令牌 - 第 5 | CN-SEC 中文网

安全研究 | 如何使用Pytmipe实现Windows上的令牌篡改和提权

PYTMIPE & TMIPEPYTMIPE （通过令牌篡改和伪造实现提权的Python库）是一个Python 3库，支持在Windows系统中实现令牌篡改和模拟，最终实现权限提升。TMIPE...

04月24日42 views评论

密码重置漏洞那点事儿

密码重置功能是一些常见漏洞的起因。例如用户名枚举漏洞（数据库中用户名不存在和密码错误显示不同的错误信息），敏感信息泄露（把明文密码通过e-mail发送给用户）重置密码消息劫持（攻击会者接收到密码重置信...

04月02日lcx710 views评论

OAuth2.0认证解析

一、什么是OAuth2.0OAuth是一个关于授权（authorization）的开放网络标准，在全世界得到广泛应用，目前的版本是2.0版。OAuth(开放授权)是一个开放标准。允许第三方网站在用户...

03月02日108 views评论

骇极干货 | 浅谈JWT安全测试

随着分布式系统和移动app的大量使用，通过sessionid进行登录状态管理和权限验证的方法越来越复杂，故基于http header Authorization开始流行。通过Authorization...

12月21日137 views评论

【火绒安全周报】微软否认其云服务遭入侵将强制隔离SolarWinds Orion应用

微软拒绝承认 Microsoft 365 云服务遭入侵据报道，黑客滥用微软的 Microsoft 365 平台对美国财政部进行了长达数月的监控。对此，微软表示其云服务未遭到入侵。随后其发布了 IT 管...

12月19日54 views评论

研究人员如何使用Shhgit搜索GitHub中的敏感数据

ShhgitShhgit能够帮助广大研究人员以近乎实时的方式寻找GitHub（包括Gists）、GitLab和BitBucket提交代码中的敏感数据和敏感文件。实际上，在GitHub中发现敏感数据并不...

10月04日230 views评论

【安全圈】TikTok已修复Android版应用中可能会导致账号被劫持的安全漏洞

TikTok已经修复了其Android应用中的四个安全漏洞，这些漏洞可能会导致用户账号被劫持。应用安全启动公司Oversecure发现了这些漏洞，这些漏洞可能会让同一设备上的恶意应用从TikTok应用...

09月13日181 views评论

美司法提起名事诉讼没收与朝鲜有联系的黑客窃取的资金

美国司法部提起民事没收诉讼，没收了280个比特币（BTC）和以太坊（ETH）帐户，其中包含据称被与朝鲜有联系的黑客窃取的资金美国司法部已提起民事没收诉讼，旨在夺取对280个比特币和以太坊账户的控制权，...

09月01日186 views评论

花里胡哨的拿下了服务器

人人玩棋牌，凑个热闹~~~~开局一张图翻啊翻翻到后台管理盲测 admin/admin admin/123456 仍然没法登录测试admin'and 1=1-- -得嘞，登录框存...

08月26日252 views评论

应用安全：会话防劫持

1. 背景失效的身份认证在OWASP TOP 10 2017版中排名第二，它包括错误使用应用程序的身份认证和会话管理功能，攻击者能够破译密码、密钥或会话令牌或者利用其他开发缺陷来暂时或永久性...

08月14日299 views评论