网络安全小张
码龄2年
求更新 关注
提问 私信
  • 博客:243,220
    243,220
    总访问量
  • 263
    原创
  • 3,151
    粉丝
  • 1
    关注
IP属地以运营商信息为准,境内显示到省(区、市),境外显示到国家(地区)
IP 属地:湖南省
加入CSDN时间: 2024-04-22
博客简介:

cc123489ll的博客

查看详细资料
个人成就
  • 获得4,308次点赞
  • 内容获得10次评论
  • 获得4,669次收藏
  • 代码片获得1,198次分享
  • 博客总排名1,052,571名
创作历程
  • 267篇
    2024年
成就勋章

TA关注的专栏 0

TA关注的收藏夹 0

TA关注的社区 0

TA参与的活动 0

创作活动更多

AI 镜像开发实战征文活动

随着人工智能技术的飞速发展,AI 镜像开发逐渐成为技术领域的热点之一。Stable Diffusion 3.5 FP8 作为强大的文生图模型,为开发者提供了更高效的图像生成解决方案。为了推动 AI 镜像开发技术的交流与创新,我们特此发起本次征文活动,诚邀广大开发者分享在 Stable Diffusion 3.5 FP8 文生图方向的实战经验和创新应用 本次征文活动鼓励开发者围绕 Stable Diffusion 3.5 FP8 文生图方向,分享以下方面的内容: 1. 技术实践与优化 - Stable Diffusion 3.5 FP8 模型架构解析与优化技巧 - 文生图生成效果的提升方法与技巧 - 模型部署与加速策略,例如使用 Hugging Face、Diffusers 等工具 - 针对特定场景(例如二次元、写实风)的模型微调与定制化开发 2. 应用场景探索 - Stable Diffusion 3.5 FP8 在不同领域的应用案例分享,例如游戏设计、广告创意、艺术创作等 - 利用 Stable Diffusion 3.5 FP8 实现图像编辑、图像修复、图像增强等功能的探索 - 结合其他 AI 技术(例如 NLP、语音识别)构建更强大的应用 3. 创新应用与思考 - 基于 Stable Diffusion 3.5 FP8 的创新应用场景设计 - AI 镜像开发的未来发展方向的思考与展望 - 对 AI 镜像开发伦理、安全等问题的探讨

25人参与 去参加
  • 最近
  • 文章
  • 专栏
  • 代码仓
  • 资源
  • 收藏
  • 关注/订阅/互动
更多
  • 最近

  • 文章

  • 专栏

  • 代码仓

  • 资源

  • 收藏

  • 关注/订阅/互动

  • 社区

  • 帖子

  • 问答

  • 课程

  • 视频

搜索 取消

技术分享-ueditor漏洞利用&源码分析超详细分析

ueditor的漏洞主要存在于其上传功能中,攻击者可以利用上传漏洞将恶意脚本上传到服务器,从而获取服务器的控制权或者进行其他恶意行为。攻击者一般通过修改上传文件的后缀名或者修改文件内容的方式来绕过服务器的安全检测。ueditor的上传功能在其server下的文件Uploader.cs中实现。Uploader.cs中主要实现了文件上传的功能,并且包含了一些安全检测的代码。其中,一个重要的安全检测就是检测上传文件的后缀名是否在指定的白名单之内。
原创
博文更新于 2024.06.29 ·
1574 阅读 ·
24 点赞 ·
0 评论 ·
29 收藏

框架安全-CVE 复现&Spring&Struts&Laravel&ThinkPHP漏洞复现

中间件及框架列表:等1、开发框架-PHP-Laravel-Thinkphp2、开发框架-Javaweb-St2-Spring3、开发框架-Python-django-Flask4、开发框架-Javascript-Node.js-JQuery常见语言开发框架:PHP:Thinkphp Laravel YII CodeIgniter CakePHP Zend 等JAVA:Spring MyBatis Hibernate Struts2 Springboot 等。
原创
博文更新于 2024.06.29 ·
1195 阅读 ·
10 点赞 ·
0 评论 ·
19 收藏

