WordPress 除了做博客之外,其实还可以做成纯后端服务和管理界面(Admin UI),前端的模板可以不需要使用 WordPress 模板。
MVC(模型-视图-控制器)是啥不多解释了,通俗说就是前台后台都有而且可以直接对数据库操作。
用线上升级平台代码练手,学习JAVA。飞哥建议我们自己从头再搭建一套,提高会大。我自己作为一个JAVA出身的人,用了几天时间学会PHP的经验来看。最好,先在原来代码基础上改些东西。熟悉了基本语法之后再来重新搭建一套。如果本来就是一头雾水,再加上全身心投入的时间不够充裕的话,可能会欲速而不达。 第一步,让原代码跑起来。这一步宗鉴已经运行成功了。其实JAVA就学会了五分之四了。因为不管PHP还是JAVA就是一个工具。我一个做JAVA的,做PHP的项目也不比JAVA慢。因为一个小型WEB项目架构就是:WE
因工作需要,封闭了一周,公众号一周未更新,今天终于解放,继续分享web渗透实战经验。常学常新,慢就是快。
一、前言 不知怎的最近甚是思念校园生活,思念食堂的炒饭。那时会去各种安全bbs上刷刷帖子,喜欢看别人写的一些关于安全技巧或经验的总结;那时BBS上很多文章标题都是:成功渗透XXX,成功拿下XXX。这里便以一篇入侵菲律宾某大学的文章引出文章的主题,我们先简要看一下过程。大学网站使用了名为joomla的开源web程序,(1)青年使用一个joomla已经公开的漏洞进入web后台(2)青年使用joomla后台上传限制不严的缺陷上传了一个webshell(3)控制主机赠送我国国旗。 原来入侵一
一、找网站SQL注入点 在测试时后发现有一个信息查询框,就是下面这个图片显示的。一般信息查询框会和数据库存在交互。 我输入数字1,会正常提示木查询到相关信息。 那我们使用1’测试一下,发现不弹未查询到相关信息的提示框,也没有任何数据输出,大致判断这个点存在sql注入,并且不对输出报错信息。 大概猜测出SQL语句为 : select * from A where id ='$_POST['id']'; 没有对用户输入的数据做任何过滤。 构造一个闭合语句再次确认一些是否确认存在sql注入。 paylo
因为是一次做渗透而且又是靶场,所以信息搜集也就没有做,拿到靶场网址后直接打开网页看看有什么东西,发现了一个登录口,想着有登录那就有注册,所以思路就出来了:注册→登录-修改密码(越权)
UWA 2.X是如斯(AsThis)基于 PHP 和 MySQL 开发的通用建站系统,程序简洁、灵活而具备强大的扩展性,是轻松建站的首选利器。 UWA 2.3.11后台允许自定义php模板文件,且在保存时未对PHP文件中的内容做合法性校验,导致攻击者在登陆后台的情况下可以写入一句话木马进去,之后getshell。
这几天在写YoungxjTools新版前端,所以没怎么发教程。该灵感来自wp后台登录地址加密,按照该教程操作成功后可有效避免软件批量扫描爆破后台
这几天在写YoungxjTools新版前端,所以没怎么发教程。该灵感来自wp后台登录地址加密,按照该教程操作成功后可有效避免软件批量扫描爆破后台 第一步: 找到路径/admin/globals.php文件,更改第17行代码if ($action == login) {更改为 if ($action == md5(date("Y-m-d h:i"))) { 保存。 第二步: 找到路径/admin/views/login.php文件(如果你使用的不是默认后
