Web渗透思路及src漏洞挖掘思路
本内容系统讲解Web渗透测试思路，涵盖系统、网站、App及服务层面的渗透技术，包括漏洞探测工具使用、CMS系统分析、开发框架识别等，并介绍了SRC漏洞挖掘及CNVD证书提交流程，助力网络安全学习与实践。
web渗透-文件包含漏洞
文件包含漏洞源于程序动态包含文件时未严格校验用户输入，导致可加载恶意文件。分为本地和远程包含，常见于PHP，利用伪协议、日志或session文件可实现代码执行，需通过合理过滤和配置防范。
Web渗透-命令执行漏洞-及常见靶场检测实战
命令执行漏洞（RCE）指应用程序调用系统命令时，用户可控制输入参数，导致恶意命令被拼接执行，从而危害系统安全。常见于PHP的system、exec等函数。攻击者可通过命令连接符在目标系统上执行任意命令，造成数据泄露或服务瘫痪。漏洞成因包括代码层过滤不严、第三方组件缺陷等。可通过参数过滤、最小权限运行等方式防御。本文还介绍了绕过方式、靶场测试及复现过程。
web渗透-反序列化漏洞
序列化是将对象转为可传输字符串的技术，便于存储与传输。PHP通过serialize/unserialize实现，Java通过Serializable接口和ObjectOutputStream完成。文中还介绍了反序列化漏洞在安全测试中的利用方法及CTF实战案例。