不安全”，真的不能访问了吗？揭秘真相！
生活在互联网时代，网上购物、看新闻、学习、追剧等等已经成为我们日常生活不可或缺的一部分，在网络给我们带来巨大便利的同时，网络安全风险也在与日俱增。钓鱼网站，数据泄露，黑客攻击等词汇对大众而言已经不是新鲜事物。我们经常在打开网页的时候，会看到浏览器弹出不安全的警告。在这个高度数字化的时代，互联网已成为
【前端安全】逆向webpack加密算法
webpack一个静态模块打包器，有入口、出口、loader和插件，通过loader加载器对js、css、图片文件等资源进行加载渲染。
重学SpringBoot3-集成Spring Security（一）
Spring Security 是一个强大、灵活的安全框架，广泛用于保护 Java 应用程序。随着 Spring Boot 3 和 Java 17 的引入，Spring Security 继续增强其功能，为开发者提供了更简化的配置和现代化的安全实践。本文将详细介绍如何在 Spring Boot 3
Web安全 - 安全防御工具和体系构建
最终，设计一个适合公司的安全体系，既是对安全人员技术能力的考验，也是对其与业务发展需求契合度的挑战。安全防御工具只是辅助，最终的效果取决于如何选择和实施它们。
安全基线加固
本文的主要内容：涉及 Windows ， Linux 和中间件的安全基线设置方式（使用目录跳转食用更佳）。包含：Window：账户认证，日志，入侵防范与访问控制，系统服务，系统更新，基线排查脚本Linux：用户账户口令设置，系统文件与访问控制，Linux日志审计中间件：Apache日志和ISS日志；
Lab：Password reset broken logic靶场复现（暴力破解）
此实验室的密码更改功能使其容易受到暴力攻击。要解决实验室问题，请使用候选密码列表暴力破解 Carlos 的帐户并访问。
网络安全 DVWA通关指南 DVWA SQL Injection (Blind SQL盲注)
这篇文章是关于网络安全DVWA（Damn Vulnerable Web Application）的SQL注入挑战指南，主要介绍了Low、Medium、High和Impossible四个安全级别的SQL盲注攻击方法。Low级别通过直接构造SQL语句获取数据库信息；Medium级别使用ASCII码值绕过
CTF中的GIT泄露
由于本人也是一名ctf的萌新，所以笔记比较易懂但又不可避免的浅显，如有错误，欢迎各路大神来指正。先简单介绍一下Git，Git是一个开源的分布式版本控制系统，在执行git init初始化目录的时候，会在当前目录下自动创建一个.git目录，用来记录代码的变更记录等。发布代码的时候，如果没有把,git这个
电子邮件混淆策略逃避安全保护
几十年来，网络攻击者一直使用电子邮件混淆技术将恶意代码或数据隐藏在文件、脚本或网络流量中。电子邮件混淆方法有很多，例如将地址放入机器人无法读取的图像、验证码或文本中。这种传统的电子邮件混淆策略众所周知，安全控制措施历来擅长修补和阻止它们。但最近，我们的威胁研究人员发现了一些旨在逃避现代安全控制的新技
代码混淆对项目安全的重要性
代码混淆是一种通过修改代码的可读性来增加代码理解难度的技术。它不会改变代码的功能或行为，但通过重命名变量、函数、类、控制流、移除注释等手段，使代码难以被人类阅读和理解，进而增加了恶意用户分析和逆向工程的难度。混淆后的代码在逻辑上与原代码保持一致，但其可读性极低，从而增加了对攻击者的防护能力。
sqli-labs前16关wp
GET传参（参数id）id=1id=2-1id=2发现id=2与id=2-1相同，可以判断出绝不是数字型，故为字符型id=1’可以判断出为 ‘ 闭合id=1’–+接下来判断列数（group/order by +二分法）判断回显位（注意此处?id=-1’）发现2，3为回显位爆数据库名爆表名爆use
【JSrpc破解前端加密问题】
运行服务器程序和js脚本 即可让它们通信，实现调用接口执行js获取想要的值；实现原理：在网站的控制台新建一个WebScoket客户端链接到服务器通信，调用服务器的接口 服务器会发送信息给客户端 客户端接收到要执行的方法执行完js代码后把获得想要的内容发回给服务器 服务器接收到后再显示出来。
【JWT安全】portswigger JWT labs 全解
根据设计，服务器通常不会存储有关其发出的 JWT 的任何信息。相反，每个令牌都是一个完全独立的实体。这有几个优点，但也带来了一个根本问题 - 服务器实际上不知道令牌的原始内容，甚至不知道原始签名是什么。因此，如果服务器没有正确验证签名，就无法阻止攻击者对令牌的其余部分进行任意更改。如果服务器根据此
