web安全

CTF之web篇（入门篇）简介：flag 写在 HTML 注释里，页面上不显示；F12 的 Elements 面板或 Ctrl+U 都能直接看到。操作：查看网页源代码（F12 / Ctrl+U / view-source）F12 看元素、Ctrl+U 看源码、地址前加 view-source:，任选一种。用 Ctrl+F 搜 flag、password、admin

XSS-Labs 靶场通关全记录（上）：XSS 的前世今生与基础反射型实战（Level 1–10）摘要：XSS（跨站脚本攻击）自 1996 年被发现以来，连续二十余年出现在 OWASP Top 10 名单中，是 Web 安全领域生命力最顽强的漏洞类型之一。本文是系列的上篇，面向完全没有安全基础的读者，从三个层面建立认知：第一，讲清楚 XSS 到底是什么、为什么叫“跨站”而不是“CSS”、反射型/存储型/DOM 型三兄弟的本质区别；第二，手把手完成 XSS-Labs 靶场在小皮面板下的部署；第三，逐关拆解 Level 1 到 Level 10 的绕过逻辑。读完本篇，你将不再把 XSS 理解为“弹个窗就完

WPScan 实战入门：从 Docker 靶场到弱密码爆破WordPress 用的人多，插件和主题又基本决定了它的安全底线。同一个插件换个大版本，风险面就完全变了。所以要摸清一个 WordPress 站点，第一步永远是同一件事：它装了什么，是什么版本。WPScan 专门干这件事。

theHarvester 入门教程：从装好到看懂输出第一次跑 theHarvester，我敲的是这一句：屏幕上开始刷。先是横幅，接着一行行 Searching，然后隔几行冒出一句 [!] Missing API key for xxx。等了几分钟，翻上去一看，大半行都是这种提示，真正有结果的没几个。

成为全栈·基础补充·Web 安全基础：XSS、CSRF 与 SQL 注入写这篇的时候我先做了一件事：在项目里搜 dangerouslySetInnerHTML。结果是自己代码里只有 1 处（另 4 处都在第三方 Markdown 编辑器的源码里）。而这唯一一处在哪呢？

2026 强网杯 Web 题 cwp · 全链路复盘主播最近都在打各个比赛至少十余场总算有个空闲写一篇文章题型：Web / 100 分 / 容器靶机关键词：数组错位 · SQL 注入 · 缓存污染 · 会话伪造 · 提权

终端供应链安全：应用白名单与软件正版化检测落地｜终端安全治理实践近几年，软件供应链攻击事件屡见报端，中国青年网等媒体曾多次报道非正规安装包投毒、盗版软件植入恶意后门的安全事件。攻击者不再完全依赖病毒木马，转而利用员工自行下载软件这个入口渗透企业内网。

出海高防CDN怎么选？CDN加速、边缘清洗与跨境回源POC指南某跨境电商在大促前一周发现，商品图片能从当地节点快速加载，库存和订单接口却频繁超时。监控里可以看到接口错误率上升、源站连接数被占满，而静态缓存命中率仍保持正常。普通CDN解决了静态分发，应用层攻击仍会直接冲击回源；恶意请求穿过缓存入口后，原站继续承担本应在边缘处理的CC、Bot与异常API调用。真正缺的是域名接入下的边缘清洗、跨境回源优化和源站入口收敛。

是真的小外套

网络安全实战第21期：一次完整的注入风险验证与记录网络安全实战 90 天 · Week 3 注入风险　|　难度 ★★★ 进阶　|　关键词：验证流程　只读判断　风险定级　修复建议　复现记录

Bugku WEB 题解总集：文件包含 / SQLi / 反序列化 / SSTI / 反爬 / 组件漏洞平台：ctf.bugku.com｜范围：WEB 方向批量实战的技术归纳阅读方式：先看 §0 的攻防分类表定位题型，再看对应章节的「可复用手法 + 踩坑」，最后用 §9 检查表自查。

网络安全-Javascript基础一般简称JS，然后用于嵌套在网页中，给网页添加动态效果用的node凭条，开发服务器也是用js 后期会用到recat、vue框架。

是真的小外套

网络安全实战第17期：自动化检测误报漏报真相网络安全实战 90 天 · Week 3 注入风险　|　难度 ★★ 入门　|　关键词：自动化检测　误报与漏报　扫描边界　检测报告　日志清理

是真的小外套

网络安全实战第19期：三重防护失效真相之注入攻击的无限变形之路网络安全实战 90 天 · Week 3 注入风险　|　难度 ★★★ 进阶　|　关键词：输入转义　黑名单缺陷　前端校验　纵深防御　类型约束

是真的小外套

网络安全实战第14期：Week2周末闯关网络安全实战 90 天 · Week 2 侦察 · 难度 ★★★ 进阶　|　关键词：渗透测试流程　信息收集　Nmap　漏洞验证　侦察报告　实战演练

是真的小外套

网络安全实战第13期：侦察报告撰写网络安全实战 90 天 · Week 2 侦察 · 难度 ★★ 入门　|　关键词：侦察报告　渗透测试报告　七段式　证据链　攻击路径　Markdown

是真的小外套

网络安全实战第15期：SQL注入根源之一条拼接语句的警示网络安全实战 90 天 · Week 3 注入风险　|　难度 ★★ 入门　|　关键词：SQL 注入　参数化查询　输入校验　代码审计　自查

《Web安全实践》全套PPT课件2026（暨南大学）《Web安全实践》全套PPT课件2026（暨南大学）课件内容：第1章 SQL注入漏洞.pptx 第2章远程代码执行漏洞与远程命令执行漏洞.ppx 第3章文件上传漏洞.pptx 第4章文件包含漏洞.pptx 第5章 XSS漏洞.pptx 第6章 SSRF漏洞.pptx 第7章反序列化漏洞·pptx 第8章逻辑漏洞（上）·pptx 第9章逻鑭漏洞（下）·pptx

Agent安全之八：OWASP ASI08 级联失效------当每一个 Agent 都“正确”，系统却走向灾难如果你正在构建或守护多 Agent 系统，有一个反直觉的安全真相值得刻在办公桌上：最危险的故障，往往不是某个 Agent 出了错，而是每一个 Agent 都在做"对"的事。

其实防守也摸鱼

Chrome 扩展安全攻防实录：从攻击面到防御实践简述扩展生态规模、权限模型带来的风险，以及本文的写作目标与读者对象。manifest、background service worker、content script、popup、options 页面等核心组件。

Bruce_Liuxiaowei

2026年10月第5周网络安全形势周报周期： 2026年10月24日 — 10月30日本周的主线是**“补丁跑不过利用”**。PHP2Shell 的两个核心漏洞在补丁发布后 5 天进入 CISA 已知被利用漏洞目录，配套的 Linux 内核提权漏洞 Fragnesia 只给了联邦机构 3 天修复窗口；Google Brotli 的 Node2Shell（CVSS 4.0 9.2）从修复到确认在野利用只隔了 6 天。GitLab 和 Cisco ASA/FTD 同在 10 月 29 日入 KEV，截止日期都是 11 月 1 日。