有很多工具是进行URL路径爆破，今天给大家介绍一个对指定路径的参数爆破。 该工具有助于识别可能易受攻击的隐藏参数，或揭示其他测试人员可能错过的有趣功能。它的高精度是通过逐行比较页面、比较响应代码和反射...
04月10日166 views评论x
参数
自动化参数爆破工具
04月10日166 views评论x
参数
04月10日166 views评论x
参数
渗透测试：九头蛇（hydra）密码爆破工具
美国漫威漫画旗下的超级反派组织—hydra（九头蛇），大家对它还有印象吗？ HYDRA是著名组织THC的一款开源的暴力破解密码工具，其功能非常强大的； 密码能否破解的关键，在于字典是否强大以及电脑的性...
04月09日101 views评论ip
密码
实战|JS加密Fuzz&&某银行逻辑漏洞
文章转自 戟星安全实验室侵权请联系删除0x00 前言在WEB渗透测试过程中，遇到burp拦截数据包，内容为加密的情况，绝大部分是由于前端的JS代码对传递的参数进行加密后造成的，这里想了一下为...
04月08日78 views评论fuzz
加密
实战|记一次峰回路转的渗透测试
3月23号，晴，在实验室复现着几天前打的CTF的题目的时候接到了一个hvv通知，在晚上的时候下发了几十个靶标，吃好饭后又回到了实验室去大致看了看靶标，基本是一些门户网站和几个管理系统，看着像若依，于是...
04月05日37 views评论sqlmap
密码
参数提取插件god_param
二开原因：日常做渗透测试时，参数提取至关重要，一个好的参数表。可以拿来结合批量fuzz更多想不到的功能点，且更加好的联动god_link插件。（god_link暂时不放出来）但是找了一圈，找到的参数提...
04月05日158 views评论burp
插件
CNNVD关于Apache OpenOffice参数注入漏洞情况的通报
近日，国家信息安全漏洞库（CNNVD）收到关于Apache OpenOffice 参数注入漏洞（CNNVD-202303-1952、CVE-2022-47502）情况的报送。成功利用漏洞的攻击者，可在...
03月31日安全漏洞22 views评论cnnvd
注入漏洞
Mojarra JSF 反序列化到内存马
某次攻防演练中遇到了一个OA靶标，登录页面为login.jsf，当时并不了解JSF反序列化，还是大哥直接一发payload 打了下来，事后便有了这篇文章。环境搭建使用vulhub的环境，启动容器后将/...
03月27日67 views评论payload
反序列化
盲猜包体对上传漏洞的艰难利用过程
Part1 前言 大家好，本期将会分享一个特殊的上传漏洞的利用案例。很多时候遇到一个存在漏洞的点，只要有一线希望，就不愿意轻言放弃。对一个网站进行测试前，扫描目录和扫描敏感文件是经常使用的方法，有时候...
03月19日28 views评论功能
页面
一次水平越权漏洞的利用
本文记录了一次水平越权的全过程，大致发生了如下：修改post参数，导致越权查看和删除；修改路径（REST风格参数），导致越权修改；修改cookie字段，绕过登录实现未授权访问；越权编辑植入xssPay...
03月19日44 views评论cookie
id
基于python的RPC Fuzz寻找可提权函数
简介 本文主要涉及有SeImpersonatePrivilege时通过pipe管道复制客户端权限的rpc提权漏洞挖掘。 先说rpc，rpc是Remote Procedure Call，windows中...
03月18日41 views评论fuzz
函数
渗透测试之突破口 | 常见打点及漏洞利用
目录web服务突破 一些存在问题的逻辑 JWT攻击手法 注入 XSS CSRF php任意文件读取/下载 php文件包含 XML 命令注入 Xpath注入 SSRF 命令执行 P...
03月17日40 views渗透测试之突破口 | 常见打点及漏洞利用已关闭评论xss
参数
Linux常用系统性能监控命令
转载自工学1号馆链接：http://wuyudong.com/2015/05/22/56.html监控CPU使用率使用下面的命令：[root@localhost ~]# gnome-system-mo...
03月13日21 views评论system
参数
27