function_exists() 函数的作用: 如果函数已被定义就返回TRUE，语法结构如图所示：
SQL 注入攻击是通过将恶意的 SQL 查询或添加语句插入到应用的输入参数中，再在后台 SQL 服务器上解析执行进行的攻击，它目前黑客对数据库进行攻击的最常用手段之一。
PHP defined() 函数 例子 定义和用法 defined() 函数检查某常量是否存在。 若常量存在，则返回 true，否则返回 false。 语法 defined(name) <?p
0x0E、SQL Injection – Blind – Boolean-Based
https://_thorns.gitbooks.io/sec/content/ssrf_tips.html
array_merge_recursive 合并两个数组，如果数组中有完全一样的数据，将它们递归合并
sql注入是就是通过把SQL语句插入到Web表单提交或输入域名或页面请求的查询字符串，最终达到欺骗服务器执行恶意的SQL命令。
反爬方与爬虫方相互博弈，不断制造爬取难度，或一定程度上阻止了爬虫行为。爬虫方也在不断更新技术，来对抗种种反爬限制。
网页篡改指的是黑客通过技术手段上传了webshell（网页木马）拿到控制权限后对网站的内容及页面进行删、增、改。
收集WordPress开发时必备的一些函数是必须的，大家都知道WP更新的节奏也算比较快的啦经常推出新函数替换之前使用的函数，新函数的性能肯定要比旧函数好如果我们开始开发的时候就使用的旧函数那等回过头来修改也是一大麻烦事，所以我把我收集整理的版本以便于自己和大家查看参考。
布尔盲注可以使用的函数很多，例如可以使用length函数来判断需要查询的内容的字符长度，使用substring函数来读取字符串的每一个字符，使用ascii函数来转换为相应的ascii值，最后通过布尔运算来判断字符的ascii值。
其中之一，则输出 "you can't see it" 并返回 false 。大问题，我们不能让他执行。
一、用自己的语言描述get、post、Accept、Referer、User-Agent、host、cookie、X_Forwarded_for、Location各请求头的含义 1. GET http请求方法，从浏览器获取一个资源 2. POST 提交数据、账号密码等，加密传输 3. Accept 支持的语言程序、接收的文件类型等等.... 4. Referer 起过渡作用，从一个页面转到另一个页面 5. User-Agent 显示浏览器的指纹信息 6. host 主机 7. cookie 记录并保存你去过
打开题目，给我们的是源代码，通过阅读代码，这就是一个通过外部构造系统命令执行的一个漏洞，通过这几个函数套娃，最终用eval函数把字符串当作php代码执行。
那么我们就一起来学习一下，对PHP+MySql组合的网站，怎么进行纯手工注入吧，Here we go~
这个网页告诉我们的意思大致是欢迎来到我的网站，这是我从头开始写的，如果你想知道一些信息，请点击上面的链接。
$aa=array(“name”= “joan”,”num”= “9018”,”email”= “abc@abc.com”);
wordpress模板是由PHP语句组成，很多不懂代码的站长都被PHP复杂的代码难倒，难以自己开发个性化的模板。其实想开发一个wordpress模板并不是太难，大家只要了解一些wordpress中的常用函数，即可按照自己的需要进行内容调用了。更高端一点的类似于一些PHP语句的判断等等，这就需要大家自己去学习提高了。本篇文章主要讲解wordpress开发模板中经常需要用到的一些函数。
在上一章节中，介绍了SQL注入的原理以及注入过程中的一些函数，但是具体的如何注入，常见的注入类型，没有进行介绍，这一章节我想对常见的注入类型进行一个了解，能够自己进行注入测试。
使用 rmdir() 函数删除空的目录，代码：$dir=rmdir(“newFile”);
1、双引号和单引号的区别 双引号解释变量，单引号不解释变量 双引号里插入单引号，其中单引号里如果有变量的话，变量解释 双引号的变量名后面必须要有一个非数字、字母、下划线的特殊字符，或者用{}讲变量括起来，否则会将变量名后面的部分当做一个整体，引起语法错误 双引号解释转义字符，单引号不解释转义字符，但是解释'\和\\ 能使单引号字符尽量使用单引号，单引号的效率比双引号要高（因为双引号要先遍历一遍，判断里面有没有变量，然后再进行操作，而单引号则不需要判断） 2、常用的超全局变量(8个) $_GET ----
