cookie | 易学教程

Sqlmap学习笔记（二）

阅读更多关于 Sqlmap学习笔记（二）

Sqlmap设置Http请求参数 --cookie：指定cookie信息，用来代理登陆状态，如果站点目标URL需要登陆之后才能访问，那么在使用sqlmap对目标URL进行扫描时需要将登陆后的cookie一并带过去，不然sqlmap的扫描有可能会被重定向到登陆页面，或者没有访问该接口的权限 --method：指定http请求方式，如POST、GET、DELETE、PUT等 --data：POST请求所携带的参数，如果指定了这个选项，那么请求方式默认是POST --param-del：GET或POST参数默认分隔符，默认是&，如果设置成“,”，那么GET参数格式为 ?id=1;name=张三， POST请求方式需要通过配合--data选项来设置 --data="id=1;name=张三" --level：测试的安全等级(1-5, 默认1)，值越大，扫描深度越大 -p：要测试的参数如要扫描的url为： http://test.dvwa.com/vulnerabilities/sqli/?id=1&Submit=Submit# 可以只扫描id参数，通过-p指定，多个字段用逗号分隔 sqlmap -u "http://test.dvwa.com/vulnerabilities/sqli/?id=1&Submit=Submit#" --cookie

Django开发常用方法及面试题

阅读更多关于 Django开发常用方法及面试题

对Django的认识？ 1.Django是走大而全的方向，它最出名的是其全自动化的管理后台：只需要使用起ORM，做简单的对象定义，它就能自动生成数据库结构、以及全功能的管理后台。 2.Django内置的ORM跟框架内的其他模块耦合程度高。应用程序必须使用Django内置的ORM，否则就不能享受到框架内提供的种种基于其ORM的便利；理论上可以切换掉其ORM模块，但这就相当于要把装修完毕的房子拆除重新装修，倒不如一开始就去毛胚房做全新的装修。 3.Django的卖点是超高的开发效率，其性能扩展有限；采用Django的项目，在流量达到一定规模后，都需要对其进行重构，才能满足性能的要求。 4.Django适用的是中小型的网站，或者是作为大型网站快速实现产品雏形的工具。 5.Django模板的设计哲学是彻底的将代码、样式分离； Django从根本上杜绝在模板中进行编码、处理数据的可能。 """ 测试代码 """ Django 、Flask、Tornado的对比 1.Django走的是大而全的方向,开发效率高。它的MTV框架,自带的ORM,admin后台管理,自带的sqlite数据库和开发测试用的服务器给开发者提高了超高的开发效率 2.Flask是轻量级的框架,自由,灵活,可扩展性很强,核心基于Werkzeug WSGI工具和jinja2模板引擎 3.Tornado走的是少而精的方向

爬虫3

阅读更多关于爬虫3

""" 操作selenium的时候，先写一点，再按照它打开的浏览器写找到内容，因为我的浏览器可能是保存密码等设置过，和他的界面不一样！！查找的时候，有id尽量找id 操作selenium命令如下点击click() 各种通过id，text，class查找等输入.send_keys(）获取cookie：get_cookies() """ selenium的查找方式显示等待和隐士等待 #显示等待和隐示等待 #隐式等待:在查找所有元素时，如果尚未被加载，则等10秒（针对所有） # browser.implicitly_wait(10) 表示等待所有， #显式等待：显式地等待某个元素被加载(针对局部,可能要写多个) # wait=WebDriverWait(browser,10) # wait.until(EC.presence_of_element_located((By.ID,'content_left'))) from selenium import webdriver import time bro=webdriver.Chrome() bro.get("http://www.baidu.com") bro.implicitly_wait(10) # 1、find_element_by_id 根据id找 # 2、find_element_by_link_text

