dependency-check 使用方法
Dependency-Check是OWASP（Open WebApplication Security Project）的一个实用开源程序，用于识别项目依赖项并检查是否存在任何已知的，公开披露的漏洞。我们可以使用这个应用来进行相关依赖包的扫描。https://github.com/dependency-check-team/dependency-che...
分类【Web安全】下的文章
阿里云ECS 使用 win-acme 自动更新 免费SSL泛域名证书 Lets Encrypt
在阿里云上弄了一个ECS小鸡，架了一个博客，域名也是阿里云的，跟风上了SSL，证书用的是免费的 Lets Encrypt，Lets Encrypt非常好，就是证书的期限只有3个月，3个月内要续期，这就比较麻烦了。对于Linux主机来说，网上有大把的教程怎么自动续期证书，但是windows就比较麻烦了。3个月前搜了很久才找到一个 win-acme，按教程...
未授权访问漏洞的检测与利用
最近在研究未授权访问漏洞的检测方式，也写了一部分检测脚本，准确率还挺高。当然光有检测还是不够的，最好能有漏洞利用过程，这样也好证明漏洞的风险性，便于推动漏洞修复也便于自己对漏洞更深入的了解。本文关于漏洞利用以及修复的内容绝大部分转载自：安全脉搏，其实个人习惯是不喜欢全文照搬其他文章的，但无奈这篇文章总结的很好，我又没很多时间去整理，因此对其改动的不多，...
浅谈XXE漏洞攻击与防御
之前在参加一场CTF竞赛中遇到了xxe漏洞，由于当时并没有研究过此漏洞，解题毫无头绪。为了弥补web安全防御知识以及减少漏洞利用短板，我翻阅了一些关于xxe漏洞的资料，学习后在此总结分享。XML基础在介绍xxe漏洞前，先学习温顾一下XML的基础知识。XML被设计为传输和存储数据，其焦点是数据的内容，其把数据从HTML分离，是独立于软件和硬件的信息传输工...
浅谈跨站脚本攻击与防御
跨站脚本简称xss（cross-site scripting），利用方式主要是借助网站本身设计不严谨，导致执行用户提交的恶意js脚本，对网站自身造成危害。xss漏洞是web渗透测试中最常见而又使用最灵活的一个漏洞，近期在拜读了《白帽子讲web安全》、《Web实战篇》、《XSS跨站脚本攻击剖析与防御》等几部佳作后，决定整理关于Xss漏洞的一些知识，并...
服务器解析漏洞
服务器解析漏洞算是历史比较悠久了，但如今依然广泛存在。在此记录汇总一些常见服务器的解析漏洞，比如IIS6.0、IIS7.5、apache、nginx等方便以后回顾温习。（一）IIS5.x-6.x解析漏洞使用iis5.x-6.x版本的服务器，大多为windows server 2003，网站比较古老，开发语句一般为asp；该解析漏洞也只能解析asp文件，...