网络安全基本概念_简述网络安全的概念

网络安全指网络系统中的硬件、软件以及系统中的数据受到保护,不因偶然或恶意的原因而遭到破坏、更改、泄露,系统连续可靠正常地运行,网络服务不中断。网络安全包括:网络设备安全、网络软件安全和网络信息安全。凡是涉及到网络上信息保密性、完整性、可用性、可认证性、可控性和可审查性的相关理论和技术都是网络安全研究的范畴。那么这“6个特性”是什么意思呢?**/****/ 保密性:**确保信息不被泄露或呈现给非授权的人。**/****/完整性:**信息在传输和存储的过程中不丢失、不被修改和破坏。
原创
博文更新于 2024.06.29 ·
1187 阅读 ·
22 点赞 ·
0 评论 ·
26 收藏

OSCS开源安全周报第 56 期:Apache Airflow Spark Provider 任意文件读取漏洞

OSCS 社区共收录安全漏洞 3 个,公开漏洞值得关注的是 Apache NiFi 连接 URL验证绕过漏洞(CVE-2023-40037)、PowerJob 未授权访问漏洞(CVE-2023-36106)、Apache Airflow SparkProvider 任意文件读取漏洞(CVE-2023-40272)。针对 NPM 、PyPI 仓库,共监测到 81 个不同版本的毒组件,其中 NPM 组件包 mall-front-babel-directive。
原创
博文更新于 2024.06.29 ·
2808 阅读 ·
20 点赞 ·
0 评论 ·
29 收藏

CVE-2023-36025 Windows SmartScreen 安全功能绕过漏洞

CVE-2023-36025是微软于11月补丁日发布的安全更新中修复WindowsSmartScreen安全功能绕过漏洞。攻击者可以通过诱导用户单击特制的URL来利用该漏洞,对目标系统进行攻击。成功利用该漏洞的攻击者能够绕过WindowsDefender SmartScreen检查及其相关提示。该漏洞的攻击复杂性较低,可创建并诱导用户点击恶意设计的 Internet 快捷方式文件(.URL) 或指向此类文件的超链接来利用该漏洞,无需特殊权限即可通过互联网进行利用。
原创
博文更新于 2024.06.29 ·
1210 阅读 ·
21 点赞 ·
0 评论 ·
17 收藏

Web 安全之 CSV 注入攻击详解

CSV 是一种简单的文件格式,用于存储表格数据,每行一个数据记录,每个记录由逗号分隔的多个字段组成。CSV文件因其简单性和跨平台性而被广泛使用,在数据导出和导入中尤其常见。CSV 注入攻击是攻击者通过某些方式在 CSV 文件中注入恶意的代码,并利用电子表格软件处理 CSV文件时的特性来执行恶意代码实现非法操作的攻击方式。这种攻击通常发生在应用程序在处理 CSV文件时,没有正确地校验或转义用户输入的特殊字符,从而被攻击者利用在 CSV 文件中注入恶意代码。
原创
博文更新于 2024.06.28 ·
849 阅读 ·
13 点赞 ·
0 评论 ·
11 收藏

Web 攻防之业务安全:验证码绕过测试.(修改数据包中 res_code 的值 实现绕过.)

压箱底的好资料,全面地介绍网络安全的基础理论,包括逆向、八层网络防御、汇编语言、白帽子web安全、密码学、网络安全协议等,将基础理论和主流工具的应用实践紧密结合,有利于读者理解各种主流工具背后的实现机制。此时 res_code 的值为1,为了证明认证码错误时 res_code 的值为1,我们将返回的数据包中 res_code。此时 res_code 的值为1,为了证明认证码错误时 res_code 的值为1,我们将返回的数据包中 res_code。的值改为0,从而实现绕过验证码。工欲善其事必先利其器。
原创
博文更新于 2024.06.28 ·
780 阅读 ·
20 点赞 ·
0 评论 ·
16 收藏