一文彻底搞懂Cookie、Session、Token到底是什么

阅读更多关于一文彻底搞懂Cookie、Session、Token到底是什么

> 笔者文笔功力尚浅，如有不妥，请慷慨指出，必定感激不尽 Cookie 洛：大爷，楼上322住的是马冬梅家吧？大爷：马都什么？夏洛：马冬梅。大爷：什么都没啊？夏洛：马冬梅啊。大爷：马什么没？夏洛：行，大爷你先凉快着吧。在了解这三个概念之前我们先要了解HTTP是无状态的Web服务器，什么是无状态呢？就像上面夏洛特烦恼中经典的一幕对话一样，一次对话完成后下一次对话完全不知道上一次对话发生了什么。如果在Web服务器中只是用来管理静态文件还好说，对方是谁并不重要，把文件从磁盘中读取出来发出去即可。但是随着网络的不断发展，比如电商中的购物车只有记住了用户的身份才能够执行接下来的一系列动作。所以此时就需要我们无状态的服务器记住一些事情。那么Web服务器是如何记住一些事情呢？既然Web服务器记不住东西，那么我们就在外部想办法记住，相当于服务器给每个客户端都贴上了一个小纸条。上面记录了服务器给我们返回的一些信息。然后服务器看到这张小纸条就知道我们是谁了。那么 Cookie 是谁产生的呢？Cookies是由服务器产生的。接下来我们描述一下 Cookie 产生的过程浏览器第一次访问服务端时，服务器此时肯定不知道他的身份，所以创建一个独特的身份标识数据，格式为 key=value ，放入到 Set-Cookie 字段里，随着响应报文发给浏览器。浏览器看到有 Set-Cookie

php手记之07-tp5 cookie与session

阅读更多关于 php手记之07-tp5 cookie与session

ThinkPHP采用 01-think\facade\Cookie类提供Cookie支持。 02-think\Cookie 配置文件位于 config/cookie.php中，一般会配置一个超时时间。 # 设置 // 设置Cookie 有效期为 3600秒 Cookie::set('name','value',3600); cookie('name', 'value', 3600); // 设置Cookie 有效期为 3600秒 Cookie::set('name','value',3600); // 设置cookie 前缀为think_ Cookie::set('name','value',['prefix'=>'think_','expire'=>3600]); // 支持数组 Cookie::set('name',[1,2,3]); # 判断是否存在 Cookie::has('name'); cookie('?name') # 获取 Cookie::get('name'); cookie('name'); # 删除 Cookie::delete('name'); cookie('name', null); // 清空指定前缀的cookieCookie::clear('think_');// 清除 cookie(null, 'think_');如果不指定前缀，不能做清空操作

dvwa-xss

阅读更多关于 dvwa-xss

xss，前几天做实验做过了，还是再弄一遍巩固一下，明天开始刷题，真开心 0x00 简介它是通过对网页注入可执行代码且成功地被浏览器执行，达到攻击的目的，形成了一次有效XSS攻击，一旦攻击成功，它可以获取用户的联系人列表，然后向联系人发送虚假诈骗信息，可以删除用户的日志等等，有时候还和其他攻击方式同时实施比如SQL注入攻击服务器和数据库、Click劫持、相对链接劫持等实施钓鱼，它带来的危害是巨大的，是web安全的头号大敌。 emmm，包括了概念，为什么会产生xss，如何利用xss进行攻击，以及xss造成的后果，后面有一段代码写的过滤器，有时间再来看： https://www.cnblogs.com/shawWey/p/8480452.html 0x01 dvwa实战一、xss reflected 1、low <script>alert(/xss/)</script> 弹框：可利用document.cookie得到用户的cookie,输入<script>alert(document.cookie)</script> 2、medium echo 'Hello ' . str_replace('<script>', '', $_GET['name']); 过滤了script标签，重写绕过，<sc<script>ript>alert(document.cookie)<

Cookie不能保存中文的解决办法

阅读更多关于 Cookie不能保存中文的解决办法

假设a.jsp是客户端，b.jsp是客户端，c.jsp是服务端现在要做的就是客户端在a.jsp页面提交表单信息到服务端c.jsp,c.jsp再将表单信息保存到cookie中，并转发或者重定向到b.jsp客户端，这样就达到了我们将服务端生成的cookie保存到客户端的作用，但是中文输入保存cookie时会报错 <%@ page language="java" contentType="text/html; charset=UTF-8" pageEncoding="UTF-8" import="java.net.URLDecoder"%> <!DOCTYPE html> <html> <head> <meta charset="UTF-8"> <title>客户端a页面</title> </head> <body> <% String uname=""; Cookie[] cookies = request.getCookies(); if(cookies!=null) for(Cookie cookie:cookies){ if("uname".equals(cookie.getName())){ //客户端获取cookie 后解码 uname= URLDecoder.decode(cookie.getValue(), "UTF-8"); } } %> <form

