web安全

网络安全基础要点知识介绍（非常详细），零基础入门到精通，看这一篇就够了计算机网络的通信面临两大类威胁：被动攻击和主动攻击。被动攻击：指攻击者从网络上窃听他人的通信内容。通常把这类攻击称为截取。

绘梨衣的sakura路

Fastjson ≤ 1.2.83 新型 RCE 漏洞深度分析：三层绕过机制与完整利用链摘要： 2026年7月，长亭安全应急响应中心披露了一个 Fastjson 远程代码执行漏洞。该漏洞源于 Fastjson 内部类型处理机制的缺陷，通过三层叠加绕过，彻底突破了黑名单、类型绑定等所有历史防护手段。本文从字节码层面逆向分析漏洞根因，还原完整的攻击链路，并给出 POC 验证。

Fastjson 1.2.83 “Gadget-Free“ RCE漏洞编号：QVD-2026-43021 / 内部编号：FJ-GETRESOURCE-RCE 披露时间：2026-07-21 原始发现者：Kirill Firsov（@k_firsov）危险等级：高危（满足部署条件时按严重处理）

CBC填充预言攻击-CBC Padding Oracle Crypto AttackCBC填充预言攻击需要一个能够提示解密结果填充正确与否的服务端（即填充预言机），以及完整的密文和IV（若无IV无法解密第一个分组密文，后续分组也可正常解密）

白山云北诗

漏洞扫描+渗透测试：从资产摸底到风险验证，完成二次安全收口适用人群：运维工程师、安全从业者、企业IT负责人、开发运维人员核心看点：漏洞扫描与渗透测试核心区别、落地流程、风险验证、攻防联动、安全收口闭环

Web 安全之 Git 泄露：原理剖析 + CTFHub Log/Stash/Index 全题型解法.git目录信息泄露，是Web安全中经典的版本控制系统信息泄露漏洞，同时也是CTF信息泄露板块高频考点。

公开IP属地后我们应该如何保护自身网络安全？不知道从什么时候开始，刷微博、看知乎、逛小红书时，我总会下意识瞟一眼看看作者的“小尾巴”：“广东发布”“来自美国”“IP属地江苏”。

「移动安全」安卓APP 反编译&frida脱壳技巧分享Android APK 查壳工具：需要有java环境，使用Java运行jar包，启动工具使用方法，只需要把apk文件拖入便会自动识壳。

零基础玩转bWAPP靶场（十四）：SQL 注入（GET/选择型）摘要：本文是 bWAPP 靶场系列的第十四篇，聚焦于 SQL Injection (GET/Select)（GET 型下拉选择框 SQL 注入）漏洞。文章从零基础出发，首先讲解什么是数字型 SQL 注入、它与字符串型注入的本质区别，随后按照 Low、Medium、High 三个安全级别逐一进行源码分析、通关演示和防御方案讲解。特别地，本文深入分析了数字型注入无需引号闭合的特点，解释了为什么 mysql_real_escape_string() 等转义函数在数字型注入面前“形同虚设”，并加入了大量真实世界的

爱网络爱Linux

HCIA-Security（1）网络安全常见的威胁前言随着互联网的普及，众多的企业、组织、政府部门与机构都在组建和发展自己的网络，大量建设的各种信息系统已经成为国家和政府的关键基础设施。整个国家和社会对网络也越来越依赖，网络已经成为社会和经济发展的强大推动力，其地位越来越重要。正因为如此，网络安全和信息安全的保障也愈发重要和关键。在数据通信的过程中，各种不安全因素将会导致信息泄密、信息不完整和信息不可用等问题，影响巨大。本课程描述了信息安全的基本概念和发展历程，以及安全行业和技术的未来发展趋势，为后续安全相关的课程提供铺垫。

SQL 注入零基础详解：原理、手工注入流程与 Sqli-Labs 靶场实战1~5关和第9关思路目录SQL前置基础SQL注入的含义编辑靶场第一关举例解释SQL注入含义：重点还是再查询上Union联合查询，

【网络安全】Living off the Land 攻击 | 蓝队防守前言:这篇文章把 “Living off the Land”(LotL,就地取材攻击)这件事讲清楚——攻击者为什么放着现成的木马不用,偏要用系统自带的工具作恶?这些工具都有哪些?更重要的是,作为防守方,我们能做点什么。全文站在防御视角展开,适合 SOC、应急响应和蓝队防守。

零基础玩转bWAPP靶场（十三）：SQL 注入（GET/搜索型）摘要：本文是 bWAPP 靶场系列的第十三篇，聚焦于 SQL Injection (GET/Search)（GET 型搜索框 SQL 注入）漏洞。文章从零基础出发，首先讲解什么是 SQL 注入、为什么搜索框会成为注入的重灾区，随后按照 Low、Medium、High 三个安全级别逐一进行源码分析、通关演示和防御方案讲解。特别地，本文加入了大量真实世界的经典案例——从 2001 年 SQL 注入首次被公众认知，到 2003 年的 Slammer 蠕虫、2008 年的 Heartland Payment Sy

零基础玩转bWAPP靶场（十二）：Mail Header Injection（SMTP邮件头注入）摘要：邮件头注入（Mail Header Injection）又称为CRLF注入（SMTP场景），属于经典的输入安全漏洞。当Web程序直接将用户可控输入拼接至SMTP邮件头部，且未过滤换行符\r\n/\n时，攻击者可注入自定义邮件头（Bcc、Cc、Reply-To），实现批量钓鱼邮件、伪造发件人等攻击。本文以bWAPP靶场Mail Header Injection (SMTP)关卡为载体，由浅入深讲解漏洞历史背景、底层原理、危害；分Low/Medium/High三个安全等级完成源码审计、实战复现；针对公网

网络安全法律法规备考速查手册整理自《信息安全工程师》备考要点，适合考前突击与日常速查。表格表格表格⚠️ 考试常把"通过日期"和"施行日期"混着考，注意区分！

其实防守也摸鱼

补天SRC新手入门指南：从0到1的漏洞挖掘之路实际上我现在也是学习状态，文章的步骤是我慢慢摸索的，后面也讲了一下”怎么刷漏洞“的步骤，以及整理了SRC的平台（个人感觉很全面了），希望可以帮到一些新手小伙伴学习！

网络安全领域简报（2026年7月14日—20日）数据来源：CSDN、FreeBuf、安全内参、奇安信CERT、CNVD、CISA KEV、GitHub、郑州市网络安全协会、软件供应链安全检测公共服务平台等。

解锁 AI 红队全新玩法！Claude-Red 攻防 Skill 库，内置 SQLi、XXE、文件上传等 Web 专项 Skill，一键导入快速落地渗透实战Claude-Red 是由独立安全研究团队 SnailSploit 精心打造的开源项目，专为 Claude 的 Skills 系统设计。它是一套精心策划的攻击性安全技能库，包含 58 个覆盖 13 大安全领域的结构化 SKILL.md 文件。

phpMyAdmin权限提升免责声明：本文技术仅用于网络安全学习研究，请严格遵守《网络安全法》等相关法律法规，严禁未经授权对任何网络、系统实施攻击或测试，违规操作引发的一切法律责任由使用者自行承担，作者不承担连带责任。

邮件安全实战：SPF/DKIM/DMARC 配置与钓鱼绕过定位：网络基础与协议安全篇 · 邮件身份验证三板斧 + 钓鱼为何仍能得手声明：伪造邮件、钓鱼测试仅限自有域名与书面授权；向他人发送欺诈邮件违法。