通告 漏洞分析 根据参考文献,很幸运发现了payload 通过payload可以知道漏洞触发接口是listNames触发参数是jobName 在项目的Model层和xml文件查询jobName 在Ja...
源代码安全审计研究
【摘 要】 源代码是软件的根本,其存在的安全缺陷是导致软件出现漏洞的根源所在,人为因素的影响使得每个应用程序的源代码都可能存在安全漏洞。从根本意义上来说,代码审计就是挖掘源代码中存在的代码安全问题。本...
一个0day的开端:失败的man与nday
最近在审计java的CMS,跟着文章进行nday审计,找准目标newbee-mall Version 1.0.0(新蜂商城系统),并跟着网上文章进行审计:https://blog.csdn.net/m...
钓鱼网站源代码分析
前端为银行卡页面的钓鱼网站1、分析源码根目录是APP、目录下都是一些仿真的图片、JS文件之类的。直接查看config.php并没有使用传统的后台做接收数据端,而是使用了Telegrambot做接收端h...
环境搭建 | XDebug 无错配置+代替phpStudy的另一种集成工具
前言最近有朋友问笔者XDebug环境老是配不上, 所以出一篇关于XDebug环境的详细配置, 需要搭建本地代码审计环境时不迷路.再次其就是笔者发现了一款一键式环境部署工具, 叫做FlyEnv, 经过测...
JAVA安全之JEP290攻防对抗录
JEP290简介JEP290增强机制是在2016年提出的一个针对JAVA 9的一个新特性,用于缓解反序列化攻击,随后官方决定向下引进该增强机制,分别对JDK 6,7,8进行了支持:Java SE De...
黑客编程小练习(1):AJAX一个简单的HTML页面
我这边会慢慢写10000个小练习,这些练习菜鸟都会,因为我尽量会使得每个步骤都有详细解读,这些练习的目的都是为做一名技术高超的黑客做准备的,当然,练习完后也可以为成为一名的程序员打好基础。今天随机做几...
java代码审计之学生管理系统
项目技术分析根据readme和pom文档可以知道该项目采用了以下技术:<dependencies> <dependency> <groupId>or...
代码审计(1)
代码安全测试介绍代码安全测试是从安全的角度对代码进行的安全测试评估,结合丰富的安全知识,编程经验,测试技术,利用静态分析和人工审核的方法寻找代码在架构和编码上的安全缺陷,在代码形成软件产品前将业务软件...
PHP代码审计敏感函数合集
PHP代码审计通常去代码审计的时候基本是正则的挖掘思路通常代码审计的话,大部分就是通过关键的函数,和关键的变量去审计敏感函数PHP操作数据库函数mysqli_connect()//建立与MySQL数据...
php代码审计之baijiacms
项目结构通过对代码的一个大致结构分析,知道了它的主要功能都是在system目录下。system目录下有class和template文件,template代表是前端,class是后端处理文件。image...
一文学会shiro反序列化
目录漏洞原理Apache shiro是一个广泛使用的Java应用程序安全框架,其中的会话管理和权限控制功能,依赖于序列化、AES加密和base64编码,shiro反序列化漏洞主要利用Java反序列化机...
184