攻击JavaWeb应用[1]-JavaEE 基础

园长 / 2013-07-04

JSP: 全名为java server page,其根本是一个简化的Servlet

Servlet:Servlet是一种服务器端的Java应用程序,可以生成动态的Web页面。

JavaEE: JavaEE是J2EE新的名称。改名目的是让大家清楚J2EE只是Java企业应用。

什么叫Jsp什么叫Java我真的非常让大家搞清楚!拜托别一上来就来一句:“前几天我搞了一个jsp的服务器,可难吭了。”。

V

CSRF简单介绍及利用方法

VIP / 2013-07-02

CSRF(Cross-site request forgery)跨站请求伪造,由于目标站无token/referer限制,导致攻击者可以用户的身份完成操作达到各种目的。根据HTTP请求方式,CSRF利用方式可分为两种。

由参数URL想到的

瞌睡龙 / 2013-06-28

当你看到一个参数的值是url的时候你会想到什么?
结合wooyun里的案例看,可能产生的危害分为三方面:

Flash安全的一些总结

只抽红梅 / 2013-06-27

flash如何跨域通信,全靠crossdomain.xml这个文件。这个文件配置在服务端,一般为根目录下,限制了flash是否可以跨域获取数据以及允许从什么地方跨域获取数据。

比如下面的列子: 1、www.a.com域下不存在crossdomain.xml文件,则不允许除了www.a.com域之外的其他任何域下的flash进行跨域请求。

Browser Security-css、javascript

瞌睡龙 / 2013-06-19

调用方式有三种:

1 <style>
2 通过<link rel=stylesheet>或者使用style参数
3 XML包括XHTML可以通过<?xml-stylesheet href=...?>

Browser Security-基本概念

瞌睡龙 / 2013-06-19

URL格式:

scheme://[login[:password]@](host_name|host_address)[:port][/hierarchical/path/to/resource[?search_string][#fragment_id]]

L

python脚本处理伪静态注入

livers / 2013-05-27

通常情况下,动态脚本的网站的url类似下面这样 http://www.xxoo.net/aa.php?id=123 做了伪静态之后类似这样 http://www.xxoo.net/aa.php/id/123.html 总归大趋势下,攻击的门槛逐渐增高。这样有利有弊,喜欢研究的会深入钻研,另一方面只会用工具不懂原理的则充斥到大小论坛水区。

S

web服务器分层架构的资源文件映射安全以及在J2EE应用中的利用与危害

shine / 2013-05-24

通常一些web应用我们会使用多个web服务器搭配使用,解决其中的一个web服务器的性能缺陷以及做均衡负载的优点和完成一些分层结构的安全策略等!
例如:Nginx+ Tomcat的分层结构(在下文中,我们也使用此例说明相关问题)
Nginx是一个高性能的 HTTP 和 反向代理 服务器 。

Clickjacking简单介绍

瞌睡龙 / 2013-05-20

Clickjacking(点击劫持)是由互联网安全专家罗伯特·汉森和耶利米·格劳斯曼在2008年首创的。
是一种视觉欺骗手段,在web端就是iframe嵌套一个透明不可见的页面,让用户在不知情的情况下,点击攻击者想要欺骗用户点击的位置。

P

一次SWF XSS挖掘和利用

p.z / 2012-12-28

这篇迟到了近一年的paper是对WooYun: Gmail某处XSS可导致账号持久劫持漏洞的详细说明,赶在世界末日发布,希望不会太晚.:)

投稿

随机分类

后门 文章:39 篇
Android 文章:89 篇
二进制安全 文章:77 篇
神器分享 文章:71 篇
漏洞分析 文章:212 篇

扫码关注公众号

WeChat Offical Account QRCode

最新评论

Yukong

🐮皮

H

HHHeey

好的,谢谢师傅的解答

Article_kelp

a类中的变量secret_class_var = "secret"是在merge

H

HHHeey

secret_var = 1 def test(): pass

H

hgsmonkey

tql!!!

RSS订阅