0x01 前言 在某天我打点CNVD资产的时候,我的WX响了起来,收到一个不明文件,后面收到备注后,我就懂了 筛选后找一下对应企业的资产信息,资产并不多,主页和OA以及yongyou NC...
一种ysoserial.jar 反序列化Payload的解码
0x00 前言小伙伴在分析告警的时候,发现反序列化告警,Payload类似AKztAA,不知道咋解,于是有了本文。ps: 本文首发于奇安信攻防社区,未经授权,严禁转载!0x01 文件头开始之前,先来复...
Graphql安全问题概述
文章前言GraphQL是一种用于构建API的查询语言和运行时环境,它提供了一种灵活且高效的方式来获取和修改数据,随着GraphQL的流行和广泛采用,我们也需要认识到与其相关的安全问题和挑战,本文将概述...
【渗透测试】HackTheBox靶场之Bizness
暗魂攻防实验室 0x01 信息收集 过了一个年,太久没动脑了,随便做个靶场活跃一下脑子。 打开机器后,IP地址为:10.10.11.252 然后进行信息收集,首先扫描开放的端口 nmap -sV 10...
探究域渗透下的四种票据
0x01 Kerberos 身份认证流程 Kerberos 是一种基于票证的身份验证协议,它基本上是这样工作的: 1.客户端向KDC(Key Distribution Center,通常是域控制器)请...
【OSCP模拟-No.42】 hackme: 1靶机渗透测试练习
--------------------------------------------------- 本文阅读时间推荐20min,靶场练习推荐3H -------------------------...
记一次寻找js来文件上传
本文由掌控安全学院 - 不是川北 投稿 edu教育证书站之路 0x01 信息收集 通过fofa,子域名收集等相关工具搜索域名 定位到站点:htps://xx..edu.cn/x/xx/ 0x02 寻找...
API漏洞挖掘
API漏洞挖掘2个例子 正文 第一个漏洞: 在浏览bp历史记录以查看各种请求时,发现一个与组织中用户相关的一些信息 GET /auth/api/v2/users HTTP/2 Host: api.re...
CISA发布十大常见网络安全错误配置
美国国家安全局(NSA)和网络安全与基础设施安全局(CISA)在本周五的报告中公布了其红队和蓝队在大型组织网络中发现的十大最常见网络安全误配置。NSA和CISA在安全建议中详细说明了攻击者经常使用哪些...
红队-二层网络下的域渗透攻防
靶场链接: https://www.codeprj.com/blog/d3ef831.html 靶机的统一初始密码是:1qaz@WSX 这里模拟互联网为192,内网为10.10 外网打点: 通过Ksc...
webshell检测引擎对抗思路
一、引擎的检测思路(个人理解) 静态: 通过样本库,正则匹配规则库等等进行匹配,检测是否命中规则。 动态: 污点标记:常见的传参方式都会被标记为污点入口,如POST,GET。 例如(PHP):<...
钓鱼揭秘之谷歌虚假广告钓鱼
By: 耀 事件背景 近日,慢雾安全团队和 Rabby Wallet 团队发现一种利用 Google 广告进行钓鱼的攻击手法。随后,慢雾安全团队联合 Rabby Wallet 团队对该攻击手法展开深入...
5697