这几天用SSM + Redis实现了一个较为完整的学生管理系统，感兴趣的同学可以下载来看看，项目注释写得很多，不失为一个学习的好项目。
首先祝大家新年快乐，同样希望大家都可以健健康康的度过这次疫情，然后我想解释一下为什么停更长达一两个月，去年总是可能是熬夜生活作息不太规律，总是偏头痛，程度还挺重，已经影响自己的正常工作和学习，后来配合休息和药，才基本恢复了，上个学期末学校的事也是多了一些，很多时间都用在了课业或者看一些技术书上，所以停更了算挺久，非常抱歉，很感谢即使停更，大家也没有离我而去，从今天起，我接着开始更新一些文章，希望我粗浅的技术能给大家一些切实的帮助，非常欢迎大家用公众号后台，微信或者邮件的方式（文末有联系方式）与我交流，再次感谢大家！
继续测试其它字符，发现输入数字都有回显，但是如果输入的是字母，则没有回显。 1.报错注入 1' 输入：1' 没有回显，应该是存在SQL注入，但是关闭了错误回显，所以报错注入是行不通了。 2.联合查询：1 order by 2 用order去试探有多少字段，返回的都是Nonono，看来order by也被过滤了，联合查询也就行不通了。
攻防世界答题模块是一款提升个人信息安全水平的益智趣味答题，用户可任意选择题目类型进行答题。
l init[0123456]：在 etc/inittab中修改initdefault。
作用：用于查看Linux文件系统的状态信息,显示各个分区的容量、已使用量、未使用量及挂载点等信息。看剩余空间
很久没有更新了，本来刷完第一页的20关就打算sql注入之路到此为止了，但是去BUU做了一道sql注入的题瞬间就被打击了，于是就继续回来打怪，废话不多说，这一关又回到了亲切的GET传参，请看正文。
因为程序本身逻辑不严或逻辑太复杂，导致一些逻辑分支不能够正常处理或处理错误，造成的一系列漏洞
用户的切换和创建 添加一个用户：useradd （管理员） 用法：useradd 用户名 设置用户的登入密码：passwd （管理员） 用法：passwd 用户名 查看当前登入的用户：whoami 切换用户：su 用法1：su 用户名 用法2：su 回车（切换到root） 特点：管理员切换普通用户不需要密码，普通用户之间切换需要密码。 管理员登入（#），普通用户登入（$）。 Shell快捷键 Ctrl+a：调到命令行的开头 Ctrl+e：调到命令行的行尾 Ctrl+u：将光标处到命令行开头的内容清除
我们在进行渗透测试的时候，常常会遇到许多网站站点，而有的网站仅仅是基于一个登陆接口进行处理的。尤其是在内网环境的渗透测试中，客户常常丢给你一个登陆网站页面，没有测试账号，让你自己进行渗透测试，一开始经验不足的话，可能会无从下手。今天就来简单说一下如何在只有一个登陆页面的情况下，来进行渗透测试。
1、Jar 包 <properties> <project.build.sourceEncoding>UTF-8</project.build.sourceEncoding> <maven.compiler.source>1.7</maven.compiler.source> <maven.compiler.target>1.7</maven.compiler.target> <lombok.version>1.18.12</lom
1.cat cat 命令用于连接文件并打印到标准输出设备上。 使用权限 所有使用者 2.Linux chgrp命令用于变更文件或目录的所属群组。 3.Linux/Unix 的文件调用权限分为三级 : 文件拥有者、群组、其他。 利用 chmod 可以藉以控制文件如何被他人所调用。 u 表示该文件的拥有者， g 表示与该文件的拥有者属于同一个群体(group)者， o 表示其他以外的人， a 表示这三者皆是。 + 表示增加权限、 - 表示取消权限、 = 表示唯一设定权限。 r 表示可读取， w 表示可写入， x 表示可执行， X 表示只有当该文件是个子目录或者该文件已经被设定过为可执行。 实例见：https://blog.csdn.net/jiangyu1013/article/details/79656591 4.Linux cmp命令用于比较两个文件是否有差异。 当相互比较的两个文件完全一样时，则该指令不会显示任何信息。 若发现有所差异，预设会标示出第一个不同之处的字符和列数编号。 若不指定任何文件名称或是所给予的文件名为"-"， 则cmp指令会从标准输入设备读取数据。 5.Linux file命令用于辨识文件类型。 通过file指令，我们得以辨识该文件的类型。 如执行：file install.log 会输出文件的类型数据：UTF-8 Unicode text file install.log install.log: UTF-8 Unicode text
