java代码审计(SQL篇)
初识java代码审计（sql篇）sql注入我们要先明确，java是强类型语言，实战我想我们也遇到不少尝试sql注入但是遇到java强制类型要求，参数只能是integer类型的java报错，这种是不存在sql注入的，所以只有变量是String类型的时候，才会存在sql注入。 现在就来看看常规的可以执行sql语句的程序： JDBC1、jdbc的java.sql.StatementStatement
浅析JSONP、点击劫持、双击劫持
一文彻底领悟JSONP、点击劫持、双击劫持漏洞JSONPJSONP（JSON with Padding）是一种用于解决跨域数据请求的变通方案，其核心原理是利用 <script> 标签的跨域特性绕过同源策略。 我们以一个例子来展开 现在我们有两个服务器（IP1:http://test:8069/、IP2: http://php/），我们在IP1服务器上搭建了一个服务，为了减轻服务器
超干信息收集，让资产无路可退！
超干信息收集，让资产 say NO！前言俗话说，信息收集是渗透的过程中的重中之重！好的信息收集可以在渗透过程中让我们行云流水。而且信息收集对条理度和深浅都有严格把关，我们应该尽量地有条理性地进行深度信息收集！以下就是我信息收集思路，尽量做到深入和有条理性。 攻防企业、政府、edusrc、企业src、小程序、公众号、app、供应链、国外企业、cnvd信息收集，应有尽有 内容框架123456789
一文领悟Phar和Session反序列化
Phar和Session反序列化通过简单的漏洞demo，MuYuCMS的Phar反序列化复现总结帮助大家理解一下这两个反序列化，如有错误，还请斧正！ Phar反序列化基本介绍Phar反序列化不依赖unserialize()函数进行反序列化。而是构造phar文件，以序列化的形式存储用户自定义的meta-data这一特性，phar_parse_metadata在解析meta数据时，会调用php_v
浅识GraphQL安全问题
浅识GraphQL安全问题GraphQL介绍GraphQL 是一种数据查询和操作语言，用于API的查询和操作。与传统的REST API不同，GraphQL它是一个中间人，它通过解析器（Resolver）把各方的数据来源（数据库、API、缓存等）整合为一个数据目录树，通过树的机构进行查询，允许客户端精确指定所需的数据结构，然后把需要查询的字段发送给后端，后端再访问数据库返回相应的数据，也兼备把一
php代审2——Taocms
taocms代码审计1、环境准备taocms phpstudy8.1.1.3 apache2.4.39+mysql5.7.26+php5.6.9 2、环境搭建先创建一个database，create database taocms; 直接访问站点install.php，数据库类型选择mysql，构建数据库配置|127.0.0.1:3306|root|root|taocms 直接安装即可
初识php代审——baijiacms
百家CMS代码审计1、环境准备baijiacms phpstudy8.1.1.3 apache2.4.39+mysql5.7.26+php5.3.29 2、搭建环境先搭建一个百家数据库，为搭建站点做准备。 直接使用phpstudy搭建好站点，并访问 连接数据库，并配置系统管理员 然后就成功创建了 3、路由审计路由关系是代码审计第一步，我们可以通过找到代码、目录与网站页面的对应关系，让我
开发日记——python(1)
python图形化（1）作为一个向往图形化工具的网安人，频繁使用一些cmd脚本，多cmd窗口，总是让我心烦意乱。于是心生一计，为什么不能自己做一个综合型的图形化工具页面呢，那最便捷的脚本语言python语言肯定首当其冲。于是有了这一篇开发小日记的诞生。鄙人不会开发，只是小懂门道，大佬轻点喷。 下面就看一看基本实现的思路。 1234561、构建基本UI界面2、UI转为py文件3、相关事件绑定函数