任务驱动型学习ssti模板注入

前言

ssti服务端模板注入，ssti主要为python的一些框架 jinja2、 mako tornado 、django，PHP框架smarty twig，java框架FreeMarker、jade、 velocity等等使用了渲染函数时，由于代码不规范或信任了用户输入而导致了服务端模板注入，模板渲染其实并没有漏洞，主要是程序员对代码不规范不严谨造成了模板注入漏洞，造成模板可控。

前言

应用程序有时需要调用一些执行系统命令的函数，如在PHP中，使用system、exec、shell_exec、passthru、popen、proc_popen等函数可以执行系统命令。当黑客能控制这些函数的参数时，就可以将恶意的系统命令拼接到正常命令中，从而造成命令执行攻击，这就是命令执行漏洞。

前言

随着网站业务的需求，程序开发人员一般希望代码更灵活，所以将被包含的文件设置为变量，用来进行动态调用，但是正是这种灵活性通过动态变量的方式引入需要包含的文件时，用户对这个变量可控而且服务端又没有做合理的校验或者校验被绕过就造成了文件包含漏洞。文件包含漏洞往往会与其他漏洞一同作用，对我们的web安全造成严重的威胁

前言：

在周末抽空看了一天的爬虫教程，对于静态的网站能利用正则表达等进行简单的爬取，这次主要把重心放到爬取动态页面上，同时对于文件的处理也略有思考，所以在此记录一下

写在前面的话

“别的地方是一块反面的镜子。旅行者能够看到他自己拥有的是何等的少，而他从未曾拥有和永远不会拥有的是何等的多。” ————《看不见的城市》

一直很喜欢卡尔维诺上面的这段话，人生于世，往往难逃诸多羁绊，形骸被拘囿着，心也就随之变得逼仄起来。那么旅行似乎成为了逃离抑或说抽离生活一地鸡毛的唯一选择。
“在路上，永远年轻，永远热泪盈眶。”
我还年轻，仍渴望上路，那么，便出发吧！

前言：

文件上传漏洞刚上手并不难以理解，可他的知识点比较杂乱，往往需要花费较长的时间去搜索资料并理解，笔者也是浏览了不少他人的文章有所感触，所以打算综合一下形成文档，以期对文件上传漏洞能有个系统性的认识并且便于回顾

写在前面的话

今晚终于把博客给搭好了。配置过程中电脑估计已经被我在心里砸了1w遍了…
思索了半天该以什么作为标题，最后还是决定用hello world也就是第一次敲在C语言中的代码开启我的博客生涯。