XiaodiSec day014 Learn Note 小迪渗透学习笔记
记录得比较凌乱，不尽详细
day 14
输入输出类内容
php全局变量 server
mysql插入语法insert
搜索文件，提交表单
使用Php连接数据库，使用sql语句中的like 进行模糊查询
使用php查询内容，使用echo将内容打印到页面上
php中的连接符号是.,可以将php, html标签或引号冲突的语句连接起来
在搜索框中输入javascript 代码，若网站执行，就可能可以利用
在执行内容中输入，可能在页面中有显示，类似于你的搜索的'...'如下, 就可以在搜索框中输入可执行的js代码，在页面显示中查看执行结果
今天的视频已经把留言板做好了
存储型与反射型xss
index点击搜索执行了输入的js代码
blog将js代码存储到数据库，从数据库读取并渲染到页面时，执行了输入的js代码，只要刷新，就会执行
在留言板，搜索框等位置可能存在
php中的server用来获取访问信息
server['httprefer']能获取请求的来源
Ip请求中的x-forwarded