首先我所了解的推送产品有信鸽、个推、极光,之前用到过个推,感觉还不错,只是代码没有极光简洁,信鸽是腾讯旗下的产品,出于对Tencent的不喜欢,就没有考虑过,其次目前公司之前用过极光,ios和安卓这边对极光比较熟悉,所以就决定用极光推送了。
PHP8.0出来一段时间了,今天闲的没事做升级一下,直接把站点切换为PHP8.0后网站一堆报错,所以还需要升级一下Typecho的版本,由于正式稳定版一直停留在17年,所以我们需要用的下面的开发版本。
周末在家刚吃完晚饭,基友 DM 叫我一起来审计 xiaocms 系统,也不知道他是受到啥刺激了。正好,除了 Code Review 公司项目代码及框架代码,未审计过其他系统,就当拿来练手了。
RCE漏洞,可以让攻击者直接向后台服务器远程注入操作系统命令或者代码,从而控制后台系统。
客户网站前端时间被攻击,网站被劫持到了赌bo网站上去,通过朋友介绍找到我们SINESAFE做网站的安全防护,我们随即对客户网站进行了全面的渗透测试,包括了网站的漏洞检测与代码安全测试,针对于发现的漏洞进行了修复,包括网站安全部署等等方面,下面我们将这一次的安全应急处理过程分享给有需要的客户。
某一客户的网站,以及APP系统数据被篡改,金额被提现,导致损失惨重,漏洞无从下手,经过朋友介绍找到我们SINE安全公司,我们随即对客户的网站服务器情况进行大体了解.建议客户做渗透测试服务.模拟攻击者的手法对网站存在的数据篡改漏洞进行检测与挖掘,就此渗透测试服务的过程进行记录与分享.
很多Web站点因业务需要,会开放一下文件上传的接口。而当后台没有对文件上传功能进行安全考虑或采用了有缺陷的措施,可能会导致黑客可以上传一些如一句话木马等恶意文件,并通过该恶意文件来控制整个Web后台。
最近我们SINE安全在对帝国CMS系统进行代码安全审计的时候,发现该系统存在网站漏洞,受影响的版本是EmpireCMS V7.5,从帝国官方网站下载到本地,我们人工对其代码进行详细的漏洞检测与安全代码分析。共计发现三个高危漏洞,都是在网站的后台管理页面上的功能发现的。该漏洞的产生,最根源的问题是没有对get,post提交方式进行严格的安全效验与过滤,导致可以插入恶意代码到后端服务器中去处理,导致漏洞的发生。
首先说明,我对于帝国CMS,也是第一次接触,而且对于程序开发,我本身就是门外汉,我只是一个运用者(做垃圾站的),以前一直用DEDECMS+采集侠,但介于织梦对于处理百万级数据以上时,确实负载较高,我就
还记得子凡之前《做网站最忌讳的就是推倒重来》一文中我提到的那位大兄弟吗?昨天他真的又开始推倒重来了,从 zblog 程序开始尝试 WordPress 程序了,原因是他发现他们公司有一个年盈利 5 千万级别的项目就是用 WordPress 开发的,所以他也想用 WordPress 来做网站了。
昨天晚上做梦梦到了栋子,就想起我俩那会儿一起摸鱼的时光。那还是五年前在[ 黑 ]鹭引擎的时候,我俩被人称为公司两大门神,具体表现在于基本一整个白天都在公司门口歇着摸鱼,就坐楼下的石凳上一边一个,各摸各的十分对称十分默契。
现在只对常读和星标的公众号才展示大图推送,建议大家把潇湘信安“设为星标”,否则可能看不到了!