12Flask的session

阅读更多关于 12Flask的session

Flask的session使用在使用session之前必须现在设置一下密钥 Copyapp.secret_key="asdas" #值随便除请求对象之外，还有一个 session 对象。它允许你在不同请求间存储特定用户的信息。它是在 Cookies 的基础上实现的，并且对 Cookies 进行密钥签名要使用会话，你需要设置一个密钥。 (app.session_interface对象) Copy设置：session['username'] ＝ 'xxx' #在django中发什么三件事，1，生成一个随机的字符串 2 往数据库存 3 写入cookie返回浏览器 #在flask中他没有数据库，但session是怎样实现的？ # 生成一个密钥写入这个cookie,然后下次请求的时候，通过这个cookie解密，然后赋值给session #我们通过app.session_interface来查看删除：session.pop('username', None) app.session_interface中save_session的参数（设置cookie的参数） Copykey, 键 value='', 值 max_age=None, 超时时间 cookie需要延续的时间（以秒为单位）如果参数是\ None`` ，这个cookie会延续到浏览器关闭为止 expires=None, 超时时间

会话攻击

阅读更多关于会话攻击

一、会话攻击主要类型 1. 会话固化（图来自《PHP应用程序安全编程》）攻击者首先构造一个值，然后以某种方式引导用户以该值作为会话ID去请求目标网站，例如点击一个链接...?PHPSESSID=123456，如果用户登录时网站直接使用这个值作为登录后的会话ID，那么黑客就可以使用这个值作为会话ID请求目标网站，从而得到用户的信息数据，并可以利用合法用户的身份做一些事情。 2. 会话劫持（图来自《PHP应用程序安全编程》）攻击者通过一些非常规手段获取合法用户的会话ID，比如XSS，然后使用合法用户的会话ID访问目标网站。 3. 会话注入如果目标网站允许将用户输入保存在会话变量中，而又没有做足够安全的输入验证，则会引发注入攻击。二、会话攻击防御 1. 设置只能通过cookie传递会话ID，预防基于URL的攻击。这样可以防止黑客引导用户通过链接传递会话ID，进行会话固化攻击。（PHP设置为session.use_only_cookie=1） 2. 设置cookie的http_only为true，不允许通过客户端脚本访问cookie，防止cookie被XSS读取从而引起会话劫持。 3. 当用户登录的时候，重新生成新的会话ID，创建一个新的会话文件并删除旧的会话文件。这样可以预防会话固化攻击。（PHP调用session_regenerate_id()函数） 4. 加入会话过期机制

day11 session&cookie

阅读更多关于 day11 session&cookie

jsp: java server page 运行在服务器端的页面。本质就是servlet. 运行流程： jsp(第一次访问) -------> .java ------->.class ------->运行 JSP中的脚本： <% java内容%> <%=表达式%> <%! 内容 %> 该脚本包裹的内容会出现在类定义中。 jsp脚本注释： <%-- 注释内容 --%> //该注释和html注释的区别是，该注释不会出现在.java文件中，而html会出现在.java文件中 cookie: cookie和session都属于会话技术。 cookie的创建，发送，获得，设置过期时间： cookie的路径问题: cookie中主机问题(了解): *cookie的默认主机就是发送cookie资源所在的主机 *主机用处: 如果cookie需要发送,那么主机也必须符合. *主机的手动控制: 理论上可以手动控制. 主机的设置不允许设置发送cookie资源所在主机以外的其他主机. //cookie.setDomain("www.baidu.com"); //不允许 //cookie.setDomain("localhost"); // localhost => 特殊的主机 =>不能设置 cookie.setDomain(".baidu.com");//如果我们当前主机是 www.baidu.com

订阅 cookie