小蓝知识库

阅读(387)赞(9)

1、字符型SQL注入需要闭合单引号 ‘  ，否则就会报错，无法执行想要的sql语句，例如一个网站存在字符类型SQL注入，输入 2024’ 或 ‘  都会显示 SQL语句报错。 2、尝试构造闭合，并注释后面...

阅读(147)赞(5)

我们知道，当网站更换域名，原来的很多链接都需要更改，否则不能正常使用 假设，旧网站域名是xiaolansec.cn，现在需要更换新域名为test.com，那么操作数据库更新是最快最方便的方法，注意表前缀WordPress默认是wp_xxx，...

阅读(235)赞(7)

适合网站前面部署安全防护类产品，例如web应用防火墙反向代理，Nginx反向代理、云防waf、云盾 #前方nginx代理服务器配置： location / { #root html; #index index.html index.htm;...

阅读(272)赞(4)

其形成的原因大都是由于服务端提供了从其他服务器应用获取数据的功能,但又没有对目标地址做严格过滤与限制，导致攻击者可以传入任意的地址来让后端服务器对其发起请求,并返回对该目标地址请求的数据。 file://C:/windows/test.tx...

阅读(3387)赞(8)

CSRF (Cross-site requestforgery，跨站请求伪造)也被称为One Click Attack或者Session Riding。攻击者通过伪造请求，以用户身份执行用户不想执行的操作。以达到修改、新增、删除、转账等操作...

阅读(370)赞(6)

1、Nginx作为http服务时，开启网站目录浏览，在Nginx.conf添加配置： autoindex on; 2、Nginx作为http服务时，关闭网站目录浏览，在Nginx.conf添加配置，经测试直接删除 autoindex on;...

阅读(311)赞(6)

“远控木马”在客户端运行时会主动发起请求，连接远控平台，方向是从内网到外网（远控平台在互联网的情况下）。为什么当我们在客户端使用 netstat -ano或抓包，不一定能看到网络的连接呢？这是因为木马回连设置了间隔时间。需要长时间的抓包分析...

阅读(408)赞(5)

安全建设中，为了避免击者利用tomcat攻默认管理页面登录上传webshell。可以将默认管理后台删除，增加安全性。 删除进入Tomcat目录，删除webapps目录下的文件夹（1）examples （2）host-manager （3）R...

阅读(242)赞(4)

1、在apache-tomcat/conf/下修改server.xml文件，添加以下配置： <Valve className="org.apache.catalina.valves.ErrorReportValve" showRepo...

阅读(527)赞(5)

内网穿透好坏，在于使用人群不同决定它的作用，网安人、红队使用frp、Proxifier无非是代理流量出网，方便后渗透、权限控制、横向移动。 通过SOCKS5 全局流量代理，本地机器可以直接使用私网地址访问云上主机。 frp客户端配置参考： ...