写这篇文章的原因是因为现在很多有了一些基础的小伙伴，已经对自己在虚拟机上搭建的靶机感到无趣了，想去平常的网站上试一试自己的网络技术。这个时候批量拿站就显得尤为重要了。
在做安全测试的时候，随着资产的增多，经常会遇到需要快速检测大量网站后台弱口令的问题。
https://blog.csdn.net/weixin_44991517/article/details/93896401
这万能密码好几年前就有了。我都不当回事，结果这次真派上用场了，还真进了后台了 网站后台万能密码就是在用户名与密码处都写入下列字符,如果知道管理员帐号的话直接添帐号,效果会更好! 例如我们要利用第一条就是: 用户名:"or "a"="a 密码:"or "a"="a ********************************************************* 1："or "a"="a 2： '.).or.('.a.'='.a 3：or 1=1-- 4：'or 1=1--
在这里把测试站点都127.0.0.1： 1.进行收集： 1）端口信息扫描，没有太大的利用价值
之前有在公众号发过一篇关于如何查找网站后台的文章，然后现在趁着国庆，又给大家总结出一套找到了后台该如何对后台登录界面进行渗透测试，在这里跟大家分享一下对网站后台登陆界面的渗透思路，希望能为大家提供一些帮助。
最近一个月学着去挖洞，混了快2个月的补天。还是有挺多收获的。这里记录一个昨天对某人才网的渗透测试。从逻辑越权，xss，弱口令等到getshell，控制数据库.....
0x01 写作目的意义 1 自我总结提升 无论是在工作项目，还是在个人学习中，总会遇到不少棘手的问题。有的人会放弃，然而求知者仍会锲而不舍的去想办法解决。解决问题的过程可能会非常的艰辛，但是解决后的成就感与喜悦感却一直吸引不少人为之努力。 一直在探索着，用最好最有效率的学习方法来面对一切的陌生事物。最终发现，如果能把学习、解决麻烦的过程进行整理、反思、总结与分享，那便是自我提升的快速之道。如果能坚持进行总结与反思，即持续量变到质变的过程，那肯定将得到质的飞跃。 2 知识分享交流 其
从业渗透测试服务已经有十几年了，在对客户网站进行漏洞检测，安全渗透时，尤其网站用户登录功能上发现的漏洞很多，想总结一下在渗透测试过程中，网站登录功能上都存在哪些网站安全隐患，下面就有请我们SINE安全的工程师老陈来给大家总结一下，让大家都有更好的了解网站，在对自己网站进行开发的过程中，尤其用户登录功能上做好网站安全防护，防止网站被攻击。
SQL注入即是指web应用程序对用户输入数据的合法性没有判断或过滤不严，攻击者可以在web应用程序中事先定义好的查询语句的结尾上添加额外的SQL语句，在管理员不知情的情况下实现非法操作，以此来实现欺骗数据库服务器执行非授权的任意查询，从而进一步得到相应的数据信息。（百度百科） SQL注入是Web安全常见的一种攻击手段，其主要存在于数据库中，用来窃取重要信息，在输入框、搜索框、登录窗口、交互式等等都存在注入可能；是否是输入函数无法判断其输入的合法性并将其作为PHP等语言代码来执行，或整体逻辑出现缺陷，或关键字关键命令关键字符没过滤全，包括编码加密命令是否进行了过滤，这些种种环节的防护不严都将导致SQL注入的成功。（本人拙见）
有一段时间没有写文章了，也不知写什么，毕竟从攻击方换成防守方，乙方换到甲方，还有些许不适应。。。但还是决定把自己接触渗透所积累的东西也拿出分享，不管糟粕，还是大伙觉得我分享的有用（那阿鑫自然是很开心），希望能帮到还在学习路上的朋友，文章若有错误，请及时联系我指出，我也不想误导才学习的朋友。此外，本文为口嗨文，基本在说思路，没有实操。