WAF是什么?一篇文章带你全面了解WAF

WAF是什么?
原创
博文更新于 2024.06.28 ·
1835 阅读 ·
20 点赞 ·
0 评论 ·
32 收藏

Web 安全之 Permissions Policy(权限策略)详解

Permissions Policy 为 web开发人员提供了明确声明哪些功能可以在网站上使用,哪些功能不能在网站上使用的机制。可以设置一组策略,用于限制站点代码可以访问的 API或者修改浏览器对某些特性的默认行为。设置 Permissions-Policy 可以在代码库不断演进的同时强制执行最佳实践,同时更安全地组合第三方内容。Permissions Policy 类似于 Content Security Policy(CSP 内容安全策略),但控制的是功能特性,而不是安全行为。
原创
博文更新于 2024.06.28 ·
847 阅读 ·
27 点赞 ·
0 评论 ·
19 收藏

Weblogic安全漫谈(三)

本篇介绍中的漏洞利用链及后续绕过。经历2015到2018的3年迭代后,Weblogic的黑名单逐渐完善,废掉CC反序列化更是釜底抽薪。另一方面也促使研究员去挖掘新组件新利用链,这篇介绍的就是@testbnull在发现Spring写文件链后[1],继续挖掘出中的漏洞利用链及后续绕过。因为10.3.6默认没有启用coherence,我们用12.2.1.3作为调试环境。
原创
博文更新于 2024.06.28 ·
977 阅读 ·
20 点赞 ·
0 评论 ·
11 收藏

弱口令(Weak Password)总结和爆破工具

网站管理、运营人员由于安全意识不足,为了方便、避免忘记密码等,使用了非常容易记住的密码,或者是直接采用了系统的默认密码等。攻击者利用此漏洞可直接进入应用系统或者管理系统,从而进行系统、网页、数据的篡改与删除,非法获取系统、用户的数据,甚至可能导致服务器沦陷。弱口令(weak password) 没有严格和准确的定义,通常认为容易被别人(他们有可能对你很了解)猜测到或被破解工具破解的口令均为弱口令。
原创
博文更新于 2024.06.27 ·
1703 阅读 ·
15 点赞 ·
0 评论 ·
25 收藏

如何入门渗透测试

渗透测试就是模拟真实黑客的攻击手法对目标网站或主机进行全面的安全评估,与黑客攻击不一样的是,渗透测试的目的是尽可能多地发现安全漏洞,而真实黑客攻击只要发现一处入侵点即可以进入目标系统。一名优秀的渗透测试工程师也可以认为是一个厉害的黑客,也可以被称呼为白帽子。一定要注意的是,在进行渗透测试前,需要获得目标客户的授权,如果未获得授权,千万不要对目标系统进行渗透测试,后果请查看《网络安全法》。同时要有良好的职业操守,不能干一些违法的事情。
原创
博文更新于 2024.06.27 ·
765 阅读 ·
30 点赞 ·
0 评论 ·
28 收藏

常见WEB漏洞原理分析

一、SQL注入漏洞SQL注入攻击(SQL Injection),简称注入攻击、SQL注入,被广泛用于非法获取网站控制权,是发生在应用程序的数据库层上的安全漏洞。在设计程序,忽略了对输入字符串中夹带的SQL指令的检查,被数据库误认为是正常的SQL指令而运行,从而使数据库受到攻击,可能导致数据被窃取、更改、删除,以及进一步导致网站被嵌入恶意代码、被植入后门程序等危害。通常情况下,SQL注入的位置包括:(1)表单提交,主要是POST请求,也包括GET请求;(2)URL参数提交,主要为GET请求参数。
原创
博文更新于 2024.06.27 ·
966 阅读 ·
21 点赞 ·
0 评论 ·
11 收藏

把手教你如何进行内网渗透

内网渗透主要是基于前期外围打点getshell的webserver,通过收集webserver上的信息,然后对其他内网主机进行口令上的攻击,当然也有一些基于漏洞的攻击。内网相关概念这里不再进行介绍,大家可以自行百度,诸如什么是域、域与工作组的区别、什么是DC、什么是AD等。当然,概念是生涩难懂的,结合实际环境会有助于理解。实操部分写的比较草率,主要是为了增强认知、扩展思路、扩充知识面。实际上有很多优秀的集成化工具,很少会拆分开来单独使用这些方法。
原创
博文更新于 2024.06.27 ·
790 阅读 ·
20 点赞 ·
0 评论 ·
10 收藏

CTF入门教程(非常详细)从零基础入门到竞赛,看这一篇就够了!