今天来学习的这个扩展其实现在也已经是标配的一个扩展了，为什么呢？因为 Laravel 框架在安装的时候它就是必须的一个扩展，没有打开它的话，连 Laravel 框架都是无法使用的。
搜索引擎蜘蛛（spider），可简称为蜘蛛，本意为搜索引擎机器人（robot），称为蜘蛛的原因是将互联网比喻成蜘蛛网，将机器人比喻成了在网上爬行的蜘蛛，是搜索引擎自动抓取网页的程序。
随着互联网技术的进步，很多企业都有了属于自己的企业网站，有些企业建立网站不仅要给用户展示企业的形象以及产品介绍，也为做网站的关键词排名来获取用户资源。从事站长行业的小伙伴基本都会遇到这样一个难题，就是网站后台有时会出现大量的IP地址，而这些地址无法辨别真假。那么使用cdn如何获取用户ip？下面一起来看看。
gzip是GNU zip的缩写，它是一个GNU自由软件的文件压缩程序，也经常用来表示gzip这种文件格式。软件的作者是Jean-loup Gailly和Mark Adler。1992年10月31日第一次公开发布，版本号是0.1，目前的稳定版本是1.2.4。
从本文开始，打算写一个系列文章。其主要目的是从xss-labs靶场题解开始来介绍一下XSS攻击。
get_category_link($category->term_id) ：获取category链接
介绍；自幼受贵州大山的熏陶，养成了诚实质朴的性格。经过寒窗苦读，考入BIT，为完成自己的教师梦，放弃IT、航天等工作，成为贵财一名大学教师，并想把自己所学所感真心传授给自己的学生，帮助更多陌生人。
即服务器端请求伪造（Server-Side Request Forgery），是一种网络攻击技术，攻击者利用服务器上的应用程序向任意服务器发起请求或者操作，这些请求可能包括但不限于文件读取、命令执行、端口扫描等。由于这些请求是从服务器内部发起的，因此他们可以绕过服务器的外部访问控制，访问内部网络资源或者执行恶意操作。
1.它们其实是Jother编码，它是一种运用于Javascript语言中利用少量字符构造精简的匿名函数方法对于字符串进行的编码方式，其中少量字符包括"["，"]"，"{"，"}"，"("，")"，"!"，"+"。这些字符就能完成对任意字符串的编码，本质上是一种Javascript的编码，其优点是代码字符就那么几个，比较好记，缺点是编码极其冗长和复杂。这种编码一般现在只会出现在CTF比赛中，实际开发中用的到就很少了。
在我们日常的开发中，经常需要用到判断图片是否存在，存在则显示，不存在则显示默认图片，那么我们用到的判断有哪些呢？今天我们就来看下几个常用的方法：
一、PHP开发部分 1．合并两个数组有几种方式，试比较它们的异同 答：1、array_merge() 2、’+’ 3、array_merge_recursive array_merge 简单的合并数组 array_merge_recursive 合并两个数组，如果数组中有完全一样的数据，将它们递归合并 array_combine 和 ‘+’ ：合并两个数组，前者的值作为新数组的键 2．请写一个函数来检查用户提交的数据是否为整数（不区分数据类型，可以为二进制、八进制、十进制、十六进制数字） 答：其实主要还是is_int和 floor 这个方法
简介： 形成XSS漏洞的主要原因是程序对输入和输出没有做合适的处理，导致“精心构造”的字符输出在前端时被浏览器当作有效代码解析执行从而产生危害。
在 mysql 中，分号 代表一个查询语句的结束，所以我们可以用分号在一行里拼接多个查询语句
PHP程序设计中中文编码问题曾经困扰很多人，导致这个问题的原因其实很简单，每个国家(或区域)都规定了计算机信息交换用的字符编码集，如美国的扩展 ASCII 码, 中国的 GB2312-80，日本的 JIS 等。作为该国家/区域内信息处理的基础，字符编码集起着统一编码的重要作用。字符编码集按长度分为 SBCS(单字节字符集)，DBCS(双字节字符集)两大类。早期的软件(尤其是操作系统)，为了解决本地字符信息的计算机处理，出现了各种本地化版本(L10N)，为了区分，引进了 LANG, Codepage 等概念。但是由于各个本地字符集代码范围重叠，相互间信息交换困难;软件各个本地化版本独立维护成本较高。因此有必要将本地化工作中的共性抽取出来，作一致处理，将特别的本地化处理内容降低到最少。这也就是所谓的国际化(118N)。各种语言信息被进一步规范为 Locale 信息。处理的底层字符集变成了几乎包含了所有字形的 Unicode。
