爱豆文档 - 信息安全文档下载平台 - idocdown.com （部分文档，免费下载）

. . . . . .

最新Burp Suite入门技术

# Burp Suite 入门技术详解 ## 一、Burp Suite 简介 Burp Suite 是一款集成化的渗透测试工具，主要用于 Web 应用程序的渗透测试和安全检测。它具有以下特点： - 由 Java 语言编写，具有跨平台性 - 包含多种功能模块，可高效完成渗透测试 - 需要手动配置参数并触发自动化流程 - 提供免费版和专业版（专业版包含更多高级功能） ## 二、安装准备 ### 1. Java 环境安装 Burp Suite 依赖 JRE 运行，需先安装 Java 环境：

2025-08-18 09:04:30

米桃安全漏洞讲堂系列第1期：SQL注入漏洞

# SQL注入漏洞全面解析与防御指南 ## 一、SQL注入概述 ### 1.1 漏洞原理 SQL注入(Structured Query Language Injection)是一种攻击者通过构造特殊输入，欺骗服务器执行恶意SQL命令的攻击技术。其本质是对用户输入检查不充分，导致SQL语句将用户提交的非法数据当作语言的一部分来执行。 **漏洞示例代码**： ```python uname = request.POST['username'] password = request.POST[

2025-08-18 09:03:48

1月各类安全事件造成的损失超2亿美元，钓鱼诈骗事件依旧不减

# 区块链安全事件分析与防范指南（2024年1月） ## 一、2024年1月安全事件概况 - **总损失金额**：超过2亿美元 - **事件类型分布**： - Rug Pull事件：17起（占30%），损失约526万美元 - 闪电贷攻击：3起，损失约635万美元 - 钓鱼诈骗：持续高发，多起单地址损失超百万美元 - 其他攻击类型：合约漏洞、DDoS攻击、价格操纵、账号被盗等 ## 二、主要攻击类型与技术分析 ### 1. Rug Pull（卷款跑路） **典型案例**：

2025-08-18 09:02:35

Vulhub 靶场训练 DC-6解析

# DC-6 靶场渗透测试详细解析 ## 环境搭建 - **攻击机**: Kali Linux - IP地址: 192.168.200.14 - **靶机**: DC-6 - 初始IP未知 - **网络配置**: 确保两台机器使用相同的网络适配器模式 ## 信息收集阶段 ### 1. 发现靶机IP 使用三种方法探测同网段存活主机: ```bash # 方法1: arp扫描 arp-scan -l # 方法2: netdiscover扫描 netdiscover -i eth

2025-08-18 09:01:10

Vulhub 靶场 DC-7解析

# DC-7 靶场渗透测试详细解析 ## 环境准备 - **攻击机**：Kali Linux (IP: 192.168.200.14) - **靶机**：DC-7 (初始IP未知) - **网络配置**：攻击机和靶机需处于同一网络下 ## 信息收集阶段 ### 1. 发现靶机IP 使用以下方法探测网段内存活主机： ```bash # 方法1: arp扫描 arp-scan -l # 方法2: nmap ping扫描 nmap -T4 -sP 192.168.200.0/24 -oN

2025-08-18 09:00:21

csrf漏洞浅谈

# CSRF漏洞全面解析与防御指南 ## 一、CSRF漏洞概述 CSRF（Cross Site Request Forgery，跨站请求伪造）是一种网络攻击手段，攻击者通过伪装成受信任用户来执行未经授权的操作。 ### 1.1 CSRF与XSS的区别 - XSS：利用受信任的用户 - CSRF：伪装成受信任用户虽然CSRF被认为比XSS危险性低，但仍需高度重视。 ## 二、CSRF攻击原理 ### 2.1 攻击分类 1. **狭义CSRF**：攻击者将代码植入受害用户访问的页面，以

2025-08-18 08:59:32

Prototype Pollution扩展思考

# 原型链污染(Prototype Pollution)扩展利用与防御研究 ## 前言原型链污染(Prototype Pollution)是一种JavaScript特有的安全漏洞，攻击者通过修改对象的原型属性，影响所有继承自该原型的对象，从而可能导致跨站脚本(XSS)等安全问题。本文深入探讨原型链污染的扩展利用方式，特别是如何利用它绕过HTML过滤器，以及如何通过流行的JavaScript库实现XSS攻击。 ## HTML过滤器绕过技术 ### 过滤器工作原理大多数HTML过滤器采

2025-08-18 08:58:28

由WCTF2020 Thymeleaf分析payload形式

# Thymeleaf模板注入漏洞分析与利用 ## 1. 漏洞背景 Thymeleaf是一种现代服务器端Java模板引擎，当与Spring框架结合使用时，如果处理不当可能导致模板注入漏洞。本文基于WCTF2020比赛中的Thymeleaf题目，分析其漏洞原理及多种payload形式。 ## 2. 环境特性 - **Spring+Thymeleaf环境**：当web应用基于Spring时，Thymeleaf使用SpEL表达式语言 - **独立Thymeleaf环境**：使用OGNL表达式语

2025-08-18 08:57:34

Flink 任意文件读取和写入

# Apache Flink 任意文件读取和写入漏洞分析 ## 一、漏洞概述 Apache Flink 存在两个高危漏洞： 1. CVE-2020-17518 - 任意文件读取漏洞 2. CVE-2020-17519 - 任意文件写入漏洞这两个漏洞都存在于Flink的Web界面中，攻击者可以通过构造特殊请求实现对服务器文件系统的非法访问。 ## 二、漏洞分析 ### 1. 任意文件读取漏洞 (CVE-2020-17518) **漏洞位置**：`JobManagerCustomLog

2025-08-18 08:46:52

driftingbules:5 靶场解析及复现

# WordPress靶场渗透测试实战教学文档 ## 靶场环境信息 - Kali攻击机IP: 192.168.200.14 - 靶机IP: 192.168.200.60 - 目标系统: WordPress ## 一、信息收集阶段 ### 1. 端口扫描使用nmap进行全端口扫描： ```bash nmap -A -p 1-65535 192.168.200.60 ``` 扫描结果： - 22端口：SSH服务 - 80端口：HTTP服务（WordPress） ### 2. Web应用识别

2025-08-18 08:45:51

Web API 漏洞介绍（一）

# Web API 漏洞详解与防御指南 ## 1. Web API 基础概念 Web API (应用程序编程接口)是指用于Web服务器或Web浏览器的编程接口，主要分为两类： - **客户端Web API**：用于扩展Web浏览器或其他HTTP客户端中的功能 - **服务器端Web API**：基于HTTP的Web服务器公开的指向已定义的请求-响应消息系统的接口服务器端Web API通常具有以下特征： - 由一个或多个公开暴露的端点组成 - 使用基于HTTP的Web服务器 - 数据表示

2025-08-18 08:44:56

Vulhub 练习 DC-4靶机完整复现

# Vulhub DC-4靶机渗透测试完整复现教程 ## 一、环境准备 ### 1. 工具与设备 - **Kali Linux攻击机**：IP地址192.168.200.4 - **DC-4靶机**：IP地址未知（需通过扫描发现） - **网络配置**：两台机器必须使用相同的网络连接方式（本教程使用NAT模式） ## 二、信息收集阶段 ### 1. 主机发现使用以下两种方法发现靶机IP： ```bash # 方法一：ARP扫描 arp-scan -l # 方法二：Nmap Ping

2025-08-18 08:43:36

跳转到页