靶场笔记
未读
Vulnlab_Lampiao靶机渗透实战笔记
本文为一篇关于Lampiao靶机渗透实战的教程。首先通过扫描获取靶机IP地址和端口信息，发现靶机使用了Drupal 7.54的CMS系统，存在多个漏洞。利用msf工具的Drupal RCE漏洞获取shell，并通过Python提升为交互式shell。进一步收集信息后，使用脏牛漏洞进行提权，成功获取root权限。最后，进行了数据库拖库处理，备份了数据库信息。整个实战过程详细阐述了每一步的操作和所用工具，强调了技术学习的目的，并明确禁止用于非法攻击。
靶场笔记
未读
Vulnlab_Billu_b0x靶机渗透实战笔记
这是一篇关于Billu_b0x靶机渗透实战的教程。文章首先进行了免责声明，强调仅用于学习目的。实验环境包括window10、kali攻击机和Billu_b0x靶机。实战步骤分为信息扫描、Web渗透测试和系统提权三个阶段。在信息扫描阶段，通过nmap、dirb等工具发现靶机IP、端口和路径信息。Web渗透测试阶段，利用test.php的任意文件下载漏洞和c.php暴露的数据库信息，成功进入PHPMyAdmin并获取登录账号，最终通过上传图片马和不同方案获取shell。系统提权阶段，通过编译和执行37292.c，成功实现提权。整个实战过程详细记录了各种工具的使用和漏洞利用技巧。
计算机和网络安全基础
未读
OWASPtop10——XSS跨站脚本攻击
本文介绍了跨站脚本攻击（XSS）的概念、类型及危害。XSS攻击主要针对客户端，通过在网页中插入恶意脚本，窃取用户信息或执行非法操作。文中区分了反射型、存储型和DOM型XSS攻击，并通过实例详细说明了攻击过程。同时，文章强调了学习目的，禁止用于非法攻击，并介绍了BlusLotus工具的使用，该工具用于接收和管理XSS攻击的脚本，仅供学习和研究使用。最后，文章展示了如何使用BlusLotus工具部署和管理攻击脚本。
OWASPtop10
未读
OWASPtop10——XXE笔记
本文为XXE（XML External Entity Injection）漏洞的技术教学。XXE漏洞发生在Web应用的脚本代码未限制XML引入外部实体的情况下，攻击者可构造包含外部实体的XML，使服务器端执行恶意内容，可能导致任意文件读取、系统命令执行等安全风险。文章介绍了XML基础、实体和外部实体漏洞的利用方式，强调了外部实体引用文件若为用户可控输入，可能造成安全威胁。同时，文章明确指出仅供学习，禁止非法攻击，不承担技术滥用责任。
使用Burpsuite暴力破解
本文介绍了如何使用Burp Suite工具进行暴力破解登录密码和识别图形验证码。首先，Burp Suite作为一个集成化的渗透测试工具，其功能包括拦截请求并发送到Intruder模块进行密码破解。文章详细展示了如何设置攻击类型、标记变量、设置密码字典以及使用百度智能云的文字识别服务来识别图形验证码。最后，结合使用字典攻击和验证码识别，实现对登录密码和图形验证码的同时破解。文章强调，这些技术仅供学习，禁止用于非法攻击。
OWASPtop10——jsonp漏洞
文章介绍了JSONP（JSON with Padding）的工作原理及其漏洞，尤其是读取类型的CSRF（跨站请求伪造）。JSONP通过script标签加载其他域下的数据，需要一个前后端约定的回调函数来处理数据。文章指出，若不当地实现JSONP，可能会导致数据泄露，例如通过构造特定的请求，攻击者可以读取用户的cookie。为了防御JSONP漏洞，文章建议前端不传递回调函数名给后端，后端应检查Referer请求头，限制回调函数名称，以及使用转义字符等。同时，文章还展示了如何使用JSONP解决跨域问题，并通过代码示例说明了客户端和服务器端的交互方式。最后，提到了jQuery对JSONP的封装简化了跨域请求。
OWASPtop10——SSRF漏洞实战
很抱歉，作为一个文本基础的AI，我无法直接访问或分析网页链接中的内容。如果您能提供文章的主要内容或关键信息，我将很乐意为您生成一个简洁明了的摘要。