F12找到输入框，发现我们输入的上限只有20个字符，删除或修改为100即可：
在以前的学习当中，比方说有一次的写采集过程中转换字符的编码的时候老是失败，转换的结果总没有完全输出，后来经过网络查询得知是iconv有一个“-”漏洞，所以我们有必要掌握PHP的另一个字符编码函数mb_convert_encoding。 mb_convert_encoding函数为php内部多字节字符串编码转换函数，可以在有需要的使用场合（如：解决在GB2312编码环境下使用Ajax产生的中文字乱码的问题）方便进行编码转换，以解决网页乱码的问题，使用非常方便，效率非常高，几乎支持所有编码。PHP 4 >= 4
requests是python的一个HTTP客户端库，跟urllib，urllib2类似，那为什么要用requests而不用urllib2呢？官方文档中是这样说明的： python的标准库urllib2提供了大部分需要的HTTP功能，但是API太逆天了，一个简单的功能就需要一大堆代码。 我也看了下requests的文档，确实很简单，适合我这种懒人。下面就是一些简单指南。 插播个好消息！刚看到requests有了中文翻译版，建议英文不好的看看，内容也比我的博客好多了，具体链接是：http://cn.python-requests.org/en/latest/(不过是v1.1.0版，另抱歉，之前贴错链接了)。 1. 安装 安装很简单，我是win系统，就在这里下载了安装包（网页中download the zipball处链接），然后$ python setup.py install就装好了。 当然，有easy_install或pip的朋友可以直接使用：easy_install requests或者pip install requests来安装。 至于linux用户，这个页面还有其他安装方法。
输入<script>alert(document.cookie)</script>
SQL Injection：就是通过把SQL命令插入到Web表单递交或输入域名或页面请求的查询字符串，最终达到欺骗服务器执行恶意的SQL命令。
在以前的学习当中，比方说有一次的写采集过程中转换字符的编码的时候老是失败，转换的结果总没有完全输出，后来经过网络查询得知是iconv有一个“-”漏洞，所以我们有必要掌握PHP的另一个字符编码函数mb_convert_encoding。
规范：只要Content-Type设置为application/json的时候，前台的data要传递String字符串
本文将对EmpireCMS(帝国cms)的漏洞进行分析及复现。代码分析这一块主要还是借鉴了大佬们的一些分析思想，这里对大佬们提供的思路表示衷心的感谢。
移动互联网的蓬勃发展绝对离不开二维码的“推波助澜”，一张小小的图片，省去了繁琐的苦逼输入，也拉近了 PC 端和移动端的距离！虽然是东洋人最初发明的，但我还是要给 32 个赞！ 一、意淫场景 2 年前接
开始审计前，先看一下目录结构，判断是否使用框架开发，常见的框架如Thinkphp、Laravel、Yii等都有比较明显的特征
这里是Bugku的CTF题目(主流情况下我一般都只会玩攻防世界的，难度稍微大一些，我之前的笔记分类有详细分成基础篇和高手篇写了writeup，感兴趣的可以去看看) 所用环境以及做题思路只在当时写下writeup时适用，若之后做出改动可与我联系，做出相应更改。 作者：李世荣
首先到github上面下载源码，下载完成后放到站点根目录/var/www/html新建三个数据库
网马的本质是一个特定的网页，这个网页包含了攻击者精心构造的恶意代码，这些恶意代码通过利用浏览器（包括控件、插件）的漏洞，加载并执行攻击者指定的恶意软件（通常是木马）。 网站挂马是黑客植入木马的一种主要手段。黑客通过入侵或者其他方式控制了网站的权限，在网站的Web页面中插入网马，用户在访问被挂马的网站时也会访问黑客构造的网马，网马在被用户浏览器访问时就会利用浏览器或者相关插件的漏洞，下载并执行恶意软件。其本质是利用浏览器和浏览器控件、插件的漏洞，通过触发漏洞获取到程序的执行权限，执行黑客精心构造的shellcode。
CTF在线工具-CTF工具|CTF编码|CTF密码学|CTF加解密|程序员工具|在线编解码 (hiencode.com)
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
实时音视频
对象存储
云直播
