web安全

SoloXSS：一款现代化的自托管 XSS平台什么是 SoloXSS？在 Web 安全测试中，XSS（跨站脚本）的验证一直是个痛点——你需要一个可信任的外部服务器来接收 Payload 回连，而公共平台往往有数据泄露风险、访问限制或不稳定的问题。项目地址：SoloXss平台

技术不好的崎鸣同学

[极客大挑战 2019]EasySQL 思路及解法大家好，你们可以叫我凌，是个16岁的网络安全学习者。今天我们来完成下 [极客大挑战 2019]EasySQL 靶场。我们先把基础靶场完成，随后循环递进，目标是 BUUCTF 全通关。那么我们就直接开始吧！

【实战演练】基于 Kali Linux 的自动化漏洞扫描与安全加固指南⚠️ 【特别声明】 > 法律合规声明：本文所涉及的所有漏洞扫描与测试技术，均在本地授权靶场环境（如 Metasploitable2 / DVWA）中进行。请勿在未获得明确书面授权的生产环境或公网上使用相关工具。网络安全技术是一把双刃剑，请自觉遵守《中华人民共和国网络安全法》，共同维护清朗的网络空间。 > 一、引言：为什么要进行漏洞查找测试？在企业网络安全防护体系中，“知己知彼，百战不殆”是永恒的定律。漏洞扫描（Vulnerability Scanning）是主动防御的核心环。通过模拟潜在攻击者的视角，

【SRC】基础思路篇10：越权与未授权访问完全指南⚠️本博文所涉安全渗透测试技术、方法及案例，仅用于网络安全技术研究与合规性交流，旨在提升读者的安全防护意识与技术能力。任何个人或组织在使用相关内容前，必须获得目标网络 / 系统所有者的明确且书面授权，严禁用于未经授权的网络探测、漏洞利用、数据获取等非法行为。

技术不好的崎鸣同学

[ACTF2020 新生赛]Exec 思路及解法大家好，你们可以叫我凌，是个16岁的网络安全学习者。今天我们刷下 [ACTF2020 新生赛]Exec 这道题，依旧分享我的解题思路和解法。

DVWA从入门到精通（十一）：XSS (Stored)（存储型XSS）摘要：本文是《DVWA从入门到精通》系列的第十一篇，带你全面掌握XSS (Stored)（存储型XSS）模块的攻防全流程。从存储型XSS的核心原理出发，逐步讲解Low、Medium、High三个级别的攻击手法与源码分析，并深入探讨Impossible级别的终极防御方案。文章包含存储型XSS与反射型XSS的深度对比、htmlspecialchars()与str_replace()的防御差异、大小写混淆与双写绕过、<img>标签事件注入、正则表达式绕过，以及htmlspecialchars()全面转义与参数化

春秋云境CVE-2021-42897（保姆级教学）1.阅读靶场介绍这里我们可以得到的有用信息就是存在任意代码执行漏洞这里博主提前剧透一下博主是post一个报文，然后反弹shell去cat /flag

web安全-SSTI（服务器模板注入）SSTI的本质是用户输入被作为模板内容直接拼接并渲染。根据结果可分为：确定模板引擎是第一步，可通过报错信息、特定语法或通用测试值（如${7*7}、{{7*7}}、<%= 7*7 %>）的反应来判断。

技术不好的崎鸣同学

[MRCTF2020]PYWebsite 思路及解法大家好，你们可以叫我凌，是个16岁的网络安全学习者。今天我们来完成的是 [MRCTF2020]PYWebsite ，题目并不难，我们就直接开始吧。

网络安全核心知识梳理：从OSI模型到密码技术网络安全是信息系统的基石。无论你是刚入门的开发者、运维人员，还是准备面试的求职者，掌握网络安全的基础概念都至关重要。本文基于一份系统性的学习笔记，提炼出网络基础、安全威胁、系统访问控制、数据完整性、病毒防治、密码技术六大模块，帮助你快速建立知识框架。