☪ 背景 这个东东是昨天同事告诉我的,鄙人觉得还不错嘛,写一丢丢简单的使用方法,方便道友参考并作备忘咯 概念了解下(来自百度百科): wdcp 是 WDlinux Control Panel 的简称 是一套通过 WEB 控制和管理服务器的 Linux 服务器管理系统以及虚拟主机管理系统 旨在易于使用 Linux 系统作为我们的网站服务器系统 以及平时对 Linux 服务器的常用管理操作,均可在 wdCP 的后台里操作完成. 官网:WDCP-Linux管理系统 对于其详细的使用可以参
修复说明:更改全部API为本地生成,生成页面保存在本地,解决提示未授权问题。 修复后台密码泄露的安全问题 搭建说明:上传到空间即可使用,无需数据库,无需做任何配置。请勿乱修改代码以及重命名目录,以免程序出错。 网站后台管理登入地址:域名/admin/ (如: http://www.cccyun.net/admin/) 为了安全考虑,搭建好后请及时更改默认管理账号及密码,并且更改管理目录名。 后台默认账号:admin 后台默认密码:admin 常见问题解决方案: 问:为什么好多页面显示都
近期受到很多用蓝科lankecms网站源码做的网站的客户反馈首页文件index.html和m.html被篡改增加了跳转代码,导致从百度点击进来的直接跳转到世界杯体育网站上去,而且百度快照收录的标题也被篡改了,通过客户的叙述,发现此源码是用tp架构二次开发的,其中源码文件LoginAction.class.php和TextAction.class.php被作者加密了,具体内容无法解密,用的是混淆加密,被篡改的客户基本都是在同一时间批量被篡改,跳转的网址也是一致的,了解情况后我们SINE安全立即安全技术对客户网站进行排查和溯源。
daemon 音标 : [‘di:mən] , 中文含义为守护神或精灵的意思 . 其实它还有个意思 : 守护进程 .
单刀直入,这个工具叫做WordPress,简称WP,它是用PHP语言写成的,使用MySQL数据库来存储数据。我有一个朋友多年来专攻WP,国内最有影响力的WP网站“我爱水煮鱼”就是他做的,他开发过很多实用的WP插件,他还用WP做后台来开发微信小程序、iOS、Android应用等,他也付费给人做WP网站优化,整站开发等,价格不菲,据说现在已经靠着WP开发做到财务自由了。最后补充一点,这个朋友他不太认识我。
今天在一个QQ群看到有同学做http://redtiger.labs.overthewire.org/上的题目。随手做了几题,发现还有点意思,有的题目我也一时想不到思路。工作忙,没有时间一一测试,搜索发现了 http://blog.spoock.com/2016/07/25/redtiger-writeup/,这篇文章的作者对10个题目做了解答。 答案没有做验证,原题目有可能已经更新,不过思路都可以做参考。 同时要说的是,很多同学拿到答案就失去了思考,没有学习思路,也没有探讨这些注入技巧和思路的本质。这样你
给客户做的网站,时间长点客户把后台地址给忘了,,感觉有必要记录下如果忘记后台地址了,如何找回的方法。
我有个好兄弟也是做程序代码的,他前天突然跟我说他之前接的一个私活网站,突然被黑客入侵了,拿着数据库管企业老板要挟要钱,不给钱的话说要把数据全删了,因为我本身就是做网站漏洞修复的服务商,有安全漏洞的问题,好兄弟都会想到我,他很奇怪,因为用的mysql数据库,数据库3306那个端口没对外开放,怎么会被人把这个数据库入侵了,我一猜我就说那肯定是这个数据库被别人Sql注入漏洞攻击了。通过了解知道网站用的是PHP脚本开发的,因为目前PHP很多源码都是存在一些漏洞的。
好了。现在你可以访问你的域名/pipixia/了。这就是你的新的后台地址,原来的你的域名/admin/已经不能访问了。
本文实例讲述了PHP使用ActiveMQ实现消息队列的方法。分享给大家供大家参考,具体如下:
1、单条数据删除 思路:首先,需要也只能允许用户勾选一条数据,然后弹出一个确认框,问用户是否真的要删除?如果是,就把ID传递到PHP,然后写一个delete语句,通过ID去删除即可。 画好了按钮之后,
上面这个图是我本地的,远程的访问比较慢就不截图了。没有做UA头检测等,它本身就是移动端和PC端都可以访问的一种cms。
