一枚冗余代码的 webshell 分析 排查服务器告警的时候发现了一条 ThinkPHP RCE 的攻击尝试，引发了对一个 webshell 的分析 2020-02-28 过程记录 工具 Web PHP
Linux OS 命令注入指北 当应用需要调用一些外部程序去处理的情况下，就会用到一些执行系统命令的函数，这些函数将字符串当做参数传递给 shell 来当做系统命令来执行，若用户可以控制参数，就有可能通过 OS 命令注入来执行任意命令。 2019-05-13 经验总结 Linux Web 注入
OWASP Top10 系列之 OS 命令注入 OWASP Top10 系列 - 注入 - OS 命令注入。由于个人原因，我目前为止只关注类 Linux 系统的命令注入。 2019-05-13 经验总结 Web OWASP Top10
XPath 注入指北 XPath 是一门在 XML 文档中查找信息的语言，类比来看， XML 为数据库，XPath 为 SQL语言，用于查询数据。有查询嘛，十有八九就有注入的方式。 2019-05-11 经验总结 Web 注入 XPath
Python 沙箱逃逸的经验总结 让用户提交 Python 代码并在服务器上执行，是一些 OJ、量化网站重要的服务，很多 CTF 也有类似的题。为了不让恶意用户执行任意的 Python 代码，就需要确保 Python 运行在沙箱中。沙箱经常会禁用一些敏感的函数，例如 os，研究怎么逃逸、防护这类沙箱还是蛮有意思的。 2019-05-06 经验总结 Python Web
