邏輯漏洞
多個執行緒競爭同乙個共享**、變數、檔案等稱之為條件競爭。那麼什麼情況存在競爭條件？
例項：上傳檔案，下面是乙個上傳檔案的例子，上傳檔案之前先校驗許可權
#include #include #include #define delay 10000
int main()
fp = fopen(fn, "a+");
fwrite("\n", sizeof(char), 1, fp);
fwrite(buffer, sizeof(char), strlen(buffer), fp);
fclose(fp);
}else
}
滲透測試工具：burpsuite(資料報抓取)
滲透測試burp的intruder功能實現多個併發請求
暴力破解
越權漏洞
條件競爭
密碼重置
郵箱找回：分析token構造，時間戳md5值
md5(time+username)
驗證碼方式找回：
防禦：設定更複雜的驗證碼，設定時間
驗證身份->修改密碼介面(session,驗證身份使用者到修改密碼介面是同個使用者)
越權漏洞：平行越權，垂直越權
平行越權：使用者的等級相同進行越權
使用者a,b：普通使用者
使用者c：管理員使用者
a->b：平行越權
a->c：垂直越權
例子：購物車 訂單資訊例子
越權漏洞測試挖掘，查訂單操作，修改個人資訊
網路安全系列之十二 Linux使用者賬號安全設定
使用者賬號是計算機使用者的身份憑證或標識，每乙個要訪問系統資源的人，必須憑藉他的使用者賬號才能進入計算機。在linux系統中，提供了多種機制來確保使用者賬號的正當 安全使用。合理地規劃使用者賬號，並合理地分配許可權，是保證linux系統安全的第一步。1.清理系統賬號 在linux系統中，一些程式在安...
網路安全系列之十一 系統命令注入
系統命令注入 也是一種古老的 手段，是指 可以在有漏洞的頁面位址列中直接執行作業系統命令。下面將來演示這種 的實現方式，以及如何配置waf進行攔截，實驗環境仍然使用npmserv搭建。開啟 在位址列中的 後面輸入 cmd 所要執行的命令 如下圖所示的 user，可以發現命令能夠成功執行。下面配置wa...
網路安全系列 之 TLS SSL基本原理
tls ssl的功能實現主要依賴於三類基本演算法 參見 網路安全系列 之 密碼演算法 客戶端使用非對稱加密與伺服器進行通訊，實現身份驗證並協商對稱加密使用的金鑰，然後對稱加密演算法採用協商金鑰對資訊以及資訊摘要進行加密通訊，不同的節點之間採用的對稱金鑰不同，從而可以保證資訊只能通訊雙方獲取。以mys...