很多的公司都没有安全团队，只有运维来负责整个公司的安全，从而安全问题也大打折扣。我最近一直在给各个公司做安全检测，就把自己的心得写下来，有什么不足之处还望补充。
SQL注入漏洞：Web安全方面最高危的漏洞，SQL漏洞威胁着网站后台数据的安全问题。
前有“程序员删库跑路”，后有 CTO 在网站后台引入 Bug，导致公司 1.5 万账户信息外泄。
域名的管理密码是域名的核心，拥有者除了验证域名所有权外还需要妥善保管好域名管理密码，因为域名是需要通过DNS服务器解析指向特定的网站服务器，就相当于拨打某个手机号码能连接到你的手机一样，只是手机号码指向哪张卡由电信营运商设置，而域名的指向是由域名管理员也就是掌握域名管理密码的人设置。很多企业认为域名是由建站公司或者是域名提供商申请的，也不知道域名还有密码这一个说法，所以有时候会导致域名过期后没有及时续费被其他人抢注的风险，也会出现使用多年的域名最终不属于自己的结果。域名不但有管理密码，还有域名证书，域名证书是证明域名所有权的官方证明。如果你是委托建站公司注册域名，请务必索要相关密码，一般建站公司是通过自己的账号代你注册域名，因此预计你能拿到的是域名管理密码，而非自行登录域名注册平台续费和管理域名，如果你是通过网站程序网建站注册的域名，域名续费和管理都是掌握在自己手中，我们代理阿里云和西部数码两个域名注册商的域名，你也可以随时申请将域名转到其他管理平台。
客户网站于近日被跳转到赌博网站，打开后直接跳转到什么北京赛车，PK10等内容的网站上去，客户网站本身做了百度的推广，导致所有访问用户都跳转到赌博网站上去，给客户带来很大的经济损失，再一个官方网站的形象也受到了影响。我们SINE安全对客户网站进行检查发现，客户网站的标题TDK被反复篡改成（北京赛车PK10等内容）立刻对该客户网站的安全，进行全面的源代码安全审计以及网站漏洞检测与网站漏洞修复，检查了客户的首页标题TDK内容确实是被篡改，并添加了一些加密的恶意代码,代码如下：
很多网站的安全问题大多是由于网站程序存在漏洞，所以想要提高网站安全性，必须要选择安全的后台cms系统，若有能力可以自己去开发网站后台，这样安全性能得到极大的提高，若是从网上选择一些免费开源的源码来做网站，需要注意以下两点：
网站被黑有哪些原因，第一个网站运行环境软件存在漏洞，我不知道大家有没有关心到前面的一个新闻。我们的一个运行软件PHPstudy，它实际上是存在一些漏洞问题的，大家我们这里可以来看一下，确实是PHPstudy的话，它的一个旧版本它确实存在一些漏洞问题，这里的话我就不仔细去给大家去看了只是说让大家了解一下。
最近小区结束了封闭管理，晚上抽个人少的时间段，去外面跑跑步，毕竟将近一个月没有出去过了。没想到在回家的路上见到了一个大博的路由器。小家伙外壳有点土，但是整体成色还不错，啥也没想，带回家看能不能玩一下。接上电之后是可以使用的。但是家里面已经有一台路由器了。想着能不能做一个旁路由使用。
(1) docker cp /home/test/桌面/hm xxx:/var/www./hm scan /var/www 通过查杀没有发现Webshell
对于网站运行的个人站长而言，最担心的是应如何有效且安全的去管理自己的网站，否则自己辛辛苦苦经营的网站就会被不请自来的不速之客给攻破，轻则站点数据被窃取，重则整个网站都被攻陷，导致无法恢复。
http://mpvideo.qpic.cn/tjg_3081972243_50000_e5e57902e8ad407f90be3cafafe5328b.f10002.mp4?dis_k=f63945
