RSS订阅 立即发帖
筛选:  最新的 推荐的 热门的

记一次绕过waf的文件上传

在某次渗透测试中，发现了一个通用上传的点，但经过测试发现，该网站存在waf，但是最终绕过waf，成功拿到shell

【Web实战】浅谈PlantUML回显SSRF漏洞（CVE-2023-3432）

PlantUML是一种开源的、用于绘制UML（Unified Modeling Language）图表的工具，对CVE-2023-3432的成因进行分析。

  • 0
  • 0
  • tkswifty
  • 发布于 2023-11-22 09:00:01
  • 阅读 ( 12768 )

【Web实战】浅谈reactor netty httpclient请求解析过程

Reactor Netty HttpClient 是 Reactor Netty 框架提供的一个用于进行异步 HTTP 请求的客户端库。它基于 Reactor 框架，采用响应式编程模型，允许以非阻塞的方式执行 HTTP 请求和处理响应。浅谈其HTTP请求解析过程。

  • 0
  • 0
  • tkswifty
  • 发布于 2023-11-21 10:00:01
  • 阅读 ( 2362 )

【Web实战】零基础微信小程序逆向

本文以微信小程序为例，从实战入手，讲解有关于小程序这种新型攻击面的渗透，对于了解小程序的安全性和防范措施有一定的帮助。

  • 12
  • 8
  • Believer
  • 发布于 2023-11-21 09:00:02
  • 阅读 ( 6829 )

任意用户登录漏洞挖掘思路

任意用户登录漏洞以利用漏洞利用难度低、危害高、奖金高已经成为src/众测漏洞挖掘中的香饽饽，本文将分享一下众测/src中任意用户登录漏洞的挖掘思路。

【Web实战】一次有趣的RCEbypass

在对某樱花国渗透的时候发现一个RCE，经过多次测试后成功绕过限制拿到shell

  • 3
  • 3
  • ZAC安全
  • 发布于 2023-11-17 10:00:01
  • 阅读 ( 3295 )

【Web实战】阿里云手动接管云控制台（保姆级别教程不触发告警）

说到cli接管之前，首先得看明白阿里云官方文档，搞清楚具体流程和官方工具和api的调用方式，链接如下 https://next.api.aliyun.com/document/Ram/2015-05-01/overview

【Web实战】对通达OA11前台RCE的两个漏洞的分析与调优

对通达OA11前台RCE的两个漏洞的分析与调优，本文所涉及漏洞均为互联网上已公开漏洞,仅用于合法合规用途，严禁用于违法违规用途。

  • 0
  • 0
  • zcy2018
  • 发布于 2023-11-16 10:00:00
  • 阅读 ( 2646 )

【Web实战】浅谈Spring中的Controller参数的验证机制

在应用程序的业务逻辑中，数据校验是必须要考虑和面对的事情。应用程序必须通过某种手段保证输入进来的数据是安全可靠的。浅谈Spring中的Controller参数的验证机制。

  • 0
  • 0
  • tkswifty
  • 发布于 2023-11-16 09:00:02
  • 阅读 ( 2324 )

【Web实战】记一次攻防实战绕过登录机制进入后台获取大量敏感数据

某省攻防实战。通过多层绕过。成功不要密码拿下一个后台。包括各个学校账号密码，等相关敏感信息。为后续打下坚实基础

  • 9
  • 8
  • Serein_V
  • 发布于 2023-11-15 10:00:01
  • 阅读 ( 3832 )

【Web实战】钓鱼手法及木马免杀技巧

钓鱼是攻防对抗中一种常用的手段，攻击者通常伪装成可信任的实体，例如合法的机构、公司或个人，以引诱受害者揭示敏感信息或执行恶意操作，能快速地撕破目标的伤口，快速进内网进行刷分，投递木马同时需要考虑逃避杀毒软件检测，本篇文章将围绕一些常见的钓鱼手法和木马免杀对抗展开

