项目实战-前后端分离博客系统1.课程介绍 纯后端讲解 完整的前台后台代码编写 主流技术栈（SpringBoot,MybatisPlus,SpringSecurity,EasyExcel,Swagger2,Redis,Echarts,Vue,ElementUI….） 完善细致的需求分析 由易到难循序渐进 2.创建工程​ 我们有前台和后台两套系统。两套系统的前端工程都已经提供好了。所以我们只需要写两

1. 信息收集1. 子域名收集 工具：xray 2. 敏感目录搜集 工具：dirsearch 3. 前端 前端 js，api 接口（主要找 appid，secret，js 解密） 4. 后端 逻辑漏洞 功能点：用 burpsuite/fidder，查看 HTTP history 根据功能点来联想可能的漏洞。

XXE 实体注入1. 使用条件 PHP 中 libxml < libxml 2.9.1时，其默认支持解析外部实体。 2. xml 格式的说明 XML 的结构包括 XML 声明、DTD（文档类型定义）（可选）和文档元素，具体例子如下： 123456789101112131415<!-- XML 声明 --><?xml version="1.0" ?&g

XSS1. 概念 https://juejin.cn/post/6912030758404259854 2. xss.haozi.me1. 0x00 不多说，最基本的语句 2. 0x01 闭合 <textarea> 标签即可。 结果如下： 3. 0x02 使用 "> 来闭合属性和标签 结果如下： 4. 0x03（() 括号被过滤） ‘`’ 可

SSRF1. 概念 SSRF(Server-Side Request Forgery：服务器端请求伪造)，指的是攻击者在未能取得服务器所有权限时，利用服务器漏洞以服务器的身份发送一条构造好的请求给服务器所在内网。SSRF攻击通常针对外部网络无法直接访问的内部系统。 PHP 中，下面函数的使用不当会导致 SSRF： 123file_get_contents()fsockopen()curl_ex

SSRF1. 基本概念 SSRF(Server-Side Request Forgery：服务器端请求伪造)，指的是攻击者在未能取得服务器所有权限时，利用服务器漏洞以服务器的身份发送一条构造好的请求给服务器所在内网。SSRF 攻击通常针对外部网络无法直接访问的内部系统。 2. 涉及到的协议和工具2.1 常见协议总述 常见的协议有：gopher、dict、file、ftp、http、https、j