企业级开源安全利器，整合漏洞管理、基线检查，威胁狩猎、情报联动，适配政企服务器安全运维MxCwpp是一款企业级开源安全利器，聚焦政企服务器安全运维场景。平台深度整合漏洞管理、合规基线检查、威胁狩猎、威胁情报联动核心能力，支持主机与容器全维度安全防护，内置丰富合规规则与检测策略，可实现风险发现、核查、溯源闭环，零成本助力企业搭建标准化、轻量化服务器安全运营体系。

谈谈企业中的网络安全通常在大型的外企中，都非常注重网络安全。除了加强IT系统的技术革新，同时会注重员工的网络安全防范意识和技能培训。那么我们为什么需要对网络安全需要引起高度重视，员工日常接触到最多的网络安全威胁又有哪些？这正是我今天希望与大家分享的。

技术不好的崎鸣同学

[BJDCTF2020]The mystery of ip 思路及解法大家好，那么可以叫我凌，是个16岁的网络安全学习者。今天我们的目标是 [BJDCTF2020]The mystery of ip 这道题目。

Bruce_Liuxiaowei

2026年7月第1周网络安全形势周报报告周期： 2026年6月27日 — 7月3日本周全球网络安全态势呈"基础设施级漏洞密集入KEV + Defender安全体系全线告急 + 供应链攻击三连击"三重特征，核心威胁聚焦以下五个方面：

AI安全系统如何识别异常访问？IP风险识别正在成为关键能力在构建AI风险控制系统时，很多开发者都会遇到一个问题：模型能够识别明显异常流量，却很难发现经过掩饰的侵扰行为。

上海云盾第一敬业销售

深入解析WAF的工作原理与机制在当今数字化时代，企业面临的网络攻击威胁日益严峻。Web应用防火墙（WAF）作为一种关键的安全防护手段，已成为企业保障网络安全的重要工具。WAF能够有效防止SQL注入、跨站脚本攻击等常见的Web攻击，但许多企业在实施和运维过程中仍面临诸多挑战。本文将深入解析WAF的工作原理与机制，帮助企业技术负责人和安全架构师更好地理解和应用这一技术。

憧憬成为web高手

l33t-hoster这个题做了两天了拼尽全力卡在最后一步最后决定先放放感觉是平台flag有点问题（之前有个题也是flag为空）

Sqli-Scanner SQL注入SKILL自动化挖掘SQL注入，零依赖自动化SQL注入挖掘，赏金猎人在漏洞赏金（Bug Bounty）和SRC平台中，SQL注入至今仍是** payout 最高、出现频率最稳定**的漏洞类型之一。但面对成百上千个接口、数十种参数位置和千变万化的闭合方式，纯手工测试不仅效率低下，更容易漏掉那些藏在JSON body、Cookie或Order By里的"深洞"。

小白级手册——全面剖析红队信息收集思考红队信息收集思考红队实战中分散工具与碎片化收集思路效率低下，本文整理一套标准化资产挖掘完整链路，两万字覆盖企业股权备案、子域名测绘、IP 网段、CT 日志、JS 提取、Host 碰撞、Google Hacking、云存储桶枚举、深网泄露全流程。配套 Tscan、Subfinder、BucketHunter 等工具实操命令，聚焦影子资产、边缘隐蔽资产挖掘，剔除冗余淘汰手段，给出可直接落地的侦察流程，适配渗透测试、攻防演练、企业攻击面梳理学习。

爱网络爱Linux

网络安全与渗透测试实用工具大全做渗透测试、网络安全运维、漏洞挖掘，选对工具能事半功倍！市面上网安工具五花八门，开源/商业、Windows/Linux平台适配各不相同，新手很容易挑花眼。今天给大家分类整理全套经典渗透&安全工具，涵盖综合渗透、Web安全、网络探测嗅探、密码破解、系统防护等全场景，附平台、属性及核心用途，新手可直接收藏复用！