JavaScript除了做前端开发,还能做什么? 很多朋友学习的第一门编程语言就是JavaScript,学习的过程中一定会思考这个问题:“JavaScript除了做前端开发,还能做什么?”其实很多人问这个问题的时候,潜意识是有一些懒惰的嫌疑,希望JavaScript能做的事儿越多越好,这样我们专心学好JavaScript,就可以成为万金流,什么都能做,就再也不用管什么java、php、python等等编程语言了。 那我们在思考JavaScript能做什么之前,先看看下面这个问题: 厨房里的一把菜刀除了切
大家好,又见面了,我是你们的朋友全栈君。 很多站长第一次做网站的时候,无奈选择了速度不是很稳定的空间,慢慢会发现有很多物美价廉速度相当快的空间 这个时候,站长在网站搬家的过程中就会遇到很多困难,今天老袋鼠给大家详细讲解一下discuz 论坛 搬家的详细过程 第一步:备份网站数据 进入后台—站长—数据库—备份,数据备份类型选择“Discuz!和 UCenter数据”,备份成功以后,数据自动保存在data文件夹下。 第二步:网站文件下载 把整个网站文件打包(虚拟主机管理控制面板一般都有整站压缩和解压的功能,在控制面板选择压缩,压缩之后的文件一般在FTP DB文件夹里面,然后把压缩包下载到本地电脑,如果虚拟主机没有在线压缩功能那就直接使用FTP下载文件到本地保存。 第三步:整理下载到本地的网站文件 1.把下载下来的文件里面的下列文件删除,请完全放心删除掉这几个文件,重新装上的时候会自动产生新的文件。 /install/install.lock (有的下载下来之后就没有这个文件,如果没有就不用管) /config/config_global.php /config/config_ucenter.php /uc_server/data/config.inc.php 2.到官方下载一个Discuz! X3.2的安装包,把 upload里的/install/文件夹复制过来覆盖你下载下来的网站文件。 3.把从官方下载下来的Discuz! X3.2安装包里面的 utility/restore.php 文件放到你网站文件的/data/文件夹内,这是用于数据库还原。 第四步:将整理好的网站文件包上传到新主机空间(放网页资料的文件夹下) 建议压缩之后在使用FTP上传,上传完成之后进入虚拟主机控制面板在线解压,这样可以节约很多时间,目前几乎所有的虚拟主机都有在线解压功能,格式一般是rar格式,不过有的部分虚拟主机如linux主机就只支持.zip格式,所以打包前请注意。 第五步:域名解析及空间绑定域名 进入域名控制面板把域名解析到你新的虚拟主机IP上,然后在进入虚拟主机空间绑定域名。 第六步:重新安装discuz http://你的域名/instal/进行安装,填入你新的虚拟主机数据库名和用户名及数据库密码,注意数据库的数据表前缀和以前一样,一般你之前的数据表如果没有改动的话,你重新安装的时候默认的就是和你以前的一样,所以可以不用改。当你安装的时候可能会提示要你删除data/install.lock这个文件才可以继续安装,那么你可以进入FTP删除之后然后返回安装页面刷新一下再继续安装,这就可以安装了。 第七步:还原数据库 安装成功后,用你安装的时候填写的管理员帐号和密码登录,进入后台—站长—数据库—恢复—数据恢复,选中要恢复的数据然后点击右边导入,点击确定即可恢复数据,为了安全起见当成功恢复数据后进入FTP删除/data/restore.php这个文件。 有时候进入之后数据恢复,发现没有可供还原的数据,那么你可以看到下面这一行文字,那你直接点击你的网址在浏览器当中恢复数据即可,为了安全起见当成功恢复数据后进入FTP删除/data/restore.php这个文件。 您可以在本页面数据备份记录处导入备份恢复数据,也可以通过在浏览器中执行 http://www.你的域名.com/data/restore.php 恢复数据 第八步:检查UCenter能否登陆 提示:1、检查UCenter 访问地址设置是否正确(没有更换域名做第六步安装,一般不会出错) 2、创始人密码和admin管理员密码不是同一个,创始人密码是上面第六步重新安装discuz程序时设置的密码。 第九步:检查UCenter应用是否通讯成功 后台——UCenter——应用管理,查看通讯情况,若通讯失败,请检查通信密钥设置是否相同。 后台——站长——UCenter设置,检查UCenter 通信密钥是否和UCenter应用设置相同 第十步:更新缓存 数据还原成功之后,在后台退出帐号,用你原来的后台管理员帐号登陆,进入后台更新缓存,网站搬家成功结束。
