Domain 解释一下同源策略 同源策略，那些东西是同源可以获取到的 如果子域名和顶级域名不同源，在哪里可以设置叫他们同源 如何设置可以跨域请求数据？jsonp是做什么的？ Ajax Ajax是否遵循同源策略？ json注入如何利用 浏览器策略 不同浏览器之间，安全策略有哪些不同，比如chrome，firefox，IE CSP是什么？如何设置CSP？ SQLi 如何判断sql注入，有哪些方法 为什么有的时候没有错误回显，用php举例 宽字符注入的原理？如何利用宽字符注入漏洞，payload如何构造？ 你都了解哪些sql 的bypass技巧 CRLF注入的原理 XSS xss的发生场景？ 如果给你一个XSS漏洞，你还需要哪些条件可以构造一个蠕虫？ 在社交类的网站中，哪些地方可能会出现蠕虫？ 如果叫你来防御蠕虫，你有哪些方法？ 如果给你一个XSS盲打漏洞，但是返回来的信息显示，他的后台是在内网 […]

查看全部

一、系统安全记录文件 #more  /var/log/secure 统计访问IP及次数。 #grep  -oP ‘(\d+\.){3}\d+’ /var/log/secure |sort |uniq -c 二、启动和登录安全性 1．用户口令 修改改密码长度/etc/login.defs #vi  /etc/login.defs PASS_MIN_LEN 8 2．注释掉不需要的用户和用户组 vi  /etc/passwd vi  /etc/group 3．口令文件 chattr命令给下面的文件加上不可更改属性，从而防止非授权用户获得权限。 #chattr +i /etc/passwd #chattr +i /etc/shadow #chattr +i /etc/group #chattr +i /etc/gshadow 4．禁止CtrlAltDelete重新启动机器命 […]

查看全部

注：集成多web系统环境后续还会添加 一.linux下安装jetty： 先下载jetty 压缩包 删除demo-base目录（自带的测试项目） 1.把文件放到/opt/jetty目录 2.用命令启动jetty服务器：java -jar start.jar 3.访问localhost:8080查看是否启动成功。 ——————————————————————————————- 二.部署jenkins war包 1.将jenkins war […]

查看全部

wooyun漏洞库和drops文章库linux下安装使用说明： 1.首先安装python组件： 在命令行执行括号中对应的命令： flask (pip install Flask) pymongo (pip install pymongo) 2.安装mongodb服务端 在命令行执行：sudo apt-get install mongodb-server 安装完成后，用命令查看端口是否在启用：sudo nestat -lnput | grep 27017 mongodb常用命令： 重启/停止/启用/服务：sudo service mongodb restart/stop/start 3.备份或还原mongodb数据库： mongodb数据库备份： 注：不知道mongodump 文件在哪？可以通过命令whereis -b mongodump 或者 locate mongodump，linux默 […]

查看全部

1、Thunderbird Conversations 必装型插件。可以将同组邮件按照Gmail的样式进行整理，对层级关系也进行了更好的处理，毫不夸张的说装上这个插件，Thunderbird是瞬间就变得高大上了。 2、Manually Sort Folders 强迫症患者必备，尤其是对于新建了多个自定义文件夹的人而言，可以自主的调整文件夹的上下位置是多么必备的功能啊。 3、Color Folders 可以对文件夹的增加颜色分类，便于将不同类型的文件夹一目了然的快速分开，小功能大用途。 4、Extra Folder Columns 对文件夹面板增加更多的属性展示，包括总量和未读，这样每个文件夹的情况就展现更加清晰了。 5、Hide Local Folders 对我这种一向只用IMAP协议的邮箱使用者而言，本地文件夹基本上用不上，因此强迫症是一定要把它隐藏掉的。 6、LookOut 还记得收到 […]

查看全部

主要使用场景： 已经拿到目标服务器的webshell了，而且目标也开启3389等远程端口，但是用的是反向代理，内网IP，无法远程过去。 所以，你需要通过上传一个aspx或者php等之类的代理脚本（reGeorgSocksProxy），然后通过脚本，把目标电脑开启代理，使用proxychains设置本地代理，然后使用ssh或者远程登陆工具，连接对方电脑，就像连接本地内网一样，例如：要入侵的目标在对方内网的IP是192.168.12.11，那么，我们使用proxychains代理了以后，直接使用远程链接工具链接192.168.12.11即可。代理方式为socks4哦….   1.先安装proxychains：sudo dpkg -i proxychains    #如果没有这个包，可以用这个命令下载 sudo apt-get download proxychains 便于 […]

查看全部

–version             显示程序的版本号并退出 -h, –help            显示此帮助消息并退出 -v VERBOSE            详细级别：0-6（默认为1） Target（目标）： 以下至少需要设置其中一个选项，设置目标URL。 -d DIRECT           直接连接到数据库。 -u URL, –url=URL   目标URL。 -l LIST             从Burp 或WebScarab 代理的日志中解析目标。 -r REQUESTFILE      从一个文件中载入HTTP 请求。 -g GOOGLEDORK       处理Google dork 的结果作为目标URL。 -c CONFIGFILE       从INI 配置文件中加载选项。 Request（请求）：: 这些选项可以用来指定如何连接到目标URL。 –d […]

查看全部