使用selenium库完成动点击下一页，点击视频操作等过程， 如果你非要说这是XX，那我也不过多辩解，毕竟批评不自由，赞美无意义。
推荐的个项目「B23Downloader」，下载 B 站视频、直播、漫画（能看 = 能下载）。
thr0cyte，Gr33k，花花，MrTools，R1ght0us，7089bAt
我们已经学会了如何找到并利用sql注入漏洞，下面我们将介绍一个同类型的另外一个漏洞，名为sql盲注。它不会有任何回显信息，完全利用两次不同的回显页面造成数据库猜解，开始学习吧！
利用国庆期间做了一个基于springboot+vue的前后端分离的个人博客网站，今天在这里将开发过程和大家分享一下，手把手教你搭建一个自己专属的个人博客。
点击上方蓝字“ITester软件测试小栈“关注我，每周一、三、五早上 08:30准时推送，每月不定期赠送技术书籍。
Ctrl+Z就扮演了类似的角色，将任务中断，但是任务并没有结束，在进程中只是维持挂起的状态，用户可以使用fg/bg操作前台或后台的任务，fg命令重新启动前台被中断的任务，bg命令把被中断的任务放在后台执行。 Ctrl+C也扮演类似的角色，强制中断程序的执行。
这是一个sql二次注入的题。所谓二次注入就是先在非注入点构造payload，程序会存储这个payload。然后程序会在注入点调用这个payload进行数据库操作。
0x0E、SQL Injection – Blind – Boolean-Based
逆向生成item 将表名设置成eb_item就行了。
1 是标准输出 2 是错误输出 > 是输出重定向符号。 2>&1 是把错误输出导入（合并）到标准输出流中
这是很久之前我的房东找我帮忙爬 instagram 上面某个用户的关注列表，一开始我想着减低难度好给他使用，于是尝试了 webscraper，后羿采集器去爬取，结果吭哧吭哧花了两个多小时都没搞定。
注意：Linux操作系统所有的东西都是文件，没有文件后缀的区分。我们看到的文件后缀名字只是为了迎合window的习惯，增加个人的可读性
4）用户登陆了用户名密码,添加商品, 关闭浏览器 外地老家打开浏览器 登陆用户名和密码
原文： https://www.cnblogs.com/wang-meng/p/5854773.html 今天来写一下关于购物车的东西, 这里首先抛出四个问题: 1）用户没登陆用户名和密码,添加商品, 关闭浏览器再打开后 不登录用户名和密码 问：购物车商品还在吗？ 2）用户登陆了用户名密码,添加商品,关闭浏览器再打开后 不登录用户名和密码 问:购物车商品还在吗？ 3）用户登陆了用户名密码,添加商品, 关闭浏览器,然后再打开,登陆用户名和密码 问:购物车商品还在吗？ 4）用户登陆了用户名密码,
15.如何创建一个新文件,并且向文件内部写入数据"清华大学",并在当前的文件里面追加数据"计算机科学与技术"
可以看到密码也是回显出来了了，利用这个验证码无效，配合我们上面的用户名枚举，可进行批量尝试。
索引在关系型数据库中，是一种单独的、物理的对数据库表中的一列或者多列值进行排序的一种存储结构，它是某个表中一列或者若干列值的集合，还有指向表中物理标识这些值的数据页的逻辑指针清单。 索引的作用相当于图书的目录，可以根据目录重点页码快速找到所需要的内容，数据库使用索引以找到特定值，然后顺着指针找到包含该值的行，这样可以是对应于表的SQL语句执行得更快，可快速访问数据库表中的特定信息。
如将/test1目录下的file1复制到/test3目录，并将文件名改为file2,可输入以下命令：
4、tab键补全命令：有些命令忘记全名了可以只输入前几个字符然后按tab键自动补全。比如ls只输个l，然后按tab键。
PS：本文撰写前已查询相关法律，本文内容不违反《互联网文化管理暂行规定》，遵守EULA协议，请勿举报。
其中 requests.get() 通过 GET 方法向靶机发起请求，res.text 则回去请求返回的文本，并且我们已知密码错误时返回的文本内容为『密码错误，为四位数字。』，因此直接比对即可。
href='javascript:void(0);' 取消a标签的href属性；
