0x24bin's Blog

原文链接：https://blog.appsecco.com/a-penetration-testers-guide-to-sub-domain-enumeration-7d842d5570f6 前言 作为一名渗透测试人员，或者说一个漏洞赏金猎人，一般情况下，当您进行安全测试时，您将获得一个或一组域名。您必须进行广泛的信息搜集，以找到有用的信息，如服务器，Web应用程序，属于目标组织的域等，从而增加您找到漏洞的机会。 我们撰写了一篇关于技术博文(https://blog.appsecco.com/...

Login CSRF + DOM-XSS + unsafe URL redirect = ATO 在最近参与的一次对站点A的众测中，我发现A可以使用QQ账号进行登陆。在过去的几个月里，我发现了大量关于OAuth登陆劫持的漏洞，如果你有兴趣，可以参考：OAuth回调参数漏洞案例解析 尽管我相信目标A已经不存在OAuth登陆劫持漏洞（因为QQ已经在redirect_uri参数上做了强校验），但是我仍打算对它的登陆流程一探究竟。 下面，我以A.com代表目标A的域名来...

0x00 没有开头 0x01 文章参考 0x00 没有开头 环境部署安排一下  bt一键部署：配合泛解析域名，轻松部署环境 漏洞复现 qq.com为vuln host http://qq.com/?s=index/\think\app/invokefunction&function=call_user_func_array&vars[0]=system&vars[l][]=id //5.1 http://qq.com/?s=index/\think\Request/input&filter=phpinfo&data=1 http://qq.com/?s=index/\think\template...

Author: sm0nk@猎户攻防实验室 行文仓促，不足之处，还望大牛指正。 1 事件分类 常见的安全事件： Web入侵：挂马、篡改、Webshell 系统入侵：系统异常、RDP爆破、SSH爆破、主机漏洞 病毒木马：远控、后门、勒索软件 信息泄漏：脱裤、数据库登录（弱口令） 网络流量：频繁发包、批量请求、DDOS攻击 2 排查思路 一个常规的入侵事件后的系统排查思路： 文件分析 ​a) 文件日期、新增文件、可疑/异常文件、...

作者：bit4@勾陈安全 0x00 背景简介 本文是自己对一次反序列化漏洞的发现和修复过程，如有错误请斧正，大神请轻喷。 目标应用系统是典型的CS模式。 客户端是需要安装的windows桌面程序，但是它是大部分内容都是基于Java开发（安装目录有很多Jar包）。 服务端是基于Jboss开发。 客户端和服务端之间的通信流量是序列化了的数据流量。客户端接收和解析数据流量的模式和服务端一样，也是通过http服务，它在本地...

XSS又称CSS，全称Cross SiteScript，跨站脚本攻击，是Web程序中常见的漏洞，XSS属于被动式且用于客户端的攻击方式，所以容易被忽略其危害性。其原理是攻击者向有XSS漏洞的网站中输入(传入)恶意的HTML代码，当其它用户浏览该网站时，这段HTML代码会自动执行，从而达到攻击的目的。如，盗取用户Cookie、破坏页面结构、重定向到其它网站等。 XSS攻击 XSS攻击类似于SQL注入攻击，攻击之前，我们先找到一个存在X...

2018年9月1日，阿里云态势感知发布预警，近日利用ECShop全系列版本的远程代码执行漏洞进行批量化攻击量呈上升趋势，该漏洞可直接导致网站服务器沦陷，黑客可通过WEB攻击直接获得服务器权限，利用简单且危害较大。因此，阿里云安全专家提醒ECShop系统用户及时进行修复。 —— ECShop全系列版本远程代码执行高危漏洞分析 本文我们将使用 VulnSpy 的在线 ECSHOP 环境对漏洞进行复现和利用演示。 点击右上方 STA...

SQL INJECTION SQL Injection is one of the many web attack types, an attacker can send request with malicious SQL statements then executed by database server. A successful SQL injection exploit Attacker can read sensitive data from the database, modify database data (Insert/Update/Delete), execute administration operations on the database (such as shutdown the DBMS), read/wri...

背景 邮箱伪造技术，可被用来做钓鱼攻击。 即伪造管理员或者IT运维部等邮箱发邮件，获取信任使对方打开附带的木马文件或者回复想要获取的敏感资料等。在APT攻击中常用手段之一，结合office、flash漏洞，进行水坑攻击。 首先，如何验证邮件伪造？ 解决对邮件伪造的疑惑，这里有一个在线的测试网站：https://emkei.cz/ 。可以尝试使用这个网站测试发送一封邮件给自己。例如：检测说a.com存在邮件伪造漏洞。那...