在本文中，我们将探讨JSON网络令牌（JWT）的设计问题以及不当的处理方式是如何让网站面临各种高危攻击的威胁的。由于JWT最常用于身份认证、会话管理和访问控制机制，因此，这些漏洞有可能危及整个网站及其...
06月16日47 views评论https
攻击者
深入考察JWT攻击
06月16日47 views评论https
攻击者
06月16日47 views评论https
攻击者
apisix安全评估
背景有大佬已经对 apisix攻击面[1] 做过总结。本文记录一下自己之前的评估过程。分析过程评估哪些模块？首先我需要知道要评估啥，就像搞渗透时，我得先知道攻击面在哪里。根据文档，可以知道apisix...
06月14日111 views评论payload
插件
PHPCMSv9.6.0wap模块注入漏洞
漏洞分析/index.php?m=wap&c=index&a=init&siteid=1抓包访问：返回问题存在 set-cookie 处：Set-Cookie: AANIc_s...
06月07日128 views评论php
sql
渗透测试一些知识点
1、如果提示缺少参数，如{msg：params error}，可尝使用字典模糊测试构造参数，进一步攻击。2、程序溢出，int最大值为2147483647，可尝试使用该值进行整数溢出，观察现象。3、40...
06月07日47 views评论com
http
子域名收集 -- Starmap
项目作者：ZhuriLab项目地址：https://github.com/ZhuriLab/Starmap一、工具介绍以 subfinder 为基础，融合 ksubdomain、 Amass 的一些优...
06月02日66 views评论com
ip
AEM漏洞与Nuclei Template编写
一、首先：什么是AEM? AEM 是 "Adobe Experience Manager" 的英文缩写。是由一个 Java 构建的全面的内容管理解决方案...
06月01日85 views评论nuclei
path
【漏洞通告】Fastjson反序列化漏洞
01漏洞概述Fastjson是阿里巴巴的开源JSON解析库，它可以解析JSON格式的字符串，支持将Java Bean序列化为JSON字符串，也可以从JSON字符串反序列化到JavaBean。由于具有执...
05月26日109 views评论github
https
CVE-2020-9548|FastXML Jackson-databind远程代码执行漏洞
2020年3月2日，NVD发布了一则FasterXML Jackson-databind远程代码执行漏洞信息，CVE编号：CVE-2020-9548。攻击者可以利用缺陷，绕过限制，实现JNDI注入，最...
05月24日214 views评论cve
攻击者
信息收集工具 -- Arjun(v2.1.5版本)
项目作者：s0md3v项目地址：https://github.com/s0md3v/Arjun一、工具介绍Arjun拥有一个包含10,985个参数名的巨大默认字典，在10秒内通过发送20-30个请求，...
05月24日100 views评论com
https
Fastjson 远程代码执行漏洞安全风险通告
奇安信CERT致力于第一时间为企业级用户提供安全风险通告和有效解决方案。安全通告近日，奇安信CERT监测到 Fastjson 远程代码执行漏洞，在 Fastjson 1.2.80 及以下版本中存在反序...
05月24日87 views评论攻击者
远程代码执行漏洞
漏洞风险提示 | Fastjson 反序列化远程代码执行漏洞
【漏洞通告】Fastjson反序列化远程代码执行漏洞
通告编号:NS-2022-00162022-05-23TAG：Fastjson、autoType、远程代码执行漏洞危害：攻击者利用此漏洞，可实现远程代码执行。版本：1.01漏洞概述5月23日，绿盟科技...
05月24日89 views评论com
远程代码执行漏洞
17