在线XSS-labs靶场：https://xssaq.com/yx/靶场搭建靶场是直接使用docker搭建的dockerpullvulfocus/xss-labs启动靶场dockerrun-p8005:80vulfocus/xss-labs浏览器访问IP+8005windows搭建使用phpstudy_pro搭建下载地址：https://github.com/do0dl3/xss-labs解压文件放入www文件夹下，开启服务浏览器访问127.0.0.1/xss-labslevel1仔细观察看到在url栏中传了一个参数，所以在该参数处进行尝试传入其它参数发现页面有所变化，在“欢迎用户”后有一个显
目录一、什么是Pikachu(皮卡丘) 二、靶场配置 一、什么是Pikachu(皮卡丘)Pikachu是一个带有漏洞的Web应用系统，在这里包含了常见的web安全漏洞。如果你是一个Web渗透测试学习人员且正发愁没有合适的靶场进行练习，那么Pikachu可能正合你意。 二、靶场配置pikachu的安装需要集成环境的配合，这里我们选择xamppxampp的下载地址： DownloadXAMPP(apachefriends.org)安装很简单，一直next就行。 我们需要用的是Apache和MySQL，如果大不开，可能是与其他应用的端口冲突了，可以通过Config去修改xampp上这个服务的端口
前言：介绍： 博主：网络安全领域狂热爱好者（承诺在CSDN永久无偿分享文章）。殊荣：CSDN网络安全领域优质创作者，2022年双十一业务安全保卫战-某厂第一名，某厂特邀数字业务安全研究员，edusrc高白帽，vulfocus、攻防世界等平台排名100+、高校漏洞证书、cnvd原创漏洞证书等。擅长：对于技术、工具、漏洞原理、黑产打击的研究。C站缘：C站的前辈，引领我度过了一个又一个技术的瓶颈期、迷茫期。导读：面向读者：对于网络安全方面的学者。 本文知识点： （1）掌握如何分析业务逻辑（√）（2）掌握业务逻辑的可能缺陷、未处理非常规输入、对用户行为做出错误的假设（√）（3）掌握业务逻辑的第三
目录安装docker和docker-compose搭建CTFd平台部署CTF题目CTFd平台创建题目安装docker和docker-compose（1）安装docker：curl-fsSLhttps://get.docker.com|bash-sdocker--mirrorAliyun（2）安装DockerCompose：apt-getinstalldocker-compose（3）验证一下是否安装成功：搭建CTFd平台mkdirCTFd #创建一个文件夹CTFdcdCTFdgitclonehttps://github.com/CTFd/CTFd.git #下载C
文章目录前言一、PHPStudy搭建二、DVWA靶机配置前言DVWA介绍：在近些年网络安全的高速发展中，初学者已经很难找到一个网站进行渗透了，曾几何时，一个漏洞，一个工具就可以在网上找到很多有漏洞的网站去体验，当然渗透一个未经授权的系统是非法的。因此，为了能够较为真实地学习Web渗透的各种技术，就需要找一个专门用于学习的Web演练平台，人们将这种用于练习渗透的平台称为“靶场”。DVWA可以进行SQL注入、XSS、CSRF、文件上传等漏洞的演练，由于该系统提供了多个安全演练级别，因此可以逐步地来提高Web渗透的技术。DVWA是一套开源的系统，在练习Web渗透技术的同时，也可以通过阅读源码学习到对
01.Web漏洞靶场的搭建Web漏洞靶场的搭建（上）什么是Web安全？什么是WebWeb是互联网的总称，全称为WorldWideWeb，缩写WWW，即全球广域网，也称为万维网，它是一种基于超文本和HTTP的、全球性的、动态交互的、跨平台的分布式图形信息系统。简单说来，Web是一种体系结构，通过它可以访问遍布于因特网主机上的链接文档。什么是web安全？web安全简单说来就是网站的安全，那么我们需要学习的是，网站上面可能出现哪些漏洞，如何寻找这些漏洞，如果利用这些漏洞。漏洞挖掘漏洞定义：官方定义：漏洞是在硬件、软件、协议的具体实现或系统安全策略上存在缺陷，从而使攻击者能够在未授权的情况下访问或破坏
前言这是一个系列文章，之前已经介绍过一些二进制安全的基础知识，这里就不过多重复提及，不熟悉的同学可以去看看我之前写的文章heap3程序静态分析https://exploit.education/protostar/heap-three/#include#include#include#include#includevoidwinner()#定义了一个名为winner的函数{printf("thatwasn'ttoobadnow,wasit?@%d\n",time(NULL));#输出字符串}intmain(intargc,char**argv)#主函数，从终端接收输入{char*a,*b,*c
作者名：Demo不是emo 主页面链接：主页传送门创作初心：一切为了她座右铭：不要让时代的悲哀成为你的悲哀专研方向：网络安全，数据结构每日emo：要做个明亮的人，要有个珍藏的故事，要看遍山河日落，要不虚此行。 从10月中旬开始制定了为期24周的打靶训练（每周一次），所以今天开始进行24次系统性打靶第三次训练，每次打靶后都会分享靶场攻略和总结的知识点，如果对渗透测试和打靶比较感兴趣的小伙伴们也可以跟着我一起训练哦（这24个靶场都是精挑细选的，基本覆盖了渗透测试需要了解的全部类型的漏洞），我们直接进行第三次打靶训练第三次打靶训练针对的知识点如下 端口扫描WEB侦查命令注入数据编解码搜索大法框架漏洞
burp靶场–WebSockets安全漏洞https://portswigger.net/web-security/websockets/what-are-websockets###什么是WebSocket？WebSocket是一种通过HTTP发起的双向、全双工通信协议。它们通常在现代Web应用程序中用于流数据和其他异步流量。在本节中，我们将解释HTTP和WebSocket之间的区别，描述如何建立WebSocket连接，并概述WebSocket消息的外观。###HTTP和WebSocket之间有什么区别？Web浏览器和网站之间的大多数通信都使用HTTP。使用HTTP，客户端发送请求，服务器返回
前言这是一个系列文章，之前已经介绍过一些二进制安全的基础知识，这里就不过多重复提及，不熟悉的同学可以去看看我之前写的文章程序静态分析https://exploit.education/protostar/heap-one/#include#include#include#include#includestructinternet{#定义了一个名为internet的结构体intpriority;#定义了一个int类型的priority函数char*name;#定义了一个char指针name函数};voidwinner()#winner函数{printf("andwehaveawinner@%d\
