技術 全系列 DVWA 實作通關總盤點：從漏洞原理到縱深防禦架構

經過了十多天的實作，從最基礎的暴力破解，一路挑戰了SQL注入、命令注入、跨站腳本（XSS 家族）、檔案上傳與前端JavaScript邏輯漏洞。今天作為DVWA實...

技術 DVWA 實作：JavaScript 前端邏輯漏洞與 Client-side 安全盲點

在前面的章節中，我們討論了許多後端處理不當導致的漏洞。今天我們要將視角轉向前端，探討許多開發者常犯的迷思：「在前端用 JavaScript 計算 Token 或...

技術 DVWA 實作：DOM-based XSS（DOM 型跨站腳本）與前端安全防禦

在前面我們陸續學習了Reflected與Stored XSS。今天我們補齊 XSS 的最後一種經典型態：DOM-based XSS（DOM 型跨站腳本攻擊）。...

技術 Web 資安觀念篇：圖形驗證碼（CAPTCHA）的演進與常見設計漏洞

在前面的實作中，我們看到了自動化腳本是如何暴力破解密碼或是撞庫。為了阻止這類攻擊，現代網站幾乎都會加入 CAPTCHA（圖形/行為驗證碼）機制。但有了驗證碼就真...

技術 DVWA 實作：Brute Force（暴力破解漏洞）原理與防禦機制

在前面的章節中，我們介紹了各種利用語法與邏輯漏洞的攻擊手法。今天我們要介紹一個看似最簡單原始、卻極為常見的攻擊管道——Brute Force（暴力破解攻擊）。...

技術 DVWA 實作：File Inclusion原理與路徑穿越攻防

在完成檔案上傳漏洞後，今天我們接著學習常與上傳漏洞搭配的File Inclusion（檔案包含漏洞）。在許多模化開發的Web應用中，開發者常會用一個主頁面（如...

技術 Web 資安觀念篇：15 個常見 Web 漏洞與防禦快問快答

在經過前面的總結以及實作後，今天整理了 15 個在 Web 開發與資安面試中最常被問到的經典問題。 Q1：什麼是SQL Injection？要如何根治？答：當後...

技術 Web資安觀念篇：常見 Web 漏洞總整理與防護金字塔

在連續實作了 Command Injection、SQL Injection、XSS（Reflected & Stored）以及 CSRF 後，我們已經...

技術 DVWA 實作：Stored XSS原理與攻防

與反射型 XSS不同，Stored XSS 的惡意程式碼會被後端伺服器直接寫入資料庫或其他持久化儲存介面。當其他正常使用者或管理員造訪包含該資料的頁面時，伺服器...

技術 DVWA 實作：Reflected XSS原理與攻防

什麼是 XSS？XSS漏洞發生在Web應用程式接收使用者輸入的資料後，未經過適當的過濾或 HTML 轉義（Encoding），就直接將內容渲染回網頁上。這使得...

技術 DVWA 實作：SQL Injection（SQL 注入）原理、探測與攻防

在體驗完Command Injection後，今天我們要深入Web資安最經典、危害也極大的漏洞：SQL Injection。SQL注入漏洞常年佔據OWASP T...

技術 環境建置：使用 Docker 5 分鐘快速部署 DVWA 靶機

在學習Web資安攻防與弱點測試時，我們需要一個安全、隔離且專為測試設計的本地環境，所以今天我們將使用 Docker來快速搭建經典的Web漏洞練習平台——DVWA...

技術 從 CIA 三要素到 OWASP Top 10 漏洞地圖

資訊安全的黃金三角：CIA Triad任何資安防護機制的設計，本質上都是為了維護 CIA 三要素：1.機密性：確保敏感資料（如密碼、信用卡號）僅能被授權使用者...

技術 【開局地端紅隊小白與雲端資安的清晨Punch】Day14 DVWA 使用(Brute Force)

陸、Usage(使用方式)---Brute Force 一、下載Burp Suite Community Burp Suite Community Edit...

技術 【開局地端紅隊小白與雲端資安的清晨Punch】Day13 DVWA 使用(File Uploade Attack)

陸、Usage(使用方式)---File Uploade Attack 參考:Metasploitable 學習筆記-文件上傳漏洞( file upload)...

技術 【開局地端紅隊小白與雲端資安的清晨Punch】Day12 DVWA 使用(SQL injection)

陸、Usage(使用方式) --- SQL injection 參考: DVWA 基礎篇 一、SQL injection 先觀察一般使用情況，再從使用者頁面...

技術 【開局地端紅隊小白與雲端資安的清晨Punch】Day11 DVWA 使用(XSS)

肆、DVWA 官方文件 --- Features 一、DVWA Security 注意: 2015版本已分為: impossible, high, medium...

技術 【開局地端紅隊小白與雲端資安的清晨Punch】Day10 DVWA設定

貳、DVWA環境設置 MySQL 步驟參考: 實戰工作坊 — — DVWA（Damn Vulnerable Web Application）DVWA使用說明參...

技術 【開局地端紅隊小白與雲端資安的清晨Punch】Day9 Docker下載DVWA

壹、Docker下載 一、先用EC2的SSH連線 參考: DAY 20 - 連接到 EC2 instance 並下載 Docker 開啟cmd並且複製s...