作者:LoRexxar'@知道创宇404实验室 0x01 背景 织梦内容管理系统(DedeCms)以简单、实用、开源而闻名,是国内最知名的PHP开源网站管理系统,也是使用用户最多的PHP类CMS系统,在经历多年的发展,目前的版本无论在功能,还是在易用性方面,都有了长足的发展和进步,DedeCms免费版的主要目标用户锁定在个人站长,功能更专注于个人网站或中小型门户的构建,当然也不乏有企业用户和学校等在使用该系统。 2018年1月10日, 锦行信息安全公众号公开了一个关于DeDeCMS前台任意用户密码修改
近期,随着新版互推联盟自适应 iframe 代码的推出,调用的博友也慢慢增加了 ,这是很高兴的事情,也有博友反应调用的这个页面加载会有点慢。我来说明一下,因为这个互推联盟这个页面是纯动态页面,也就是每次刷新都要重新从数据库查询并输出,而且随着成员越来越多,这加载速度也会越来越慢,而且,对玛思阁的服务器也会造成更大的负载。这是一个需要解决的问题。 第一时间,我就想到使用静态缓存此页面的方法来解决加载过慢的问题。于是就安装了 WP-Super-Cache 这个插件,并根据实际情况设置了下,发现效果还不错!但还是
从昨天晚上开始忽然不能登陆后台了,登陆页面正常但是点击登录之后就会出现404错误。把.htacesse文件删除之后则会出现500错误,郁闷啊。竟然有这种事情,尝试把所有文件重传,问题依旧没有解决。后来在国外的论坛上找了一个解决办法,在wp-admin目录下创建php.ini文件在文件内写入如下一行即可:
织梦内容管理系统(DedeCms)以简单、实用、开源而闻名,是国内最知名的PHP开源网站管理系统,也是使用用户最多的PHP类CMS系统,在经历多年的发展,目前的版本无论在功能,还是在易用性方面,都有了长足的发展和进步,DedeCms免费版的主要目标用户锁定在个人站长,功能更专注于个人网站或中小型门户的构建,当然也不乏有企业用户和学校等在使用该系统。
收集WordPress开发时必备的一些函数是必须的,大家都知道WP更新的节奏也算比较快的啦经常推出新函数替换之前使用的函数,新函数的性能肯定要比旧函数好如果我们开始开发的时候就使用的旧函数那等回过头来修改也是一大麻烦事,所以我把我收集整理的版本以便于自己和大家查看参考。
https://www.yiichina.com/doc/guide/2.0/start-installation 通过 Composer 安装
因为burp代理一直挂着的,此时burp被动爬取网站目录,可以看到有cdn-cgi下有一个login 访问一下
本篇文章内容分享给大家如何对wordpress后台地址进行修改的几种方法,供大家使用和参考,wordpress程序的默认登陆地址链接为http://xxx.com/wp-login.php。为保障网站安全性,可以修改wordpress登陆文章的名称wp-login.php后缀来防止密码被暴力破解。
在前面的话: 这是一篇让所有只会社域名的小黑阔感觉后悔的文章 域名劫持就不多做介绍了,”圈内”很多小孩将域名劫持仅仅理解为 社工客服解析域名,挂个黑页,只能装逼,实际上域名权限都有了,要拿下目标难道还不容易吗?!做渗透测试要放长线钓大鱼。在这里,我们要将域名劫持的最大作用发挥出来! 这里我的目标是secpulse.com 安全脉搏 ,个人感觉一个很不错的信息安全门户网站。 在这里对脉搏表示歉意,未经授权就擅自进行渗透测试,本人未对网站进行任何删除,上传,下载,修改等操作(事后第一时间通知了安全脉搏官方,脉
我们知道正确处理 404 页面是 SEO 链接建设中非常重要的一环,我们需要分析网站上的 404 页面有哪些,哪里来的?然后改正这些 404 页面,使用 301 重定向把流量导到正确的页面上去。
将图中的user = xxx和group = xxx改为user = nginx group = nginx
然后发现地址栏域名和垃圾邮箱里面的给的链接的域名不一样, 是跳转过去的,遂访问初始的域名。
1.备份Typecho博客数据库,进入到phpmyadmin选择自己博客的数据表进行导出备份
这是 酒仙桥六号部队 的第 82 篇文章。全文共计1737个字,预计阅读时长7分钟。前段时间看到了关于二维码劫持的几篇文,认真研究了一下,发现大家的观点不太一致的,今天和各位师傅分享一下,一起来认识一下二维码登录认证机制,看看二维码登录劫持到底是怎么回事,如何轮询劫持二维码进行钓鱼操作。(如有不足,欢迎补充)登陆场景看了某文后,经验证发现,市面上基本分为下面
对于时间充裕,不急着使用的,首选内地的服务器,虽然备案可能大约要15-20天左右,但是鉴于目前环境,内地的服务器还是有优势(类似后期部署应用,无需备案的服务器国内都解析不了),而且据说在推广方面备案的服务器收录的更好
Typecho这个开源博客系统的问题我之前就想发出来的,但是因为博客没有Typecho的分类,也不太研究Typecho就暂时放着了 前段时间我在折腾阿里云赠送的服务器时,安装了下Typecho这个程序,使用军哥一键包安装的LNMP,这里大概说一下我遇到的问题吧 1、安装程序时无法连接数据库 在把程序放到目录下,进行安装的时候,将数据库的密码输入正确后,无法进行安装 这个时候处理方式就是手动创建一个typecho的数据库即可解决 2、无法登录后台 Nginx服务器点击前台链接或者后台登录时出现404, not
