一、写在前面 刚刚入职，适应了几天后抓紧开始学习，毕竟学无止境且自己太菜了…… 面试的时候，负责人问了我一些关于Java代审的问题，不过之前接触的更多是php的代审。熟悉代审的小伙伴们大概都清楚，两者就不是一个难度等级……而且网上目前好像也没有一个比较系统的java代审学习路线和视频，在这里就慢慢摸索吧，学一点就记录一点，也希望哪一位大佬看到后，可以call我一下，哪怕点一点学习路线也好，实在是头绪不太够哈哈~ WebGoat是OWASP开源的一个Java且使用的Spring框架的开源靶场，就从这里开始吧。统一说一下环境搭建（这里走了不少弯路，java的脾气大家都知道，一点不合就撂摊子…
一、写在前面 刚刚入职，适应了几天后抓紧开始学习，毕竟学无止境且自己太菜了…… 面试的时候，负责人问了我一些关于Java代审的问题，不过之前接触的更多是php的代审。熟悉代审的小伙伴们大概都清楚，两者就不是一个难度等级……而且网上目前好像也没有一个比较系统的java代审学习路线和视频，在这里就慢慢摸索吧，学一点就记录一点，也希望哪一位大佬看到后，可以call我一下，哪怕点一点学习路线也好，实在是头绪不太够哈哈~ WebGoat是OWASP开源的一个Java且使用的Spring框架的开源靶场，就从这里开始吧。统一说一下环境搭建（这里走了不少弯路，java的脾气大家都知道，一点不合就撂摊子…
Web安全基础-XSSLabs实验来自于https://xss.haozi.meXSS是跨站脚本攻击(CrossSiteScripting)，为不和层叠样式表(CascadingStyleSheets,CSS)的缩写混淆，故将跨站脚本攻击缩写为XSS。XSS攻击实际上就是攻击者使得浏览器执行本不该存在的前端代码。0x00基础服务端代码如下：functionrender(input){return''+input+''}当输入为alert(1);，因为输入要回显到前端，这时候浏览器将输入识别为了HTML代码，执行alert(1);0x01-0x02主动闭合0x01主动闭合-标签服务端代码如下：f
Web安全基础-XSSLabs实验来自于https://xss.haozi.meXSS是跨站脚本攻击(CrossSiteScripting)，为不和层叠样式表(CascadingStyleSheets,CSS)的缩写混淆，故将跨站脚本攻击缩写为XSS。XSS攻击实际上就是攻击者使得浏览器执行本不该存在的前端代码。0x00基础服务端代码如下：functionrender(input){return''+input+''}当输入为alert(1);，因为输入要回显到前端，这时候浏览器将输入识别为了HTML代码，执行alert(1);0x01-0x02主动闭合0x01主动闭合-标签服务端代码如下：f
前言：最近一直在挖漏洞，碰到的XSS漏洞最多了，今天就顺便来讲一下，如有错的地方，烦请指出。00×1 什么是XSS漏洞： XSS又叫CSS(CrossSiteScript)，跨站脚本攻击。它指的是恶意攻击者往Web页面里插入恶意html代码，当用户浏览该页之时，嵌入其中Web里面的html代码会被执行，从而达到恶意攻击用户的特殊目的。00×2 XSS漏洞有什么危害： 1、盗取各类用户帐号，如机器登录帐号、用户网银帐号、各类管理员帐号 2、控制企业数据，包括读取、篡改、添加、删除企业敏感数据的能力 3、盗窃企业重要的具有商业价值的资料 4、非法转账
前言：最近一直在挖漏洞，碰到的XSS漏洞最多了，今天就顺便来讲一下，如有错的地方，烦请指出。00×1 什么是XSS漏洞： XSS又叫CSS(CrossSiteScript)，跨站脚本攻击。它指的是恶意攻击者往Web页面里插入恶意html代码，当用户浏览该页之时，嵌入其中Web里面的html代码会被执行，从而达到恶意攻击用户的特殊目的。00×2 XSS漏洞有什么危害： 1、盗取各类用户帐号，如机器登录帐号、用户网银帐号、各类管理员帐号 2、控制企业数据，包括读取、篡改、添加、删除企业敏感数据的能力 3、盗窃企业重要的具有商业价值的资料 4、非法转账
SQL注入是常见的系统安全问题之一，用户通过特定方式向系统发送SQL脚本，可直接自定义操作系统数据库，如果系统没有对SQL注入进行拦截，那么用户甚至可以直接对数据库进行增删改查等操作。 XSS全称为CrossSiteScript跨站点脚本攻击，和SQL注入类似，都是通过特定方式向系统发送攻击脚本，对系统进行控制和侵害。SQL注入主要以攻击数据库来达到攻击系统的目的，而XSS则是以恶意执行前端脚本来攻击系统。 项目框架中使用mybatis/mybatis-plus数据持久层框架，在使用过程中，已有规避SQL注入的规则和使用方法。但是在实际开发过程中，由于各种原因，开发人员对持久层框架的掌
SQL注入是常见的系统安全问题之一，用户通过特定方式向系统发送SQL脚本，可直接自定义操作系统数据库，如果系统没有对SQL注入进行拦截，那么用户甚至可以直接对数据库进行增删改查等操作。 XSS全称为CrossSiteScript跨站点脚本攻击，和SQL注入类似，都是通过特定方式向系统发送攻击脚本，对系统进行控制和侵害。SQL注入主要以攻击数据库来达到攻击系统的目的，而XSS则是以恶意执行前端脚本来攻击系统。 项目框架中使用mybatis/mybatis-plus数据持久层框架，在使用过程中，已有规避SQL注入的规则和使用方法。但是在实际开发过程中，由于各种原因，开发人员对持久层框架的掌
XSSgame(xss-game.appspot.com)这是一款谷歌的XSS游戏，总共有6个级别目录Level1Level2Level3Level4Level5Level6Level1无需转义，直接编辑URL栏或者搜索框中都可以执行alert(1)Level2留言板中放入alert(1)发现不弹窗，说明标签不起作用，转译成了HTML实体，可以选择其他能够触发JavaScript代码的命令//标签与属性一起使用，onerror事件会在文档或图像加载过程中发生错误时被触发。Level3//查看源代码functionchooseTab(num){//Dynamicallyloadtheapprop
XSSgame(xss-game.appspot.com)这是一款谷歌的XSS游戏，总共有6个级别目录Level1Level2Level3Level4Level5Level6Level1无需转义，直接编辑URL栏或者搜索框中都可以执行alert(1)Level2留言板中放入alert(1)发现不弹窗，说明标签不起作用，转译成了HTML实体，可以选择其他能够触发JavaScript代码的命令//标签与属性一起使用，onerror事件会在文档或图像加载过程中发生错误时被触发。Level3//查看源代码functionchooseTab(num){//Dynamicallyloadtheapprop
