扫一扫关注公众号，长期致力于安全研究前言：在分析其漏洞之前，应先对该应用有个基本的了解和使用。本文是笔者之前从网上搜到的资料..来自于Y4师傅0x01 简介Fastjson是Alibaba开...
10月18日56 views评论com
反序列化
Fastjson基本用法
10月18日56 views评论com
反序列化
10月18日56 views评论com
反序列化
变量覆盖漏洞函数的简单分析
食用须知：大佬直接退出关闭不要浪费时间，本文章适用于CTF比赛的web新手和初次入门代码审计的新手代码审计的方式一般分为三种；一种是直接通篇阅读挨个对每一个功能点进行测试，第二种还有就是直接定位危险函...
10月05日20 views评论parse
代码审计
【干货】Fastjson反序列化漏洞原理分析
戟星安全实验室 忆享科技旗下高端的网络安全攻防服务团队.安服内容包括渗透测试、代码审计、应急响应、漏洞研究、威胁情报、安全运维、攻防演练等本文约2915字...
10月01日1,322 views评论反序列化
序列化
【工具学习】DirSearch解构1——读取参数与配置
0x01 前言好久不见，搞了个知识星球，大学生补贴一下生活费，因为技术菜，所以也就50意思下，大佬勿喷，也算是记录一下自己成长的过程，最近打算学习下优秀的安全工具，就从WEB目录扫描工具DirSear...
09月16日54 views评论parse
sage
Py解析heapdump
免责声明由于传播、利用本公众号狐狸说安全所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，公众号狐狸说安全及作者不为此承担任何责任，一旦造成后果请自行承担！如有侵权烦请告知，我们会...
08月24日48 views评论parse
parser
一次前端JS加密泄漏导致的越权测试
0x01 背景测试过程中碰到了一个会话系统，出于保密原则这里没有截图，自己想象一哈。0x02 业务逻辑系统功能很简单，就是实现用户A和用户B进行会话，并且可以查看以往的聊天记录。出现漏洞的点也是在历史...
07月21日107 views评论aes
数据包
严重的Parse Server漏洞影响导致Apple Game Center的身份验证绕过
Parse Server是GitHub上的一个开源项目，它为 iOS、macOS、Android和tvOS提供推送通知功能。该软件是一个后端系统，与任何能够运行Node.js（Express Web应...
07月14日62 views评论center
身份验证
实战|一次前端JS加密泄漏导致的越权测试
0x00 背景测试过程中碰到了一个会话系统，出于保密原则这里没有截图，自己想象一哈。0x01 业务逻辑系统功能很简单，就是实现用户A和用户B进行会话，并且可以查看以往的聊天记录。出现漏洞的点也是在历史...
07月13日11 views评论aes
数据包
图形验证码可自动获取（水）
写在前面 最近在一边学习红队的内容一边参与红队项目，但是学到的东西还不够支撑发一篇推送。先分享之前看别的师傅的渗透报告学到一个新漏洞，需要水报告的师傅可以...
06月13日318 views评论http
web
Python Argparse模块学习
Python Argparse模块学习 2016-03-28 #python #argparse 最近是打算写个好用的webdirscan,毕竟现成的没找到几个好用的 所以发挥麒麟臂,自己写一套适合自...
05月17日安全博客28 views评论python
安全博客
[网鼎杯 2020 玄武组]SSRFMe-解题步骤详解
在BUU做的复现<?phpfunction check_inner_ip($url){ $match_result=preg_match('/^(http|https|gopher|dict)?...
05月16日212 views评论redis
url
Thinkphp 5.x getshell漏洞分析
0x00. 漏洞简介近日，thinkphp官方发布了5.x版本一处安全更新，修复了路由中controller部分过滤不严从而导致getshell的安全漏洞。漏洞影响范围：<5.1.31 或5.0...
05月16日48 views评论php
url
10