本文由掌控安全学院 - 不是川北 投稿 edu教育证书站之路 0x01 信息收集 通过fofa，子域名收集等相关工具搜索域名 定位到站点：htps://xx..edu.cn/x/xx/ 0x02 寻找...
03月05日18 views评论js
页面
记一次寻找js来文件上传
03月05日18 views评论js
页面
03月05日18 views评论js
页面
API漏洞挖掘
API漏洞挖掘2个例子 正文 第一个漏洞: 在浏览bp历史记录以查看各种请求时，发现一个与组织中用户相关的一些信息 GET /auth/api/v2/users HTTP/2 Host: api.re...
03月05日21 views评论en
organization
CISA发布十大常见网络安全错误配置
美国国家安全局（NSA）和网络安全与基础设施安全局（CISA）在本周五的报告中公布了其红队和蓝队在大型组织网络中发现的十大最常见网络安全误配置。NSA和CISA在安全建议中详细说明了攻击者经常使用哪些...
03月05日13 views评论cisa
网络
红队-二层网络下的域渗透攻防
靶场链接： https://www.codeprj.com/blog/d3ef831.html 靶机的统一初始密码是:1qaz@WSX 这里模拟互联网为192,内网为10.10 外网打点: 通过Ksc...
03月05日14 views评论weblogic
哥斯拉
webshell检测引擎对抗思路
一、引擎的检测思路(个人理解) 静态： 通过样本库，正则匹配规则库等等进行匹配，检测是否命中规则。 动态： 污点标记：常见的传参方式都会被标记为污点入口，如POST，GET。 例如(PHP)：<...
03月05日18 views评论代码
引擎
钓鱼揭秘之谷歌虚假广告钓鱼
By: 耀 事件背景 近日，慢雾安全团队和 Rabby Wallet 团队发现一种利用 Google 广告进行钓鱼的攻击手法。随后，慢雾安全团队联合 Rabby Wallet 团队对该攻击手法展开深入...
03月05日13 views评论地址
钓鱼
某资产管理系统打点过程中的免杀经历
上周，被扔过来单位内部的一个链接，让渗透一下，本以为三下五除二很快就能测完，没想到在对抗杀软时费了一番功夫，再加上杂七杂八的事儿，经过了一个星期才测完(＃￣～￣＃)。打开链接，见到一个熟悉的登录框，是...
03月05日18 views评论webshell
管理系统
浅析常见WEB安全漏洞及其防御措施
扫码领资料获网安教程一 背景概述在网络攻防中，Web系统通常是攻击者的首选目标，攻击者大都通过Web打点的方式，先拿到边界Web服务器的权限，再以此为跳板实施内网横向渗透。由于Web系统通常涉及大量的...
03月05日23 views评论payload
xss
hvv之捡漏的艺术
声明：文中涉及到的技术和工具，仅供学习使用，禁止从事任何非法活动，如因此造成的直接或间接损失，均由使用者自行承担责任。众亦信安，中意你啊！背景：隔一段时间就有师傅问是不是犯事被逮捕了，先给师傅们报个平...
03月05日25 views评论hvv
阿里云
Vulnhub Kioptrix-Level-1
0x01 靶机介绍 Name: Kioptrix: Level 1 (#1) Date release: 17 Feb 2010 Author: Kioptrix Series: Kioptrix W...
03月05日12 views评论exploit
nmap
一次十分详细的漏洞挖掘记录,新思路+多个高危
“cookie中缺少了JSESSIONID，这时候我拿缺少JSESSIONID的包去修改userid居然发现成功了。Cookie变成了万能cookie，可以用于任意用户的信息修改。删除了JSESSIO...
03月05日21 views评论xss
漏洞挖掘
十大常见网络安全错误配置
美国国家安全局（NSA）和网络安全与基础设施安全局（CISA）在本周五的报告中公布了其红队和蓝队在大型组织网络中发现的十大最常见网络安全错误配置。NSA和CISA在安全建议中详细说明了攻击者经常使用哪...
03月05日11 views评论cisa
nsa
5415