  • 11
  • 7
  • hyyrent
  • 发布于 2023-11-15 09:00:02
  • 阅读 ( 5870 )

从零学习AWD比赛指导手册

这是一本能让你从零开始学习AWD并深入AWD的手册

  • 7
  • 2
  • 曾哥
  • 发布于 2023-11-14 10:00:00
  • 阅读 ( 3488 )

【Web实战】先锋马免杀分享

作者:凝 先看效果(文中附源码) 思路 1.shellcode自身免杀 首先cs生成一个bin文件 再没有二开的情况下落地就会死 那么如何处理呢? 可以通过对shellcode进行加密和编码的方式,然后在内存中进行...

  • 14
  • 22
  • ning凝
  • 发布于 2023-11-14 09:43:15
  • 阅读 ( 6784 )

【Web实战】 Atlassian Confluence CVE-2023-22518/22515 Getshell 速通

对 CVE-2023-22518 的一波分析

  • 0
  • 2
  • Nookipop
  • 发布于 2023-11-13 10:07:47
  • 阅读 ( 19109 )

某Cloud系统漏洞分析

最近学习反序列漏洞时，恰好看到某系统官方在安全公告中通告了较多的反序列化漏洞。出于兴趣，尝试对该系统的公开漏洞进行一次个人的浅浅分析。如有不对之处，请各位师傅指正并包涵。

【Web实战】浅析CVE-2023-22518

简单分析下CVE-2023-22518这个高危漏洞，师傅们切记不要再生产环境使用。

  • 0
  • 0
  • SpringKill
  • 发布于 2023-11-10 10:00:01
  • 阅读 ( 18334 )

【Web实战】数据泄露漏洞

随着移动互联网的快速发展和物联网设备的普及，API在应用开发中扮演着越来越关键的角色。几乎所有的APP、web网站、小程序、微服务都依赖API进行数据调用，因此与API相关的数据泄露事件也逐渐增多。Facebook 、Twitter、Amazon、美团等公司均发生过由于API未鉴权、鉴权不严格或其它漏洞而发生大量数据泄露事件。 API安全指的是确保应用程序接口的安全性，以防止未经授权的访问、数据泄露、篡改或其他恶意攻击。

【Web实战】哥斯拉全语言流量分析

哥斯拉是继菜刀、蚁剑、冰蝎之后的又一个webshell利器，这里就不过多介绍了。 GitHub地址：https://github.com/BeichenDream/Godzilla 很多一线师傅不太了解其中的加解密手法，无法进行解密，这篇文章介绍了解密的方式方法，主要补全了网上缺少的ASP流量分析、PHP解密脚本和C#解密脚本。

  • 3
  • 3
  • JKL
  • 发布于 2023-11-09 10:00:01
  • 阅读 ( 16366 )

【Web实战】JetBrains TeamCity 任意代码执行漏洞分析(CVE-2023-42793)

TeamCity 是一款持续集成和软件交付 (CI/CD) 解决方案。该漏洞是由于对服务器 API 的访问控制不足造成的，允许未经身份验证的攻击者访问管理面板。利用该漏洞，攻击者可以通过网络访问 TeamCity 服务器，获取项目源代码，并通过在项目构建任务执行代理上执行任意代码，对基础架构发起进一步攻击。该漏洞可能会给供应商带来不可接受的网络安全事件。

  • 0
  • 0
  • zuoyou
  • 发布于 2023-11-09 09:00:01
  • 阅读 ( 14520 )

【Web实战】一次空白页面的“妙手回春”嘎嘎出严重漏洞

某次企业SRC的一次实战。其中通过信息收集发现了一个站点，这里为内部系统，访问的时候居然直接一片空白，是空白页面。难道空白页面就没有漏洞吗？我就偏偏不信这个邪，上手就是干！

  • 2
  • 5
  • Johnson666
  • 发布于 2023-11-08 10:00:00
  • 阅读 ( 4176 )