2024-12-21 微信公众号精选安全技术文章总览

洞见网安 2024-12-21

0x1 SQLMAP注入神器MySQL注入使用总结

小兵搞安全 2024-12-21 22:34:56

0x2 【新day】CVE-2024-56145（Craft CMS 模板注入导致 RCE）

fkalis 2024-12-21 18:50:36

【新day】CVE-2024-56145（Craft CMS 模板注入导致 RCE）

0x3 【bWAPP】越权攻防实战

儒道易行 2024-12-21 18:00:26

我这一生如履薄冰，你说我能走到对岸吗？

0x4 国城杯RE部分题解

鼎新安全 2024-12-21 15:01:29

文章介绍了国城杯RE（逆向工程）部分题目的解法，涉及了多个挑战。其中一项挑战是通过base64加密和位置交换来隐藏username，并指出要恢复原始的username，需要将加密后的字符串中每四组字符的第2、3位换回原来的位置再进行解密。对于password的求解，则使用了一种暴力破解的方式。 另一个挑战涉及到一个名为find_flag()的函数，该函数包含了一个复杂的算法，用于从给定的sbox数组和checknum数组中找出正确的密码。此过程包括一系列的操作类型如加法、减法、异或、左移和右移等，这些操作在一轮循环中重复执行32次以生成最终结果。根据提供的代码片段，作者通过尝试不同的字符组合找到了正确的密码，最终得到了flag为“D0g3xGC{round_and_rounD_we_go}”。 第三个挑战与键盘驱动有关，提供了一组按键码，通过映射到对应的字符后，整理出的flag为“D0g3xGC{a66b2342-04d4-468a-99d3-7edba4c9001f}”。最后一个挑战提到了TEA算法以及SMC加密，展示了如何编写C语言代码来解密给定的数据，从而获得隐藏的信息。

逆向工程 加密算法 漏洞利用 CTF竞赛 脚本编写

0x5 web漏洞挖掘方法 - sql注入绕过篇

信安一把索 2024-12-21 14:40:00

本文详细介绍了SQL注入绕过WAF（Web应用防火墙）的多种方法，包括编码绕过、大小写绕过、注释绕过、函数替换、变量替换、符号与关键字替换、HTTP参数污染、缓冲区溢出、二次注入、时间盲注、盲注的二次注入、基于错误的注入、联合查询注入、注入中的字符限制、多阶段注入、基于文件的注入、混淆和环境特定的绕过。文章通过具体的示例，展示了攻击者如何利用这些技术来绕过防护机制，执行恶意SQL代码，获取数据库信息或执行非法操作，为网络安全学习者提供了深入理解和实践指导。

SQL注入 WAF绕过 编码与解码技术 字符与关键字替换 HTTP参数污染 时间盲注 二次注入 联合查询注入 基于错误的注入 多阶段注入 文件包含漏洞 混淆 环境特定绕过

0x6 哥斯拉（Godzilla）二开环境配置

走在网安路上的哥布林 2024-12-21 13:37:23

本文详细介绍了哥斯拉（Godzilla）二开环境配置的过程。作者首先遇到了JDK版本问题，发现--add-opens参数在JDK1.8中不被支持，随后决定使用JDK11。文章分步骤讲述了开发环境配置，包括OpenJDK11U和IntelliJ IDEA 2024.2.4的安装。接着，作者进行了jar包的反编译，并配置了IDEA项目，创建了必要的目录结构，并复制了关键文件。在去哈希效验部分，作者修改了ApplicationConfig.java文件，删除了invoke函数，并相应地更新了MainActivity.java。最后，文章描述了打包过程和测试结果，尽管作者对代码进行了一些修改，但测试结果显示所有功能正常。

Java开发环境配置 反编译技术 代码优化与重构 安全检查绕过 工件构建 潜在不合法行为

0x7 新手小白如何挖掘cnvd通用漏洞之存储xss漏洞（利用xss钓鱼）

掌控安全EDU 2024-12-21 12:02:14

文章《新手小白如何挖掘cnvd通用漏洞之存储xss漏洞（利用xss钓鱼）》介绍了XSS攻击的三种主要类型：反射型、存储型和基于DOM的XSS，并阐述了它们的工作原理。文中指出，XSS攻击能够窃取用户信息、劫持会话、恶意重定向、传播蠕虫以及篡改页面内容，对网站安全构成严重威胁。重点讨论了文件上传导致的存储型XSS漏洞，特别是在招聘系统中通过上传HTML文件来触发漏洞的情况。作者描述了一个实战案例，展示了如何通过上传HTML文件到招聘系统的供应商平台，成功实现了XSS攻击并窃取到了键盘记录，包括账号密码等敏感信息。为了防止此类攻击，文章建议开发者应对所有用户输入进行严格验证与清理，使用安全API，设置Content-Security-Policy，加密敏感信息，定期审计和扫描系统以修复潜在的安全问题。最后，作者分享了一些个人经验，强调了在寻找和利用漏洞时合法授权的重要性，并提醒读者仅将这些技术用于合法目的。

XSS漏洞 安全意识 渗透测试 招聘系统安全 供应商系统安全 安全修复 案例分析 法律与道德

0x8 Java反序列化GUI利用工具

白帽学子 2024-12-21 08:11:16

0x9 JAVA安全之RMI命令执行深度刨析

七芒星实验室 2024-12-21 07:01:13

这篇文章深入分析了Java RMI（Java Remote Method Invocation）的安全性。Java RMI是一种用于实现远程过程调用的应用程序编程接口，允许客户机上的程序调用远程服务器上的对象。文章首先介绍了RMI的核心组成部分，包括RMI客户端、服务器和注册表。然后详细描述了RMI客户端和服务端的交互流程，以及Stub和Skeleton的通信过程。文章还讨论了JVM之间的通信过程，包括序列化和反序列化机制。此外，文章还探讨了JRMP（Java Remote Method Protocol）的实现方式，以及如何利用RMI进行攻击和防御。文章提供了详细的源代码分析，包括注册中心和服务端的实现，以及客户端和服务端的攻击和防御方法。最后，文章指出了JDK版本对RMI动作加载类的限制，并推荐了一些相关阅读材料。

本站文章为人工采集，目的是为了方便更好的提供免费聚合服务，如有侵权请告知。具体请在留言告知，我们将清除对此公众号的监控，并清空相关文章。所有内容，均摘自于互联网，不得以任何方式将其用于商业目的。由于传播，利用此文所提供的信息而造成的任何直接或间接的后果和损失，均由使用者本人负责，本站以及文章作者不承担任何责任。

原文始发于微信公众号（洞见网安）：网安原创文章推荐【2024/12/21】