提示:系统存在漏洞,端口存在漏洞,flag分为两部分,一部分在web一部分在系统。
更新测试时间2016.03.08,lnmp1.3-beta最新版+typecho开发最新版。 只要修改vhost下面的配置文件 enable-php.conf 为 enable-php-pathinfo.conf 再引用 typecho.conf 伪静态文件,完美解决。 不用下面的废劲方法了。 ===========分隔线============ 现在使用lnmp1.x版本,搭配typecho登陆后台,会出现404错误。小夜就不深究原因了,这里只说解决办法。 1.enable-php.conf 文件,
https://www.vulnhub.com/entry/g0rmint-1,214/
wordpress安全插件iThemes Security,之前我用过一个 all in XX的插件功能似乎也是比较强大的,但是偶尔总是把自己也给锁定导致无法登陆了,所以很郁闷就卸载没有用那个插件了,换成了iThemes,这款插件的几个亮点功能简单做个分享吧。
sudo ln -s /usr/share/phpMyAdmin /usr/share/nginx/html
sudo vim /etc/nginx/sites-available/default
基友 szrzvdny 的朋友博客被入侵了,由于是虚拟空间,所以只有 apache 访问日志以供分析
之前使用宝塔面板管理VPS,可视化的环境部署及管理真的很方便小白,除了这点,最让我觉得方便的是它的文件管理,支持远程下载及代码编辑,还有可以做定时任务,自动备份网站文件和数据库到七牛云。
linux下easypanel版本安装及升级 (集成了kangle web 服务器和mysql,仅支持centos 5和centos 6) 执行下面的命令即可,安装程序将自动安装或者升级。
0x00题目 http://111.231.111.54/ 泄露了两个源码 .login.php.swp .admin.php.swp 源码丢在最下面,可用vim -r恢复 第一次接触padding
TP3.23对控制器做了更加细致的分层,除了默认的Controller层,还可以自定义事件控制层Event。
最近这个 blog 被黑了,如果你恰巧那一天访问,你会看到所有数据都丢失了,网站打开的页面,是一个初始配置数据库连接的页面。我记得几个月前,这个 blog 曾经遭受过 XML-RPC 攻击,我当时把问题的分析和处理记录在了这里。这一次,可不只是网站拒绝服务这样的问题了,而是整个网站的数据库都被干掉了。
作者:陈业贵 华为云享专家 51cto(专家博主 明日之星 TOP红人) 阿里云专家博主 文章目录 cyg.php cyg.php <?php // ok header('HTTP/1.1 2
线上的一个网站运行了一段时间,应领导要求,将其访问方式更改为https加密方式。 更改为https后,网站访问正常,但网站注册功能不能正常使用了! 经过排查,是nginx配置里结合php部分漏洞了一个参数(fastcgi_param HTTPS )导致,添加上这个参数后,问题迎刃而解! nginx支持https的配置时,需要在php区域配置中添加FastCGI服务,否则https不支持php文件。 location ~ \.php$ { root /var/w
最近公司赶项目,只能抽出来时间去写点别的东西,然后也在给十年之约项目写签约博客申请审核系统,憋大招啊 博客没有发过关于十年之约的文章,但是我也是已经加入了十年之约,同时也加入了十年之约的项目组,过段时间等系统上线了再发关于十年之约这个项目的介绍等其他东西,这篇文章还是讲使用PHPMailer发送SMTP邮件,因为十年之约项目审核以后会给通过的博客发送邮件以及会带上一个公约附件 PHPMailer是一个封装好的PHP邮件发送类,支持发送HTML内容的电子邮件,以及可以添加附件发送,并不像PHP本身mail()
今天这个文章题目比较长,我们长话短说。前几天有一个网友找到魏艾斯博客帮忙,说自己的 wordpress 怎么也安装不了,总是在三步安装的第二步或者第三步提示 404-NOT FOUND,各种方法都试过了,也重装了系统和 wp 无效,索性来求助老魏。 老魏按照常规思路试验了几次仍然是 404 错误,也是百思不得其解。这时候随口问了一句,得知这个网友的域名通过腾讯云 CDN 加速的,猛然想起来之前写过一篇使用腾讯云 CDN 登录 WordPress 管理员后台显示:连接已重置的文章,这里面老魏自己遭遇了腾讯云
作者:LoRexxar'@知道创宇404实验室 日期:2017年9月30日 0x01 简 述 Discuz!X 社区软件,是一个采用 PHP 和 MySQL 等其他多种数据库构建的性能优异、功能全面、安全稳定的社区论坛平台。 2017年9月29日,Discuz!修复了一个安全问题用于加强安全性,这个漏洞会导致前台用户可以导致任意删除文件漏洞。 2017年9月29日,知道创宇404实验室开始应急,经过知道创宇404实验室分析确认,该漏洞于2014年6月被提交到 Wooyun漏洞平台,Seebug漏洞平台收