2021年4月25日，上午8点左右，警方接到被害人金某报案，声称自己被敲诈数万元；经询问，昨日金某被嫌疑人诱导裸聊， 下载了某“裸聊”软件，导致自己的通讯录和裸聊视频被嫌疑人获取，对其进行敲诈，最终金某不堪重负，选择了报警；警 方从金某提供的本人手机中，定向采集到了该“裸聊”软件的安装包--zhibo.apk（检材一），请各位回答下列问题：（题目 中需要通过分析出来的答案对检材二三四五解压，解压密码为IP的情况，需要在密码后增加-CAB2021，例： 192.168.100.100-CAB2021）
我时常会遇到一些人给我吐槽，网站被黑了，网站挂马了，数据丢失了怎么办？能帮我恢复么？等等这一类的人，其实我表示很无奈，我表示也无能为力啊。大部分的挂马清理起来确实不太容易的需要一定的技术门槛和知识，所以我们建议一般这类问题是以预防为主，真的被黑也不是不可以恢复，只是代价比较高了，所以还不如做好日常的防范工作，及时被黑了也不会惊慌失措。
很多客户找到我们SINE网站安全公司，说自己的网站被百度网址安全中心拦截了，从百度点击网站进去跳转到博cai网站上去，直接输入网址不会出现跳转。还有的客户网站被百度拦截的时候会有一些红色文字提醒：
https://blog.csdn.net/weixin_44991517/article/details/90718228
近日，SINE安全监测中心监控到泛微OA系统被爆出存在高危的sql注入漏洞，该移动办公OA系统，在正常使用过程中可以伪造匿名身份来进行SQL注入攻击，获取用户等隐私信息，目前该网站漏洞影响较大，使用此E-cology的用户，以及数据库oracle都会受到该漏洞的攻击，经过安全技术的POC安全测试，发现漏洞的利用非常简单，危害较大，可以获取管理员的账号密码，以及webshell。
wordpress站点很多人任务很不安全，非常容易被黑，常常有用户说自己的站点不安全被人挂马了，跳转到各种垃圾网站的情况，其实被挂马了清除病毒不是一件非常容易的事情，我们不妨在被黑之前做好准备工作，以备不时之需。
在运维工作中，为了保证业务的正常运行，对系统进行安全加固，配置安全产品抵御外来的恶意攻击是运维工作非常重要的一部分。黑客经常利用弱口令和各类系统漏洞，软件漏洞对服务器远程渗透，从而造成业务中断，更为严重可能会影响整个公司的运营。
wordpress站点很多人任务很不安全，非常容易被黑，常常有用户说自己的站点不安全被人挂马了，跳转到各种垃圾网站的情况，其实被挂马了清除病毒不是一件非常容易的事情，我们不妨在被黑之前做好准备工作，以备不时之需。(来源：wordpress建站吧)
http:/ping.aizhan.com/ http://ce.cloud.360.cn/
老蒋经常遇到忘记自己网站后台密码和服务器密码的站长，有些时候帮助他们解决网站问题问到密码的时候他们告知忘记。当然他自己登录是有记录在浏览器中所以可以登录，于是忘记密码后就忙着去重置密码找回密码，以及凭借他们聪明的大脑各种回忆。这样的事情很多会发生的，包括前几天看到群里有网友忘记自己在做的范文网站后台密码，有其他网友发到群里一个专门来自帝国CMS重置管理员密码的工具，这里老蒋也有心收藏。
鉴于很多人都是小白，新安装的网站也不喜欢是空空如也，所以按照大家的反馈，新建立一个站点资源，附带一些默认的数据，购买网站的客户可以直接下载网站的备份数据，安装主题后可以自行修改不至于都是空的。部分安装的数据及配置如下，仅供参考。
想必很多人都想建立一个，属于自己的个人博客，把自己的一些学习的经验和经历，通过互联网的形式来分享给别人。通过分享与网友进行互动，让更多的人了解和认识你，并且树立自己在互联网上的个人品牌，其实这就是一种“自媒体”。那么我们怎么去建立自己的自媒体博客呢？我认为：首先得先明白建立一个博客的流程是什么？只有先了解这套流程，我们才能做出自己满意的个人博客。 对网站域名和空间的选择 域名：一般会选择比较正规点的域名商购买，比如：万网、西部数码...（一年也才几十块钱）。考虑到我们的域名是要续费的，如果说 你买的域是那种