MISC(安全杂项):全称Miscellaneous。题目涉及流量分析、电子取证、人肉搜索、数据分析、大数据统计等等,覆盖面比较广。我们平时看到的社工类题目;给你一个流量包让你分析的题目;取证分析题目,都属于这类题目。主要考查参赛选手的各种基础综合知识,考察范围比较广。PPC(编程类):全称Professionally Program Coder。题目涉及到程序编写、编程算法实现。算法的逆向编写,批量处理等,有时候用编程去处理问题,会方便的多。当然PPC相比ACM来说,还是较为容易的。
原创
博文更新于 2024.06.27 ·
884 阅读 ·
18 点赞 ·
0 评论 ·
22 收藏

【精选】【XSS漏洞03】XSS漏洞验证、语句构造与绕过方法

了解漏洞验证相关概念含义;掌握XSS漏洞验证的方法;掌握XSS语句构造的5种方法;掌握XSS语句绕过的8种方法。
原创
博文更新于 2024.06.26 ·
1208 阅读 ·
15 点赞 ·
0 评论 ·
35 收藏

【XSS漏洞-01】XSS漏洞简介、危害与分类及验证

定义/原理:跨站脚本(Cross-Site Scripting),本应该缩写为CSS,但是该缩写已被层叠样式脚本Cascading Style Sheets所用,所以改简称为XSS。也称跨站脚本或跨站脚本攻击。跨站脚本攻击XSS通过将恶意得Script代码注入到Web页面中,当用户浏览该页之时,嵌入其中Web里面的Script代码会被执行,从而达到恶意攻击用户的目的。本质:是一种针对网站应用程序的安全漏洞攻击技术,是代码注入的一种。特点:XSS主要基于JavaScript。
原创
博文更新于 2024.06.26 ·
1029 阅读 ·
27 点赞 ·
0 评论 ·
12 收藏

【精选】关于信息收集

信息收集是指通过各种方式获取所需要的信息。信息收集是信息得以利用的第一步,也是关键的一步。信息收集工作的好坏,直接关系到渗透/漏洞挖掘的质量。
原创
博文更新于 2024.06.26 ·
858 阅读 ·
18 点赞 ·
0 评论 ·
17 收藏

【精选】常用信息收集方法

例如搜索“product:“SSH””,能够得到相对应的IP地址,主机名,ISP(组织),对应的国家,Banner信息等信息。使用前需要注册一个账号,否则无法使用还可以通过 过滤过轨来帮助精确性获取目标信息搜索过滤规则举例hostname: 搜索指定的主机或者域名org: 搜索指定的组织port: 搜索指定的端口port: “80”product: 搜索指定的操作系统/服务net: 搜索指定的IP地址。
原创
博文更新于 2024.06.26 ·
994 阅读 ·
8 点赞 ·
0 评论 ·
23 收藏

【精选】弱口令介绍及破解方式

暴力破解,是一种针对于密码的破译方法,将密码进行逐个推算直到找出真正的密码为止。例如一个已知是四位并且全部由数字组成的密码,其可能共有10000种组合,因此最多尝试10000次就能找到正确的密码。而当遇到人为设置密码(非随机密码,人为设置密码有规律可循)的场景,则可以使用密码字典(例如彩虹表)查找高频密码,破解时间大大缩短。对于弱口令的破解,穷举法对于简单的口令有着“奇效”,但是对于一般的口令,穷举法的工作量太大;
原创
博文更新于 2024.06.26 ·
2352 阅读 ·
24 点赞 ·
0 评论 ·
25 收藏
加载更多