海洋cms是为解决站长核心需求而设计的内容管理系统,一套程序自适应电脑、手机、平板、APP多个终端入口,无任何加密代码、安全有保障,是最佳的建站工具。
在实际工作中,使用PHP写api接口是经常做的,PHP写好接口后,前台就可以通过链接获取接口提供的数据,而返回的数据一般分为两种情况,xml和json,在这个过程中,服务器并不知道,请求的来源是什么,有可能是别人非法调用我们的接口,获取数据,因此就要使用安全验证。
最近小白一直在学习代码审计,对于我这个没有代码审计的菜鸟来说确实是一件无比艰难的事情。但是着恰恰应了一句老话:万事开头难。但是小白我会坚持下去。何况现在已经喜欢上了代码审计,下面呢小白就说一下appcms后台模板Getshell以及读取任意文件,影响的版本是2.0.101版本。其实这个版本已经不用了,小白也是拿这个来说一下自己理解的php的代码审计。开源的CMS就是舒服,不仅可以对最新版的来做代码审计,进而获取到cnvd证书,这样对自己的经验添加了不少光彩。话不多说,下面来开始进行本地的代码审计。
在 SEMCMS php v2.7 审计之前,我会去看看要审计的CMS官网是否存在手册说明什么的,然后去会各个漏洞公布平台找找它以前的老漏洞,复现下是否修复及修复是否完整(主要是去看看会不会有现金奖励)。
当客户端请求的是静态资源时,web服务(httpd程序)会直接返回静态资源给客户端
http://blog.csdn.net/ruby97/article/details/7574851/
WordPress是一个以PHP和MySQL为平台的自由开源的博客软件和内容管理系统。WordPress具有插件架构和模板系统。Alexa排行前100万的网站中有超过16.7%的网站使用WordPress。到了2011年8月,约22%的新网站采用了WordPress。WordPress是目前因特网上最流行的博客系统。
php在执行函数最消耗时间的就是查询SQL数据库了,一般来讲一个页面的数据库查询大概在120到260次左右,使用Redis或者Memcached缓存,原理就是将php查询过的数据库缓存下来,下一次相同内容就不再查询数据库了,直接从缓存获取,极大的提高php执行效率。
以前我也一直纠结于PHP实现多线程,但多线程对PHP内核以及整个生态的关联太大了,对于 php-fpm 的 web 来说,多线程其实没多大意义。只有在后台运行复杂的任务时才有意义,
网上已经有几篇这样的文章了,当然我也是汇总了一些方法,并非原创。这个0day注入漏洞是1月份爆出来的,立马有人写出了利用方法。当然,渗透之路并非一番风顺,dede的安全防护做的也很好,所以成功与否仍然还是要看运气。
最近一直在刷这个cms的漏洞,主要是为了让自己维持一点代码量,不至于生疏,好久没有都没有大块的时间做安全了,和自己的精力有关,也和自己的心态有关,不管怎样,还是要抽时间维持一下自己的爱好,日子不能过的太爽,分析别人已经发出来的CVE,同时也是给自己找点事情做。 每个CMS都有自己的传值的方式,tp5系列远程代码执行漏洞也是这样出来的,metinfo的漏洞主要和它的变量覆盖有关。 同时也说说自己的漏洞观点,没有一个系统是安全的,如果是,只不过漏洞还没有被挖掘出来。 和以前一样的节奏,如果只是想复现一下这个漏洞,直接看漏洞的利用方式,漏洞的细节不用看。 以下是历史版本和最新版本的下载地址:
上一篇文章我们完成了基础的WordPress环境搭建,但对于要搭建一个有特色的网站还远不够,因为WordPress自身以及依赖的环境的一些存在一些默认的设置,为了更好的运用WordPress,我们需要将这些问题都解决掉,下面就来总结一下使用WordPress后台遇到的一系列问题。
领取专属 10元无门槛券
手把手带您无忧上云