常用的MD5、SHA1、SHA256哈希算法，是面向快速、高效进行哈希处理而设计的。随着技术进步和计算机硬件的提升，如今强大的计算机很容易破解这种算法。也就是说，不要用MD5、SHA1、SHA256这种哈希方法加密密码了，不太安全。 还好，PHP内置了密码哈希函数password_hash，使用这个方法，PHP会升级底层的算法，达到如今的安全标准水平。
初学php做了一些比较常见且有用的页面，放在上面记录一下咯 我是用了bootstrap框架里面的模态框做注册登陆页面，这样页面比较美观 页面效果：
我是小白，今天写这篇文章主要是给新手学习看的，大佬就不用看了，有很多不足望大家指出，共同进步。
Extensions—>Templates，然后选择随意一个模板进入—>New File
问题1：为什么要denglu.php传到这里，因为php代码获取的也在这个页面上啊， 问题2：为什么密码只一个，呵呵，这个登陆好吗，你的用户名+密码已经保存好了，登陆合适就可以了呀 为什么这个页面也要用session技术，因为用户登录后没退出下次登陆到这个页面也是登陆后页面哈，为什么呢，因为session技术嘛 @session_start(); 开启技术并且屏蔽掉错误信息 //先获取把，然后看看是否匹配注册过的信息哈
近期在审计HDWiki 6.0最新版cms的时候发现由referer导致的sql注入问题。SQL注入我们知道是由于代码与数据没有严格区别限制分离而导致的问题，OWASP TOP 10常年把SQL注入放在TOP 1的位置，可知SQL注入的危害以及影响力是很大的。
0×00 背景 看了cnvd上有师傅发了Axublog 的漏洞，便对该源码进行分析和漏洞复现，在漏洞复现过程发现可以将这些漏洞组合利用从而通过前台SQL注入与后台任意文件上传可以轻松获取GetShell，当然该源码还存在许多安全问题，本篇未涉及。 源码下载地址：http://pic.axublog.com/axublog1.0.6install.rar 0×01 前台SQL注入 源码版本：Axublog axublog v1.0.6 漏洞位置：hit.php 漏洞链接：h
早些年，我特别喜欢下围棋，每天都会下几盘。那时候日本围棋不仅高手林立，而且风格迥异，比如：小林光一的地铁流，武宫正树的宇宙流等等，不过我最喜欢的棋手当属大竹英雄，他下棋时追求美感，如果棋形不漂亮，那么他宁可认输也绝不玷污棋盘。后来，我成为了一名程序员，每天都要写不少代码，可惜写了不少丑陋的代码，本文筛选了几个例子，希望大家看过之后都能写出更具美感的代码来。
0x00 背景 看了cnvd上有师傅发了Axublog 的漏洞，便对该源码进行分析和漏洞复现，在漏洞复现过程发现可以将这些漏洞组合利用从而通过前台SQL注入与后台任意文件上传可以轻松获取GetShell，当然该源码还存在许多安全问题，本篇未涉及。 源码下载地址：http://pic.axublog.com/axublog1.0.6install.rar 0x01 前台SQL注入 源码版本：Axublog axublog v1.0.6 漏洞位置：hit.php 漏洞链接：http://www.cnv
本题运用到了PHP反序列化的知识点。那么什么是php反序列化呢？ 其实这就是一种将各种数据转换成二进制流与二进制流的读取的概念。
ModernPHP读书笔记（三）——PHP的良好实践 （原创内容，转载请注明来源，谢谢） 一、密码 1、密码不宜用明文存储，也不能用可以解密的方式进行存储；找回密码功能，给用户发送的邮件也应是发送令牌至邮箱，不应直接把原密码发送过去。 2、PHP5.5.0有原生的密码哈希API，可以对密码加密、解密、重加密。 加密方式：password_hash($password,PASSWORD_DEFAULT, $cost)，第一个参数是原密码，第二个参数是加密方式，默认使用bc
laravel 的配置项是在根目录下的 /config 目录中,还有一个是根目录下的 .env文件
版权声明：本文内容由互联网用户自发贡献，该文观点仅代表作者本人。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如发现本站有涉嫌侵权/违法违规的内容， 请发送邮件至 举报，一经查实，本站将立刻删除。
有时候，我们需要团队合作一同处理文件；虽然有腾讯文档之类的在线写作平台，但是如果我们想协同处理视频该怎么办？又或者，我们只想建立一个家庭私有云，存一些生活点滴照片，且不希望被限速？也许，你可以试试自己搭建Nextcloud网盘，尤其是自己有台服务器，想充分利用的情况下。
1.用户注册及登录 第一部分： ajax： <script> $(function(){ $("#zhu").click(function(){ var txt1 = $("#name").val(); var txt2 = $("#password").val(); $.ajax({ //请求方式 type:"post
shell 是一个应用程序，它连接了用户和 Linux 内核，让用户能够更加高效、安全、低成本地使用 Linux 内核，这就是 Shell 的本质。
