任意文件下载漏洞学习笔记
前言本文是初学web安全时写的，有许多地方不够严谨，逻辑上也存在问题，请见谅~ 参考：https://blog.csdn.net/qq_43531669/article/details/116865660 什么是任意文件下载/读取？任意文件读取/下载漏洞（Arbitrary File Read/Download Vulnerability），是指攻击者可以通过某些漏洞，绕过应用程序的限制，直接读取或下载应用程序之外的文件。 这种漏洞通常是由于应用程序没有对用户输入进行充分的验证和过滤而导致的。攻击者可以通过构造恶意的请求来利用该漏洞，从而读取或下载他们本来无权访问的文件，如密码、私钥、证书等，会提供攻击者更多可用信息，提高被入侵的风险。 这里以 Pikachu 靶场的 unsafe filedownload...
任意文件包含漏洞学习笔记
...
XXE学习笔记
前言本文是初学web安全时写的，有许多地方不够严谨，逻辑上也存在问题，请见谅~ XML与HTML的不同与html区别：html表示与数据相关，XML更多用于数据传输、存储 XML结构 123<?xml version="1.0"?>表示版本号，xml处理解析时的规范<Person>...</Person>表示根元素，XML文档需有且仅有一个根元素根元素内有两个赋值的嵌套标签子元素<Name></Name>,<Age></Age> 注意：元素标签名对大小写敏感 上述单独字符不能直接出现，会被错误解析 实体（ENTITIY）ENTITY就像XML中的变量，可以对其进行赋值，在XML文档的其他地方进行引用，实体在XML的文档类型定义部分（DTD）被单独定义描述 XML 文档的根元素通常与 DTD 中定义的根元素名称相匹配 12345678<!DOCTYPE Person [ <!ENTITY name...
