0x01 前言每年blackhat总是会有一些新奇的攻击思路值得大家学习,在2024年blackhat的议题中发现一篇很有意思的文章,作者提出了一套基于邮箱的欺骗攻击思路,利用RFC标准中对SMTP协...
单端点条件竞争重置邮箱用户密码漏洞
前言 Burp上线新的靶场啦~但是外国人都好卷,白天没时间玩,目前第十三名 ?单端点竞争-通过邮箱重置密码 Lab: Single-endpoint race conditions ?实验前置必要知识...
司稽 v6.3.0 开启信使邮件通知
司稽 6.3 - 邮件通知功能 安全尽在掌握,让你服务器每天早上准时送达安全情况。 信使 信使服务是永恒之锋开发的一款用于自动化邮件通知的客户端程序 功能设定 将每天定时任务导出的html报告发送至你...
社会工程学:心理陷阱与信息搜集的艺术
社工简介 社会工程学(Social Engineering)简称社工,它是通过对受害者心理弱点、本能反应、好奇心、信任、贪婪等心理陷阱进行欺骗、伤害的一种危害手端。 社会工程学经常被Hacker运用在...
临时匿名邮箱
0.前言 昨天在会员群和师傅讲起安全圈最受欢迎的就是各类打包、封装的工具,例如把各个工具集合在一起做工具箱,工具集合在一起做虚拟机,又或者把公开/非公开的API写成GUI/命令行,再或者把poc/ex...
[原创工具] github数据和cnnvd爬取
这是个cnnvd和github爬取的工具 首先讲下它的配置和运行 如何配置 保存一个配置文件,比如/root/config.yaml 配置文件内容 Config: proxy: 代理,使...
实战案例(3):OWASP Top 10 2021 失效的机密性 1-10
目录案例一:GitHub泄露源代码案例二:GitHub泄露源代码案例三:网站备份文件泄漏源代码案例四:网站备份文件泄漏源代码案例五:社工库泄漏个人帐号密码案例六:社工库泄漏个人帐号密码案例七:社工库泄...
[反钓鱼实践] 韩兴强和张孟超,叔叔找你
大早上就收到一封钓鱼邮件:直接右键查看源码,发现攻击者发送邮件的域名iwobgqw.cn,对应IP:139.155.15.138(中国 四川 成都 腾讯云),通过Supermailer发送,同时还有一...
实战案例(2):OWASP Top 10 2021 失效的访问控制 1-10
目录 案例一:越权重置密码 案例二:越权查看收货地址 案例三:越权查看公积金明细 案例四:越权查看个人简历 案例五:未授权注册帐号 案例六:未授权访问后台地址 案例七:未授权导出帐号密码 案例八:未授...
xshell中国代理商思杰马克丁是如何确切知道你们员工在未授权使用他们产品的?
xshell系列软件的中国代理商是苏州思杰马克丁软件有限公司,估计有点规模的公司都接到过这家公司发过来的律师函或者警告邮件,说你们公司未授权使用了他们的xshell,xftp,xmanager,xlp...
敏感信息清理、供应链安全风险排查
敏感信息清理操作建议(如果内网被攻破,攻击方会到处去翻查对自己有用的信息):1.个人电脑、个人管理的服务器、个人网盘、个人的公网邮箱及办公邮箱,个人GITHUB、个人即时通讯工具上存储的、个人手机上任...
一次高难度红队行动「上」
此文为某次实战项目案例总结,分为「上」、「下」两篇,主要涉及知识有免杀、钓鱼攻击、社会工程学、域渗透等等。此篇文章主要描述了我们是如何在外网通过钓鱼的方式快速进入目标内网。下篇文章讲述的主要内容涉及以...
16