作者:rook1e@知道创宇404实验室时间:2021年5月19日近年来 Golang 热度飙升,得益于其性能优异、开发效率高、跨平台等特性,被广泛应用在开发领域。在享受 Golang 带来便利的同时...
PHP代码审计SQL注入篇
什么是SQL注入SQL注入攻击(SQL Injection),简称注入攻击,是Web开发中最常见的一种安全漏洞。可以用它来从数据库获取敏感信息,或者利用数据库的特性执行添加用户,导出文件等一系列恶意操...
技术分享06期|小白的代码审计之路(二)
本文始发于微信公众号():技术分享06期|小白的代码审计之路(二)
看一名Java开发以红队思维五分钟审计一套代码
前言审计往往需要开发的功底,既站在开发的角度又站在渗透者的角度。这样的角度去审视问题时,往往意味着渗透者比开发更懂业务逻辑,才能找出开发者代码中存在的问题。概述Java一直是渗透测试中的一块硬骨头,相...
代码生成器平台汇总
点击下方“IT牧场”,选择“设为星标”1、Saltcorn2、Joget DX3、Digdag4、Stackstorm5、CUBA Platform6、Skyve7、Rintagi8、Opexava9...
Android应用安全之代码安全
零、简介Android apk很容易通过逆向工程进行反编译,从而是其代码完全暴露给攻击者,使apk面临破解,软件逻辑修改,插入恶意代码,替换广告商ID等风险。我们可以采用以下方法对apk进行保护.壹、...
施耐德电气工业设备存在远程代码执行漏洞
点击蓝字关注我们近日,Armis安全研究人员警告说,施耐德电气的可编程逻辑控制器(PLC)中存在严重且未修补的远程代码执行漏洞,攻击者可控制其各种工业系统。施耐德电气的Modicon控制器系列是市场上...
Kibana漏洞之javascript原型链污染又文件包含漏洞的非常详细的分析的黑客教程
“ 这是一篇黑客教程,为啥?因为文章里有poc,写完文章的我,瑟瑟发抖,明天要是见不到我,可能在监狱里吧……”01—Nodejs的子进程创建如何获取客户端参数的代码写在了proccess.js中,我们...
【SOAR】策略实现及思考--Gitlab未授权
前言 近日,在对项目进行做信息收集的过程中,通过特别简单的一个策略得到了意外的收获:发现某项目的Gitlab的公开仓库,并在其中找到数据库账号密码等,并存在大量数据。1Gitlab相关配置问题现在很多...
代码审计第四节-XSS基础知识
代码审计第四节主要是讲解XSS的一些基础知识。跨站脚本攻击(Cross Site Scripting),为不和层叠样式表(Cascading Style Sheets, CSS)的缩写混淆,故将跨站脚...
【代码审计】 beescms 变量覆盖漏洞导致后台登陆绕过分析
一、漏洞描述:init.php中存在变量覆盖漏洞,而后台判断登陆的代码仅仅用$_SESSION一些键值进行了判断,导致覆盖$_SESSION的关键值后,可以绕过登陆的判断,从而登陆后台。二、漏洞分析过...
CVE-2021-30481:通过游戏邀请执行源引擎远程代码
Steam是世界上最受欢迎的PC游戏启动器。它使数以百万计的人有机会使用内置的朋友和聚会系统与朋友一起玩自己喜欢的视频游戏,因此可以安全地假设大多数用户在某个时间点或另一个时间点接受了邀请。那里没有真...
95