2026年09月的文章 第25页

pren 发布于 2026-09-23

命令注入（Command Injection）是 Web 安全领域中危害极高的一类漏洞。当应用程序将用户输入未经过滤地拼接到系统命令中执行时，攻击者便可能借此在服务器上执行任意命令，从而完全控制目标系统。本文将从基础的分号绕过讲起，逐步深入到盲注场景下的时间延迟利用，结合实战思路...

阅读(30)评论(0)赞 (0)

pren 发布于 2026-09-23

一、什么是 Web Cache Poisoning Web Cache Poisoning（Web 缓存投毒）是一种攻击者通过操纵缓存服务器，将恶意内容注入缓存，使后续正常用户在访问同一资源时收到被污染响应的攻击技术。该漏洞由安全研究员 James Kettle 于 2018 年...

阅读(34)评论(0)赞 (0)

pren 发布于 2026-09-23

文件上传功能几乎是所有 Web 应用的标配——头像、附件、导入数据，无一例外。但正是这个看似简单的功能，长期占据 OWASP Top 10 的高危位置。一旦攻击者能上传一个可执行的 WebShell，服务器就等于拱手让人。本文从攻击链的视角出发，逐层拆解前端校验、MIME 检测和...

阅读(32)评论(0)赞 (0)

pren 发布于 2026-09-23

一、XXE 漏洞概述 XXE（XML External Entity Injection，XML 外部实体注入）是一种针对解析 XML 输入的应用程序的安全漏洞。当应用程序允许引用外部实体且未对其加以限制时，攻击者便可通过构造恶意 XML 文档，读取服务器本地文件、发起内网探测，...

阅读(34)评论(0)赞 (0)

pren 发布于 2026-09-23

在 Web 安全领域，越权漏洞（Broken Access Control）长期占据 OWASP Top 10 的榜首位置。其中，IDOR（Insecure Direct Object Reference，不安全的直接对象引用）是最常见也最容易被忽视的一类越权漏洞。本文将从实战角...

阅读(27)评论(0)赞 (0)

pren 发布于 2026-09-23

引言 反序列化漏洞是 Web 安全领域中危害极大的一类漏洞。自 2015 年 Java Apache Commons Collections 反序列化漏洞引爆安全圈以来，PHP、Python 等语言的反序列化利用链也相继被安全研究者深入挖掘。理解不同语言反序列化漏洞的共性与差异，...

阅读(27)评论(0)赞 (0)

pren 发布于 2026-09-23

JSON Web Token（JWT）已成为现代 Web 应用中身份认证与授权的主流方案。它轻量、自包含、跨语言，看似简洁优雅的设计背后，却隐藏着一系列容易被开发者忽视的安全陷阱。本文将深入剖析 JWT 在实际部署中最常见的三类安全漏洞——算法混淆攻击、密钥爆破攻击以及 kid ...

阅读(27)评论(0)赞 (0)