VM1双网卡,第一个桥接一个VMnet2,桥接的作用是模拟将其web服务暴露在外网。攻击机是在桥接网卡的网络中。
React在Typescript里的路由跳转示例: 第一步,设置路由配置文件(示例在routeMap.ts文件中配置)。 第二步,在页面中根据不同情况对页面路由进行引用(见AuthHOC.tsx) 第三步,在APP中引用路由页面(见:APP.tsx) 1、APP.tsx import React from 'react'; import {BrowserRouter as Router, Switch} from 'react-router-dom' import {routerConfig} from '
WordPress 用的是 PHP 语言,禁止访客访问网站核心 PHP 文件能提高安全性。我们以 Nginx 的配置文件为例,来详细说明如何安全配置:禁用某些目录执行 PHP。
本文由 erdaoo 学习本站的 WP Theme 教程之后的学习笔记整理,经本站整理,erdaoo 本人同意之后在本站发表,以便给更多学习 WP Theme 教程的人帮助。
在制作 WordPress 的过程中,除了对整体的结构等进行排版布局等,还必须要对正文的内容和其他地方进行修饰和排版,例如正文中可能出现的 标题(h2、h3)、列表(ul、ol)、表格(table) 以及不同的文章类型效果等等。这就是 WordPress 主题的单元测试(Theme Unit Test)。
就是一个网站有不同的角色,比如管理员和普通用户,要求不同的角色能访问的页面是不一样的。如果一个页面,有角色越权访问,这时就得做出限制了。
ownCloud是一个免费开源的软件,用于为分享文件,日历,联系人,书签和个人音频/视频,它拥有全客户端,方便使用,同时也非常容易安装和管理。
这次的数据分析赛相对上个星期 05.05 的数据分析赛,个人觉得虽然简单了很多,但其中值得学习的知识点也不少呀。
一、找网站SQL注入点 在测试时后发现有一个信息查询框,就是下面这个图片显示的。一般信息查询框会和数据库存在交互。 我输入数字1,会正常提示木查询到相关信息。 那我们使用1’测试一下,发现不弹未查询到相关信息的提示框,也没有任何数据输出,大致判断这个点存在sql注入,并且不对输出报错信息。 大概猜测出SQL语句为 : select * from A where id ='$_POST['id']'; 没有对用户输入的数据做任何过滤。 构造一个闭合语句再次确认一些是否确认存在sql注入。 paylo
解题思路 先走了正常流程走了一下注册,登陆,输入邀请码,提交后被返回“不是有效的24位优惠码”,先尝试了一边base32加密,提交后返回“想骗我不是有效的优惠码”,抓包尝试修改cookie伪造优惠码等均失败。扫描目录发现存在源码泄露,如下:
只需要将二级域名输入进去即可,然后默认扫描的是80端口(Web服务),443端口(https服务)
大家好,我们是红日安全-Web安全攻防小组。此项目是关于Web安全的系列文章分享,还包含一个HTB靶场供大家练习,我们给这个项目起了一个名字叫 Web安全实战 ,希望对想要学习Web安全的朋友们有所帮助。每一篇文章都是于基于漏洞简介-漏洞原理-漏洞危害-测试方法(手工测试,工具测试)-靶场测试(分为PHP靶场、JAVA靶场、Python靶场基本上三种靶场全部涵盖)-实战演练(主要选择相应CMS或者是Vulnhub进行实战演练),如果对大家有帮助请Star鼓励我们创作更好文章。如果你愿意加入我们,一起完善这个项目,欢迎通过邮件形式(sec-redclub@qq.com)联系我们。
两个网站都是基于宝塔进行搭建的,cxyxiaowu 是 WordPress 网站系统,algomooc 是 Halo 动态博客系统。
在PHP中可以通过header函数来发送头信息,还可以设置文件的content-type,下面整理了一些常见文件类型对于的content-type值。
宝塔面板是现在一键环境中比较成熟的作品,提供非常简便的图形化操作软件,对不熟悉Nginx,php,MySQL等环境的用户非常友好。 我以后的脚本均以宝塔面板做前端来开发一键脚本或者写小工具,这样我可以对软件包的依赖尽量减少,尽管有lnmp极速包,但是和宝塔比较,宝塔才是真正意义上的让用户舒心的Lnmp一键包。(我没收宝塔任何广告费) 正题: 说说脚本思路,感兴趣的同学可以按照思路自己开发H5ai脚本 1.安装完lnmp包 2.修改nginx中的default.conf(原版环境,宝塔的话修改配置文
Discuz!X社区软件1,是一个采用PHP 和MySQL 等其他多种数据库构建的性能优异、功能全面、安全稳定的社区论坛平台。
简单说一下,我们为什么会推出关于HW防守的文章,目前关于该行动,会发现越来越多的厂商需求该行动的人员具备分析溯源的能力了。
领取专属 10元无门槛券
手把手带您无忧上云