我们发现多了一个字段token=679625cb843f4ba37e630426334，抱着试一试的心态，我们按照原来的方式破解。
(这种针对参数的工具，不知道是不是扫描方式有问题，还是怎么着，怎么才能抓几个包，或者把常用点的包抓出来)
最近的大新闻是属于Facebook的。按照外媒的说法，Facebook存了几亿的明文密码。
本文的安装环境是Windows操作系统。 （一） 前期准备 1、XAMPP下载（下载5.6的版本） https://www.apachefriends.org/downloa
项目用户量逐渐增大，接口调用次数越来越多，所以决定使用Redis存token，缓解数据库压力
目的 防范因为主机没有加固，造成储存在开发服务器中的源代码和测试数据被黑客获取。 范围 本规范适合于开发服务器安全加固配置。 MYSQL 1. 下载位置 MySQL程序的下载，应该从MySQL官方提供的下载页面或者安全平台部第三方软件统一下载前台（建设中）下载。MySQL官网地址为： http://www.mysql.com/downloads/mysql/ MariaDB则在 https://downloads.mariadb.org/ 1.1 下载后的校验 下载的同时，需记录下官方提供的文件hash（推
笔记内容：redis慢查询日志，php安装redis扩展，redis存储session，redis主从配置 笔记日期：2018-1-03
起因 昨晚有人在一QQ群上问lcms（一款网站CMS系统）的一个漏洞是怎么形成的，说了半天。他截图不完整，于是叫他传代码，下载回来找到router.php代码片段如下： 这里我们先来看 getInpu
前不久在V2EX上看到一个帖子，主题是「一堆初中生写的类库、框架」，原本猿妹以为只是个标题党不以为意。点进去该博主的博客主页发现，博主确实是一名初中生，而且他的GitHub主页，确实已经创建了多个项目，如下图：
0x00 前言 ThinkPHP是为了简化企业级应用开发和敏捷WEB应用开发而诞生的，由于其简单易用，很多cms都基于该框架改写。然而 Thinkphp在缓存使用却存在缺陷，生成缓存时，Thinkphp会将数据序列化存进一个php文件，这就产生了很大的安全问题。 0x01 环境搭建 工具 phpstudy http://www.phpstudy.net/phpstudy/phpStudy20161103.zip Jymusic cms http://www.jyuu.cn/topic/t/41 xyhcms
大学的时候搭建的一个 bbs 论坛，用的是景安的虚拟主机，今年想起来的时候已经到期半年，数据无法找回了。
家里电视盒子和手机一堆，全是Android 4.0的系统。性能好的随便转手，但是1g2g运存16g内存这样配置的旧手机还是让他发挥一下余热吧，养老是不可能养了。试用了好几款都没有KSWEB好用，毕竟系统版本太低，有的虽然高大上但是挑系统版本，装不上要你何用？也配装在我的新手机上？我是不会（舍得）用新手机当服务器的😎 KSWEB是由俄罗斯人开发的一款基于Android的开源服务器，使用lighttpd+nginx+apache+php+sql，一个简单的app可以使你的安卓手机瞬间变成一台服务器，并且兼容多
之前看到有博友给我留言说想看 “PHP 的 Curl 利用账号密码获取一个网站登录后的内容”，最近也不知道发啥文章了，那正好上代码吧！
介绍 蓝奏云下载地址解析API 模拟蓝奏云真实操作获取下载地址. 软件架构 1.支持检测文件是否被取消 2.支持带密码的文件分享链接但不支持分享的文件夹 3.支持生成直链或直接下载 4.支持ios应用在线安装获取地址 使用说明 url:蓝奏云外链链接 type:是否直接下载 值：down pwd:外链密码 (1)内部调用方法 include(‘lanzou.clsss.php’); $lz = new lanzou; res=lz->getUrl(url,pwd); (2)api调用方法 json返回结
1.例如我们的目标网址为“http://www.xxxx.cn/forum/index.php”那么我们把地址改为http://www.xxxx.cn/forum/index.PHP后再浏览看看是否存在页面，如果存在的话，则服务器所使用的系统为windows,如果显示不存在，则服务器很有可能使用的是*nix系统。
今天介绍的是一款十分强大的国人开发的系统。点可云进销存系统，基于thinkphp+layui开发。功能包含：采购、销售、零售、多仓库管理、财务管理等功能和超详细的报表功能（采购报表、销售报表、零售报表、仓库报表、资金报表等）目前该项目有免费开源的6.0正式版以及付费的7.0商业版提供，同时该项目是支持二开的，所以你也可以通过添加或删减功能达到自己要求。本次介绍的便是6.0的开源版本。
客户的网站于近日收到了来自腾讯云的安全告警，木马文件事件通知！第一时间客户联系到我们SINE安全，把腾讯云提示的问题反馈给了我们安全技术部门，说是网站突然收到了腾讯云的邮件提醒，说什么网站有木马，服务器也存后门文件。客户以前从没有对网站，以及服务器进行安全部署与加固，导致今天发生这样的严重黑客入侵事件。