首先请各位网站运营者，检查下网站从百度点击进去，是否跳转到了恶意网站上了，直接输入网址则不会跳转的这个情况。再一个查看网站在百度里的首页快照是否是自身网站的内容，如果出现一些跟网站不相关的内容。
ip:port，*是通配符，前面的*意思是匹配所有的ip，后面的*表示匹配所有的端口。端口号443即网页浏览端口，主要用于https服务，是提供加密和安全端口传输的另一种http。
Upload-labs是一个帮你总结所有类型的上传漏洞的靶场，包括常见的文件上传漏洞
记得大学搞编程的时候，比起研究数据结构，做算法题，我更喜欢搞 web 编程。因为做 web 是可以通过浏览器快速看到效果的，可视化的页面也能带给自己满足感。
0x01 前言 最近看到一篇关于owasp juice shop的文章，觉的很有意思，斗哥就自己撸了个环境，上手后深深觉的这是一个很棒的漏洞靶场，所以就把该环境介绍给大家，该漏洞靶场是由owasp开发的，包含了owasp的十大漏洞，共计47关，难度各有不同。以下我将从环境搭建开始介绍整个漏洞靶场。 0x02 搭建 Juice shop是个开源项目，源码可在github上获取 （https://github.com/bkimminich/juice-shop），最为方便的还是使用docker来安装。我
Yubikey 是一个小型的USB设备，在电脑看来，它是一个USB键盘设备。当将Yubikey接入电脑后，其上会亮起一个绿色的圆环，代表这个USB键盘已经可以正常传输字符了。应用的比较多，同类的有um
通常网站后台扫描工具都是利用后台目录字典进行爆破扫描，字典越多，扫描到的结果也越多
这是作者2月27日学习i春秋YOU老师直播分享的渗透技术知识，本次分享的主题是《小白的渗透技术成长之路》。主讲人YOU老师，干货满满，全面剖析了渗透测试的工作、知识体系、学习路径。确实让我受益匪浅，非常感谢老师，也推荐大家去i春秋学习相关的视频。
信息收集对于渗透测试前期来说是非常重要的，因为只有我们掌握了目标网站或目标主机足够多的信息之后，我们才能更好地对其进行漏洞检测。正所谓，知己知彼百战百胜！
大好，我是田浩。2020年5月14日，我刚注册公众号没多久，有个叫方子的男生发私信给我。说英雄联盟准备出手游，但内测资格一直没公开，有骗子利用这个机会，伪造官方给用户发送带有钓鱼链接的邮件来盗号。方子就是其中一个受害者，除了他，我也去了英雄联盟的贴吧看了下，确实有很多人收到了这类邮件。由于反馈这事的人比较多，加上我平常也玩LOL，所以整理了下线索，开整。1目
昨天明月经历了一件有关 WordPress 站点安全意识的奇葩事儿，很是凸显现在互联网甚至个人电脑的安全形势，今天就给大家分享一下这个经历，希望可以提高大家对站点安全的防护意识，不要犯这样的错误。
当你使用SiteGround搭建WordPress或WooCommerce网站后，你会经常登录到两个不同的网站后台：一个是SiteGround的Site Tools后台，用于进行网站的安全、速度优化、FTP工具和网站备份等技术操作；另一个是WordPress网站后台，主要用于管理网站内容、调整前台显示样式和编辑网站功能。本文我们介绍了如何使用SiteGround SITE TOOLS主机站点工具管理网站。
相信网络技术人员都不会对网站后台的概念感到陌生，它也被称为网站管理后台，网站后台可以实现丰富多样的功能，包括系统核心功能、产品发布以及在线客服等，建设网站后台需要花费心思和精力，网站后台怎么建设？网站后台的特点是什么？
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
对象存储
实时音视频
云直播