Cookie与 Session，一般认为是两个独立的东西，Session采用的是在服务器端保持状态的方案，而Cookie采用的是在客户端保持状态的方案。但为什么禁用Cookie就不能得到Session呢？因为Session是用Session ID来确定当前对话所对应的服务器Session，而Session ID是通过Cookie来传递的，禁用Cookie相当于失去了Session ID，也就得不到Session了。 是不是Cookie让禁用了，Session就一定不能用了呢？
"/" 便是 Linux 系统的根目录，而以上的所有输出内容，都是根目录中的子目录。它们的作用分别为：
本测试报告为计算机程序能力在线测评系统的黑盒测试，黑盒测试可以在不知道程序内部结构和代码的情况下进行，用来测试软件功能是否符合用户需求，是否达到用户预期目标，是否拥有较好的人机交互体验。
这里是Bugku的CTF题目(主流情况下我一般都只会玩攻防世界的，难度稍微大一些，我之前的笔记分类有详细分成基础篇和高手篇写了writeup，感兴趣的可以去看看) 所用环境以及做题思路只在当时写下writeup时适用，若之后做出改动可与我联系，做出相应更改。 作者：李世荣 转载请标明出处。 37.web34
在上一章节中，介绍了SQL注入的原理以及注入过程中的一些函数，但是具体的如何注入，常见的注入类型，没有进行介绍，这一章节我想对常见的注入类型进行一个了解，能够自己进行注入测试。
开发人员为了方便,导致支付的关键数据,能直接截包查看而重要的金额数据,在后端没有做校验,传递过程中也没有做签名,导致可以随意篡改金额.
more 命令是常用的文本文件阅读工具，类似于 cat，不过以一页一页的形式显示，更方便使用者逐页阅读。一般文件过大时使用 more 浏览，文件较小时使用 cat。
今天是《蚁人2》国内上映的第19天，作为练手，打算把豆瓣上的短评爬下来作为分析的素材。
现在博客系统的评论遇到一个问题，用户点击“最后一页”链接之后就自动调取最后一页的资料来显示。
上一章介绍了创建Python分布式应用的Celery和其它工具。我们学习了不同的分布式计算架构：分布任务队列和分布对象。然而，还有一个课题没有涉及。这就时在多台机器上部署完成的应用。本章就来学习。 这里，我们来学习Amazon Web Services (AWS)，它是市场领先的云服务产品，以在上面部署分布式应用。云平台不是部署应用的唯一方式，下一章，我们会学习另一种部署方式，HPC集群。部署到AWS或它的竞品是一个相对廉价的方式。 云计算和AWS AWS是云计算的领先提供商，它的产品是基于互联网的按需计算
SQL注入即是指web应用程序对用户输入数据的合法性没有判断或过滤不严，攻击者可以在web应用程序中事先定义好的查询语句的结尾上添加额外的SQL语句，在管理员不知情的情况下实现非法操作，以此来实现欺骗数据库服务器执行非授权的任意查询，从而进一步得到相应的数据信息。（百度百科） SQL注入是Web安全常见的一种攻击手段，其主要存在于数据库中，用来窃取重要信息，在输入框、搜索框、登录窗口、交互式等等都存在注入可能；是否是输入函数无法判断其输入的合法性并将其作为PHP等语言代码来执行，或整体逻辑出现缺陷，或关键字关键命令关键字符没过滤全，包括编码加密命令是否进行了过滤，这些种种环节的防护不严都将导致SQL注入的成功。（本人拙见）
让我们尝试为票证 API 上的 XSS 漏洞制作一个 PoC。这看起来很简单，因为您只需要将 XSS 负载放入参数“用户名”内或端点路径的末尾（当然是 URL 编码形式）。Apereo CAS 拒绝请求并在 HTTP 响应中回显票证 ID 或用户名，而没有清理或转义，而标头“ Content-Type ”是“ text/html ”。
Struts2UI标签 Sturts2为了简化我们的开发，也为我们提供了UI标签…也就是显示页面的标签….. 但是呢，Struts2是服务端的框架,因此使用页面的标签是需要在服务器端解析然后再被浏览器解析，最后才显示在页面上的。因此，它的性能是不够HTML标签好的…HTML直接就能够被浏览器解析 还有一点是：我们在写网页的时候，肯定是需要使用div+css的页面布局的。使用Struts2UI标签也没法干了….因此，除了有必要的话，才去使用Struts2UI标签 简单使用Struts2UI标签 <%--我们发
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
实时音视频
即时通信 IM
对象存储
