渗透与安全

跨站脚本（cross site script）为了避免与样式css混淆，所以简称为XSS。 XSS是一种经常出现在web应用中的计算机安全漏洞，也是web中最主流的攻击方式。那么什么是XSS呢？

简单一句话，为了更好地使用代码的重用性，引入了文件包含函数，可以通过文件包含函数将文件包含进来，直接使用包含文件的代码。 在包含文件时候，为了灵活包含文件，将被包含文件设置为变量，通过动态变量来引入

文件上传漏洞是指由于程序员未对上传的文件进行严格的验证和过滤，而导致的用户可以越过其本身权限向服务器上上传可执行的动态脚本文件。这里上传的文件可以是木马，病毒，恶意脚本或者WebShell等。这种攻击

在owasp 漏洞 top 10 中，注入漏洞常年位居榜首。注入漏洞可谓是网站安全隐患的头号大敌。 什么是注入漏洞：攻击者把一些包含攻击代码当做命令或者查询语句发送给解释器，这些恶意数据可以欺骗解释

中华人民共和国网络安全法 阅读本文前，请熟读并遵守中华人民共和国网络安全法： 在proxy中通过action将一个请求发送到repeater模块， 在重放模块中，可以通过调整，各种登陆参数，达到攻击

网站扫描是信息收集的重要部分 dirbuster，通过暴力枚举的方式，发现网站存在的敏感文件或路径 网站扫描还可以使用御剑

网络空间资产检索系统（FOFA）是世界上数据覆盖更完整的IT设备搜索引擎，拥有全球联网IT设备更全的DNA信息。探索全球互联网的资产信息，进行资产及漏洞影响范围分析、应用分布统计、应用流行度态势感知等

一般的网络攻击在发起之前，都会进行信息收集，并且搭建代理以隐藏自己的ip Wappalyzer 是一款信息收集的google浏览器插件，可以直接在谷歌商店中下载安装，如果无法访问google，看代理服

msf（The Metasploit framewok）是一个免费的、可下载的框架，通过它可以很容易地获取、开发并对计算机软件漏洞实施攻击。它本身附带数百个已知软件漏洞的专业级漏洞攻击工具。

阅读本文前，请熟读并遵守中华人民共和国网络安全法 ettercap 是一款中间人攻击工具 它能够进行arp欺骗，dns劫持等常见的中间人攻击

xhydra（x九头蛇）一款支持多协议的账户，密码，口令的爆破软件 我们只需要在kali的终端中输入xhydra，就可以使用xhydra了

如今的时代，不是是美国的时代，更不是资本主义的时代， 而是信息化的时代，更是网络时代， 但当下，不是勒索病毒，就是ddos，可谓黑客猖獗 我辈网络人，怎能视而不理，保护网络，保护国家安全，从我做