前言：一直觉得信息泄露相关的问题蛮多的，也一直想做一个总结，再一次查漏补缺的时候恰好看到了一篇文章关于这个的 但是只有一张思维导图 而且也不全 就跟着把常见的信息泄露做了一个总结一.源代码泄露在这里插...
03月17日575 views评论ip
web
敏感信息泄露总结
03月17日575 views评论ip
web
03月17日575 views评论ip
web
通过 base64 编码的 JSON 进行 XSS
点击上方蓝字“Ots安全”一起玩耍这是我在测试应用程序跟踪系统时非常有趣且出乎意料的发现之一。假设目标是 target.com，范围内只有一个子域，让我们称之为sub.target.com。现在，每当...
03月16日124 views评论com
xss
Node.js站点渗透过(文末送书福利)
原文作者：lazy小远原文地址：https://xz.aliyun.com/t/10978文末送书福利前言遇到一个站，后端是Node.js写的，对于这种类型的站点，一般比较难getshell，但也实现...
03月15日59 views评论data
代码审计
实战 | 记一次Node.js站点渗透
如何使用njsscan识别Node.JS应用中的不安全代码
关于njsscan njsscan是一款功能强大的静态应用程序测试（SAST）工具，可以帮助广大研究人员找出Node.JS应用程序中不安全的代码模式。该工具使用了libsast的...
03月13日60 views评论html
scan
Docker api未授权访问
Swarm 是 Docker 社区提供的唯一一个原生支持 Docker 集群管理的工具。它可以把多个 Docker 主机组成的系统转换为单一的虚拟 Docker ...
03月10日1,554 views评论api
http
浅谈JSON劫持
什么是JSON劫持?单从字面上就可以理解的出来，JSON是一种轻量级的数据交换格式，而劫持就是对数据进行窃取（或者应该称为打劫、拦截比较合适。恶意攻击者通过某些特定的手段，将本应该返回给用户的JSON...
03月08日351 views评论get
身份验证
通达OA任意文件上传并利用文件包含导致RCE分析
通达OA（Office Anywhere网络智能办公系统）是由北京通达信科科技有限公司自主研发的协同办公自动化软件，是与中国企业管理实践相结合形成的综合管理办公平台。漏洞简介3月13日，通达OA在官方...
03月03日245 views评论php
rce
SUSTF-WriteUp
Webfxxkcors下载题目附件，不难看出 report 页面拥有 admin 权限而且会访问你提交的页面。看 challenge注册之后发现存在修改权限功能查看源码发现会像 changeapi.p...
03月01日197 views评论php
权限
Web基础技术|JWT(Json Web Token)认证
目录JWT简介JWT数据结构JWT头部JWT有效载荷JWT签名JWT用法JWT验证流程JWT问题与趋势JWT安全风险JWT简介Web服务使用最多的认证方式是基于Session的认证https://bl...
02月26日74 views评论com
web
干货分享 | Fastjson远程命令执行漏洞总结
1.FastJson 简介fastjson.jar包原始下载地址：https://github.com/alibaba/fastjsonfastjson用于将Java Bean序列化为JSON字符串，...
02月20日181 views评论序列化
远程命令执行漏洞
干货 | Fastjson远程命令执行漏洞总结
1.FastJson 简介fastjson.jar包原始下载地址：https://github.com/alibaba/fastjsonfastjson用于将Java Bean序列化为JSON字符串，...
02月19日34 views评论序列化
远程命令执行漏洞
17