首先要明确session和cookie的区别。浏览器端存的是cookie每次浏览器发请求到服务端是http 报文头是会自动加上你的cookie信息的。服务端拿着用户的cookie作为key去存储里找对应的value(session). 同一域名下的网站的cookie都是一样的。所以无论几台服务器,无论请求分配到哪一台服务器上同一用户的cookie是不变的。也就是说cookie对应的session也是唯一的。 所以，这里只要保证多台业务服务器访问同一个redis服务器(或集群)就行了。
SSRF(Server-Side Request Forgery)：指目标应用存在一种漏洞，利用该漏洞攻击者可以控制目标web应用的后端程序向任意ip地址/语言发送http请求或者其他数据包
一、Redis 慢日志查询 编辑配置文件 vim /etc/redis.conf 针对慢查询日志，可以设置两个参数，一个是执行时长，单位是微秒，另一个是慢查询日志的长度。当一个新的命令被写入日志时，最老的一条会从命令日志队列中被移除。 slowlog-log-slower-than 1000 //单位ms，表示慢于1000ms则记录日志 slowlog-max-len 128 //定义日志长度，表示最多存128条 和mysql不一样的是mysql会把慢日志记录在日志中，而redis 是使用命令来查看的
Redis HyperLogLog 是用来做基数统计的算法，HyperLogLog 的优点是，在输入元素的数量或者体积非常非常大时，计算基数所需的空间总是固定 的、并且是很小的。
跟着书学的，代码不是自己写的，但是都能理解，有时间自己去写个好看一点的吼吼吼～（不熟练花了一天的时间…
大部分具有账号系统的应用都会提供重置用户登录密码的功能，常见方式之一是：用户输入自己的邮箱地址或手机号，应用向这个邮箱或手机号发送验证码，用户将收到的验证码输入应用中即可完成密码重置。这一过程容易因设计不周全而被攻击者加以利用。iFlow 业务安全加固平台可以为设计不当的应用打上动态虚拟补丁，使之防御可能的恶意利用。
登陆绕过，组一下就可以{"username":"admin","password":{"password":true}}
最近一直在造各种车轮子,就想着其实可以写个脚本利用异或来 fuzz 出指定的字符,然后拼接出 assert 或者 create_function 等函数,来对抗 waf 的检测.
（1）用户猜数字 #!/bin/bash # 脚本生成一个 100 以内的随机数,提示用户猜数字,根据用户的输入,提示用户猜对了, # 猜小了或猜大了,直至用户猜对脚本结束。 # RANDOM 为系统自带的系统变量,值为 0‐32767的随机数 # 使用取余算法将随机数变为 1‐100 的随机数 num=$[RANDOM%100+1] echo "$num" # 使用 read 提示用户猜数字 # 使用 if 判断用户猜数字的大小关系:‐eq(等于),‐ne(不等于),‐gt(大于),‐ge(大于等于
（15）编写脚本测试 192.168.4.0/24 整个网段中哪些主机处于开机状态，哪些主机处于关机
本次教程来自YanXia，转载请注明作者信息,博客地址http://www.535yx.cn，感谢
LNMP一键安装包是一个用Linux Shell编写的可以为CentOS/RHEL/Fedora/Aliyun/Amazon、Debian/Ubuntu/Raspbian/Deepin/Mint Linux VPS或独立主机安装LNMP(Nginx/MySQL/PHP)、LNMPA(Nginx/MySQL/PHP/Apache)、LAMP(Apache/MySQL/PHP)生产环境的Shell程序。
一般来说，业务流程中出现多个操作环节时，是需要顺序完成的。程序设计者往往按照正常用户的操作顺序实现功能，而忽略了攻击者能够绕过中途环节，直接在后续环节上进行非法操作。iFlow 业务安全加固平台能够在不修改网站程序的情况下，强制流程的顺序执行。
为什么学习这节课 我们学习渗透测试这门课程，主要针对的 Web 应用，所以对 Web 架构需要一定的了解
需要测试一个网站，刚开始看到网站时感觉希望不大，因为验证码是需要拖动的，这也就意味着很大可能没办法爆破，另一方面是都用这种验证码了，安全做的能很差劲吗？果然，试了admin、123456之类的都不行
1）编写 hello world 脚本#!/bin/bash# 编写hello world脚本echo "Hello World!"2）通过位置变量创建 Linux 系统账户及密码#!/bin/bash# 通过位置变量创建 Linux 系统账户及密码#$1 是执行脚本的第一个参数,$2 是执行脚本的第二个参数useradd "$1" echo "$2" | passwd ‐‐stdin "$1"3）备份日志#!/bin/bash# 每周 5 使用 tar 命令备份/var/log 下的所有日志
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
对象存储
腾讯会议
实时音视频
