全部 - 文章 - 第18页 - 奇安信攻防社区

记某系统SQL注入审计

在复现jeecg历史漏洞时发现了一基于jeecg框架仓库系统，故在此记录一下审计过程。

1
0
中铁13层打工人
发布于 2023-05-29 14:48:37
阅读 ( 4224 )

内网穿透nps的魔改

nps工具是渗透测试过程和红蓝攻防过程中，比较常见的工具，但是nps的工具流量特征比较明显，常常出现落地秒的情况，所以本次主要是简单进行了一下二次开发。遂作了记录。

4
2
Q16G
发布于 2023-05-29 09:00:00
阅读 ( 6037 )

浅谈Spring与安全约束SecurityConstraint

在Java Web应用程序中，可以通过安全约束（Security Constraint）来实现访问控制。在Spring应用中，同样可以通过相应的安全约束进行访问控制，但是各个中间件与Spring两者间是存在一定的解析差异的，在某种情况下可能存在绕过的可能。

1
1
tkswifty
发布于 2023-05-26 09:00:00
阅读 ( 5103 )

JAVA JRMP、RMI、JNDI、反序列化漏洞之间的风花雪月

本文主要内容： 1、讲清楚 java jrmp、rmi、jndi 之间的关联和联系。 2、从原理层面分析java rmi的使用，从而分析为什么会存在反序列化漏洞 3、对java rmi中的常见反序列化漏洞场景根据原理分类，并分析漏洞详情 4、分析JDK版本对反序列化漏洞的影响 5、分析并总结反序列化漏洞的常见修复方案

1
0
Ga0WeI
发布于 2023-05-25 09:00:00
阅读 ( 5158 )

Apache Dubbo （CVE-2023-23638）完整利用及工程化实践

在研究Apache Dubbo的反序列化的漏洞（CVE-2023-23638）的过程中，在漏洞原理、利用等进行探索时，逐渐完整了漏洞的整个利用的流程，发觉这是一个很值得工程化的项目。因此，写下本文记录这个漏洞的完整利用以及工程化流程。

0
0
无糖
发布于 2023-05-24 09:00:00
阅读 ( 5351 )

【pwn】d3ctf2023-d3op

d3op的复现

0
0
patekblue
发布于 2023-05-23 11:07:39
阅读 ( 3365 )

Xposed Api详解到RPC的使用

在日常移动安全工作中，一定会使用 hook ,那使用 hook 一定离不开一款安全工具，那就是 Xposed 。关于 Xposed 的使用，官网列举出上百条的 Api，这样很不利于查找和使用。本文对日常工作中常用的 Xposed Api 进行详解并演示使用方法。最后结合 NanoHttpd 弥补了 Xposed 不能 RPC 的功能。

1
0
bmstd
发布于 2023-05-23 09:00:00
阅读 ( 5216 )

一洞百分-记一次意外的通杀之旅

前言小白初入渗透，想获得一个教育SRC的漏洞证书，觉得某学院是比较好看的，而且只需要10rank，不是很多，对我这个小白很友好，因此就开始了本次的渗透之路（意外的收获了小通杀）。目标搜集...

23
18
quanqi
发布于 2023-05-22 09:27:24
阅读 ( 8779 )

红队工具研究篇 - SliverC2 Stager研究（下）

本文是上一篇的进阶研究部分，分别介绍三种更加高级的构造 Stager 方法，包括AES加密、使用PowerShell 反射式加载以及利用进程注入技术。其中在“快速上手”部分都给了完整代码，只要修改参数即可直接上手使用。

4
1
xigua
发布于 2023-05-22 09:00:00
阅读 ( 4827 )

红队工具研究篇 - SliverC2 Stager研究（上）

本文介绍 Sliver Stager ，由浅入深从原理概念、使用介绍再到三种自定义编写 Stager 的方法，此外还有执行效果演示、通信流量分析和两种免杀尝试的技术分享。

2
1
xigua
发布于 2023-05-19 14:46:17
阅读 ( 6050 )

通过分析前端js引发的SQL注入fuzz绕过代码层面和waf层面的双重防御

从js入手，审计js找到接口到直接将管理员的用户名和密码写在了上面，发现还是弱口令，最后成功登录进去测试每个功能点发现存在SQL注入后进行fuzz绕过代码层面和waf层面的双重防御。

3
3
Johnson666
发布于 2023-05-18 09:00:02
阅读 ( 4875 )

BootstrapAdmin .Net 代码审计

本篇文章中的所有发现的相关漏洞已提交 Issues 或通知仓库拥有者本人。此前审计过PHP、JAVA的CMS，这次尝试审计使用.NET Core开发的Web网站。这个不是传统的.NET WEB FRAMEWORK，因此我们没有看到项目中存在的Asp、Aspx等动态网页文件。紧随我的脚步，让我们一起感受代码审计的魅力。