location | CN-SEC 中文网

安全文章

涉及 HTTP 重定向循环的新型 SSRF 技术

这篇文章详细介绍了一种新型的服务器端请求伪造（SSRF）技术，利用 HTTP 重定向循环来泄露完整的 HTTP 响应链，包括最终的 200 OK 响应。这种技术在研究广泛使用的企业软件时被发现，特别是...

06月25日11 views评论

阅读全文

代码审计

tongweb闭源中间件代码审计

应用服务器 TongWeb v7 全面支持 JavaEE7 及 JavaEE8规范，作为基础架构软件，位于操作系统与应用之间，帮助企业将业务应用集成在一个基础平台上，为应用高效、稳定、安全运行提供关键...

06月20日19 views评论

阅读全文

代码审计

记一次 RCE 0day 的审计过程

大家好，我是 Sukali，首次在信安之路上投稿，并获得免费加入信安之路知识星球的机会，同时解锁了信安之路成长平台、文库以及 POC 管理系统的使用权限，今天来为大家分享一下自己挖掘的一个 RCE 0...

06月07日23 views评论

阅读全文

安全新闻

小心NPM投毒包篡改你的浏览器主页

背景今天发现个声称是 jsjiami 解密工具的NPM包（jsjiamicode），本以为开发者为爱发电，最后发现一肚子坏水。该组件会将用户的浏览器重定向到 http://www.2345[.]com...

06月05日27 views评论

阅读全文

Pwn2Own 爱尔兰 - 群晖 BeePhotos 任意命令注入

【翻译】BEEPHOTOS ARBITRARY COMMANDLINE INJECTION免责声明：本博客文章仅用于教育和研究目的。提供的所有技术和代码示例旨在帮助防御者理解攻击手法并提高安全态势。请...

06月01日安全文章29 views评论

阅读全文

代码审计

Java利用无外网（下） - ClassPathXmlApplicationContext的不出网利用

我在《Java利用无外网（上）：从HertzBeat聊聊SnakeYAML反序列化[1]》末尾留了一个问题，也是「代码审计知识星球[2]」里发布的Springboot Code-Breaking 20...

05月30日8 views评论

阅读全文

程序逆向

联想永久白驱动kill杀软

这个还是无意间在朋友电脑上看到的用到的是联想电脑管家自带的功能并且签名也是联想被标记了他们会重新签所以我管他叫永久白看到上面的火绒对吧点击结束发现直接kill掉我们先进行提取发现进程就有三个是SY...

05月30日26 views评论

阅读全文

代码审计

某GPS定位系统存在前台SQL注入漏洞

点击上方蓝字关注我们并设为星标0x00 前言手机端强制打开GPS，每3分钟（可调）获取一次所在经纬度，如果位置变化距离超过100米（可调），则提交给后台的PHP。然后后台把得到的数据保存到数据库，再...

05月27日36 views评论

阅读全文

安全文章

Tomcat Multipart类型参数处理

前言水一篇学习笔记，看这个话题最近挺火的。请求解析Tomcat在处理请求的时候会调用org.apache.catalina.connector.Request#parseParameters方法处理请...

05月27日28 views评论

阅读全文

安全文章

突破限制模式：Visual Studio Code 中的 XSS 到 RCE

2024 年 4 月，我发现了 Visual Studio Code（VS Code <= 1.89.1）中一个高严重性漏洞，该漏洞允许攻击者将跨站点脚本 (XSS) 漏洞升级为完全远程代码执行...

05月22日29 views评论

阅读全文

安全文章

【翻译】利用 100 个< iframe >的竞争条件，绕过正则表达式

挑战从开始/begin。我们输入姓名，点击提交，然后经过一个相当缓慢的旋转后，会收到一条问候信息。哦，还有五彩纸屑！🎉我们可以按下 Ctrl+U 查看页面源代码，发现所有逻辑都隐藏在中/scrip...

05月18日13 views评论

阅读全文

安全文章

如何hook location相关的方法

如何hook location相关的方法浏览器hook函数或对象方法时，需要有一个前提条件，即这个方法是可修改的。例如hook JSON.stringifylet _rawstringify = JS...

04月10日22 views评论

阅读全文

涉及 HTTP 重定向循环的新型 SSRF 技术

tongweb闭源中间件代码审计

记一次 RCE 0day 的审计过程

小心NPM投毒包篡改你的浏览器主页

Pwn2Own 爱尔兰 - 群晖 BeePhotos 任意命令注入

Java利用无外网（下） - ClassPathXmlApplicationContext的不出网利用

联想永久白驱动kill杀软

某GPS定位系统存在前台SQL注入漏洞

Tomcat Multipart类型参数处理

突破限制模式：Visual Studio Code 中的 XSS 到 RCE

【翻译】利用 100 个< iframe >的竞争条件，绕过正则表达式

如何hook location相关的方法

在线咨询

微信