XXE学习
XXE学习XML介绍：一种可拓展的标记语言，用于存储数据，可放在请求中直接发给服务器 结构： 第一部分：XML声明 1<?xml version="1.0"?> 第二部分：文档类型定义DTD 12345<!DOCTYPE note[ <!--定义此文档是note类型的文档--><!ENTITY entity-name SYSTEM &q
物联网安全
物联网安全IOT架构感应层：主要作用是感知周围环境，主要的实现是靠一些传感器微控制器（MCU）：可以理解成是一个集成的小型系统，把CPU,内存，I/O设备等集成在单一芯片上，用于执行特定的任务，强调实用性、低功耗、成本效益 微处理器（MPU）：可以理解成小型的CPU,需要外部芯片提供内存 网络层：主要用于传输数据，通过蓝牙，以太网，WIFI,4G等进行传输， 应用层：用于数据的展示和处理
面试题
面试题1.自我介绍答：…………. 1.讲一下sql注入的类型答：数字型、字符型、insert\update、delete、时间盲注、布尔盲注 2.盲注常用的函数答:布尔盲注有：ascii(),length(),Substr()，like。时间盲注有:sleep(),benchmark函数(MYSQL数据库),waitfor delay(SQL Server数据库),dbms_pipe.receiv
shiro与log4j2
shiroshiro介绍Shiro是Apache的一个强大且易用的Java安全框架,用于执行身份验证、授权、密码和会话管理。使用 Shiro 易于理解的 API，可以快速轻松地对应用程序进行保护 CVE-2016-4437原理：在shiro框架中，执行身份验证时有一个记住密码的功能，勾选后用户请求包的cookie里会多出一段数据，里面包含加密后的用户信息，加密算法是：序列化-AES-base64,
RCE
RCEphp代码执行函数eval()、assert()、pre_replace()、create_function()、array_map()、call_user_func()、call_user_func_array()、array_filter()、uasort()、等 php命令执行函数system()、exec()(需要echo配合)、shell_exec()(需要echo配合)、pcnt
文件上传
文件上传介绍文件上传安全指的是攻击者通过利用上传实现后门的写入连接后门进行权限控制的安全问题，耐于如何确保这类安全问题，一般会从原生态功能中的文件内容，文件后缀，文件类型等方面判断，但是漏洞可能不仅在本身的代码验证逻辑中出现安全问题，也会在语言版本，语言函数，中间件，引用的第三方编辑器等存在缺陷地方配合利用。另外文件上传也有多个存储逻辑，不同的文件存储方案也会给攻击者带来不一样的挑战！ 前后端验证
反序列化
反序列化php魔术函数123456789101112__construct() //类的构造函数，创建对象时触发__destruct() //类的析构函数，对象被销毁时触发__call() //在对象上下文中调用不可访问的方法时触发__callStatic() //在静态上下文中调用不可访问的方法时触
ssrf学习
ssrf学习SSRF漏洞介绍SSRF,一种由攻击者构造请求，由服务端发起请求的安全漏洞，一般时作用于外网无法访问的系统，因此服务端发起，让服务端来访问我们 漏洞产生的相关函数1file_get_contents()、fsockopen()、curl_exec()、fopen()、readfile() （1）file_get_contents() 123456file_get_content函数从
