首页
学习
活动
专区
圈层
工具
发布
  • 您找到你想要的搜索结果了吗?
    是的
    没有找到

    文了解SSRF漏洞

    前言 本篇总结归纳SSRF漏洞 1、什么是SSRF 服务器端请求伪造(Server-Side Request Forgery, SSRF) 攻击的目标是从外网无法访问的内部系统 Web应用脚本提供了从其他服务器应用获得数据的功能...> (2)fsockopen 该函数用于打开一个网络连接或者一个Unix套接字连接 <?...,sslip.io http://127.0.0.1.xip.io/1.php,实际上访问的是http://127.0.0.1/1.php (4)短网址绕过 比如将http://127.0.0.1转换成短网址...(5)添加端口号 http://127.0.0.1:8080 (6)利用DNS解析 可以在自己的域名上设置A记录,指向127.0.0.1 (7)其他各种指向127.0.0.1的地址 1. http...那么在把返回结果展示给用户之前先验证返回的信息是否符合标准 禁用不需要的协议,仅仅允许http和https请求。

    67510

    HttpRunnerManager接口自动化测试—环境搭建

    :作为整个测试用例集的全局配置项 test:对应单个测试用例 name 这个test的名字 request 这个test具体发送http请求的各种信息, 如下: url 请求的路径 (若config中有定义...所有验证内容均通过该test才算通过,否则失败....与test子功能,config定义全部变量和request等相关信息 request可以为公共参数和请求头,也可定义全部变量 场景管理:可以动态加载可引用的用例,跨项目、跨模块,依赖用例列表支持拖拽排序和删除...注册: http://127.0.0.1:8000/api/register/ ? 登录: http://127.0.0.1:8000/api/login/ ?...后台数据库管理:http://127.0.0.1:8000/admin/ ? 注册登录之后就可以看到平台的界面,接下来就可以创建接口测试的项目和用例了。 ?

    1.3K30

    ssrf漏洞简单学习解析

    2、从远程服务器请求资源 漏洞利用: ditc协议: 本地利用:crul -v 'ditc://127.0.0.1:3306' 实战运用,如果目标存在ssrf,我们就可以利用该协议进行 远程使用,例:...因为我们在有些场景下无法通过 get 的方式进行发起请求,但是我 们又无法直接利用 ssrf 通过 http 协议来进行 post 请求,这种情况下一般就得利用 gopher 协议来发起对内网应用的 POST...gopher://:/_流> 正常构造,我们就使用: gopher://127.0.0.1/_POST /flag.php HTTP/1.1...Linux: file:///etc/passwd file_get_contents() 文件内容读取,支持php伪协议 php://filter/read=convert.base64-encode.../resource=fgc.php 可以读取php的源码,通过base64模式进行读取 fsockopen() 这个函数的用处是打开一个网络链接,比如加载一个外部的网站,或者unix套接字的连接 无回显测试

    53210

    httprunner学习3-extract提取token值参数关联

    有一个获取绑定卡号的接口B,但是接口B必须要先登录后传登录的token才能访问 A接口登录接口文档基本信息 访问地址:http://127.0.0.1:8000/api/v1/login/ 请求类型:POST...请求头部:application/json 请求参数:{“username”:”test”, “password”:”123456”} B接口获取绑定卡号的接口文档基本信息 访问地址:http://127.0.0.1...:8000/api/v1/user/info/ 请求类型:GET 请求头部:Content-Type: application/json 请求头部token参数:Authorization: Token...xxxxx login token xxxxx 先不带token去访问接口B,使用命令行工具httpie测试接口 C:\Users\dell>http http://127.0.0.1:8000/api...http://127.0.0.1:8000/api/v1/login/ username=test password=123456 -v POST /api/v1/login/ HTTP/1.1 Accept

    2.1K40

    从一文中了解SSRF的各种绕过姿势及攻击思路

    一般情况下,SSRF攻击的目标是从外网无法访问的内部系统。...> 这个时候我们就可以利用url参数,来获取内网的部分文件,直接写127.0.0.1:/flag.php这种即可,赋值给URL file_get_contents() file_get_contents...:/,这里的gopher-path就相当于是发送的请求数据包 这个以ctfhub的一道小题来讲解 打开环境没有发现什么东西,扫一下 扫描后发现有个文件名字是flag.php...时,此时是无法直接进行访问内网的,那我们此时该怎么办呢,有以下几种绕过方式 302跳转 网络上存在一个名为sudo.cc的服务,放访问这个服务时,会自动重定向到127.0.0.1 添加@绕过 平常我们传入的...url是url=http://127.0.0.1,如果 我们传入的url是url=http://quan9i@127.0.0.1,它此时依旧会访问127.0.0.1 示例如下 题目给出提示 要求必须以

    6.8K82

    微服务组件---- Spring Cloud Alibaba 链路追踪 skywalking 详解

    SW_DATA_SOURCE_PASSWORD:root}   2)添加mysql数据驱动包到oap-libs目录下【注意:需要添加mysql数据驱动包,因为在lib目录下是没有mysql数据驱动包的,所以修改完配置启动是会报错,启动失败的...Metrics value need to be long, double or int metrics-name: service_sla op: "<" threshold: 8000...message: Response time of endpoint {name} is more than 1000ms in 2 minutes of last 10 minutes #需要自己手动打开...webhooks: - http://127.0.0.1/notify/ # - http://127.0.0.1/go-wechat/   2)参数说明: metrics-name:度量名称...请求进行发送, 请求方法为POST, Content-Type为application/json, JSON格式基于List<org.apache.skywalking.oap.server.core.alarm.AlarmMessage

    2.9K21

    SSRF漏洞详解 一文了解SSRF漏洞

    前言 本篇总结归纳SSRF漏洞 1、什么是SSRF 服务器端请求伪造(Server-Side Request Forgery, SSRF) 攻击的目标是从外网无法访问的内部系统 Web应用脚本提供了从其他服务器应用获得数据的功能...> (2)fsockopen 该函数用于打开一个网络连接或者一个Unix套接字连接 <?...,sslip.io http://127.0.0.1.xip.io/1.php,实际上访问的是http://127.0.0.1/1.php (4)短网址绕过 比如将http://127.0.0.1转换成短网址...(5)添加端口号 http://127.0.0.1:8080 (6)利用DNS解析 可以在自己的域名上设置A记录,指向127.0.0.1 (7)其他各种指向127.0.0.1的地址 1. http...那么在把返回结果展示给用户之前先验证返回的信息是否符合标准 禁用不需要的协议,仅仅允许http和https请求。

    2.1K31
    领券