Web标准安全性研究:对某数字货币服务的授权渗透
Web标准安全性研究:对某数字货币服务的授权渗透
2019-09-20  
表面下,现代Web只有通过不断增长的技术标准才能实现。Web标准是最广泛采用和快速发展的标准之一,其变化也经常引起浏览器供应商,Web开发人员和用户之间的激烈争论。
WEB安全 已有 58086 人围观 ,发现 2 个不明物体
冰蝎动态二进制加密WebShell特征分析
冰蝎动态二进制加密WebShell特征分析
2019-09-20  
冰蝎一款新型加密网站管理客户端,在实际的渗透测试过程中有非常不错的效果。
WEB安全 已有 107882 人围观 ,发现 8 个不明物体
记一次内部系统渗透测试:小漏洞组合拳
记一次内部系统渗透测试:小漏洞组合拳
2019-09-17  
这篇文章主要说的是我在这次内部测试的任务中,如何一步步获取应用系统最高权限,总的来说,是各种小漏洞的组合拳。
WEB安全 已有 236402 人围观 ,发现 49 个不明物体
抽象语法树分析寻找FastJSON的Gadgets
抽象语法树分析寻找FastJSON的Gadgets
2019-09-16   +20
本文简单构建了一个判断模型,去尝试寻找FastJSON 的gadgets。
WEB安全 已有 497973 人围观 ,发现 9 个不明物体
玩转Ysoserial-CommonsCollection的七种利用方式分析
玩转Ysoserial-CommonsCollection的七种利用方式分析
2019-09-16  
CommonsCollection在java反序列化的源流中已经存在了4年多了,本文旨在整合分析一下ysoserial中CommonsCollection反序列化漏洞的多种利用手段。
WEB安全 已有 66927 人围观 ,发现 3 个不明物体
当SQL注入遇到诡异的编码问题
当SQL注入遇到诡异的编码问题
2019-09-12  
最近给甲方爸爸做渗透测试时发现了一个诡异的SQL注入,之所以说诡异,是因为该系统数据库连接编码与实际的数据库编码不一致,并且数据库表字段名使用了中文的字段名,导致通过正常手段无法获取到数据库数据。
WEB安全 已有 113599 人围观 ,发现 22 个不明物体
继续聊聊梦里的那点事儿(下)
继续聊聊梦里的那点事儿(下)
2019-09-12  
经验告诉我,此类网站的管理员往往缺乏安全防护意识。比较容易下手的一般是职能比较偏僻、群众一般不会接触到,但确实存在的网站。
WEB安全 已有 136564 人围观 ,发现 21 个不明物体
HTTP被动扫描代理的那些事
HTTP被动扫描代理的那些事
2019-09-10  
HTTP 代理这个名词对于安全从业人员应该都是熟知的,我们常用的抓包工具 burp 就是通过配置 HTTP 代理来实现请求的截获修改等。然而国内对这一功能的原理类文章很少,有的甚至有错误。
WEB安全 已有 142080 人围观 ,发现 15 个不明物体
挖洞经验 | 谷歌peering.google.com中的本地文件包含(LFI)漏洞
挖洞经验 | 谷歌peering.google.com中的本地文件包含(LFI)漏洞
2019-09-10  
本地文件包含漏洞(LFI)可以造成信息泄露甚至入侵系统,即使其中的包含代码不具备执行权限,但攻击者也可以从中获取一些深入渗透目标系统的有价值信息。
WEB安全漏洞 已有 90104 人围观 ,发现 3 个不明物体
梦里参加攻防演习活动的过程分享(上)
梦里参加攻防演习活动的过程分享(上)
2019-09-09  
随着国家对网络安全的进一步重视,攻防演练活动变得越来越重要,规模也更大。高强度的演习让无论是蓝方还是红方都变得精疲力竭,借用朋友圈里一位大佬的一句话:结束的这一天,安全圈的氛围像过年了一样。
WEB安全漏洞 已有 899989 人围观 ,发现 37 个不明物体
挖洞经验 | 通过购物车参数篡改实现低价免费购买商品
挖洞经验 | 通过购物车参数篡改实现低价免费购买商品
2019-09-09  
本文分享的Writeup是某流行电子商务购物网站的一个参数篡改漏洞(Parameter Tampering),作者利用该漏洞可以更改购物车中商品数量为负数,通过最终的正负支付金额平衡,实现以最低价格甚至是免费方式购物。
WEB安全漏洞 已有 108698 人围观 ,发现 10 个不明物体
挖洞经验 | 从Youtube的视频ID和频道ID中发现漏洞
挖洞经验 | 从Youtube的视频ID和频道ID中发现漏洞
2019-09-08  
大家好,今天分享这篇Writeup是关于Youtube的两个漏洞,确切来说,是Youtube Studio平台(https://studio.youtube.com/)漏洞。
WEB安全漏洞 已有 86474 人围观 ,发现 3 个不明物体
漏洞扫描技巧之Web漏洞扫描器研究
漏洞扫描技巧之Web漏洞扫描器研究
2019-09-07  
之前我们简单介绍了一下扫描器中爬虫的部分,接下来将继续介绍一下扫描器中一些我们认为比较有趣的技巧。
WEB安全 已有 99988 人围观 ,发现 3 个不明物体
挖洞经验 | 绕过WAF限制利用php:方法实现OOB-XXE漏洞利用
挖洞经验 | 绕过WAF限制利用php:方法实现OOB-XXE漏洞利用
2019-09-06  
作者在某个OOB-XXE漏洞测试中遇到过这样一种场景:目标应用后端系统WAF防火墙阻挡了包含DNS解析在内的所有出站请求(Outgoing Request),通过利用php://filter//的封装协议,作者成功实现了OOB-XXE漏洞测试。
WEB安全漏洞 已有 83182 人围观 ,发现 1 个不明物体
挖洞经验 | 从谷歌防灾地图服务发现Google.org的XSS和Clickjacking漏洞
挖洞经验 | 从谷歌防灾地图服务发现Google.org的XSS和Clickjacking漏洞
2019-09-04  
除了谷歌地图之外,可能很少有人知道谷歌的在线防灾地图(Google Crisis Map),它创建于2012年,Web架构更新缓慢,网站访问量相对较少。
WEB安全漏洞 已有 69328 人围观 ,发现 4 个不明物体
使用Google进行批量SQL注入扫描
使用Google进行批量SQL注入扫描
2019-08-30   +20
在使用GoogleHack进行SQL注入点查询时,手工的方法一般为通过谷歌语法的inurl判断是否存在动态查询参数,然后对查询的网站url进行手工判断是否存在SQL注入漏洞,如or 1=1 , or 1=2, 加单引号等方式。
WEB安全 已有 211382 人围观 ,发现 14 个不明物体

最新话题

活动预告

css.php