*严正声明:本文仅限于技术讨论与分享,严禁用于非法途径0×01 概述Jenkins是一款由Java编写的开源的持续集成工具。Jenkins提供了软件开发的持续集成服务。它运行在Servlet容器中(例...
失效的身份认证和会话管理
通常,通过错误使用应用程序的身份认证和会话管理功能,攻击者能够破译密码、密钥或会话令牌,或者利用其它开发缺陷来暂时性或永久性冒充其他用户的身份。1.弱口令1.1. 漏洞描述用户可使用默认口令...
记一次授权渗透测试 - 喜欢吃蛋炒饭
前言: 领导发来了一个Excel文件,里面罗列了本次渗透测试的目标。我大致浏览了一下,全是各个系统的登陆界面。 弱口令: 面对登录框,我习惯性猜解一下弱口令,或者跑一下自己积累的密码字典。在这里,我通...
记一次目录遍历带来的惊喜 - AGONI
某天在日常浏览网上资源时,突然发现了一个教育在线云播的网站,主页界面如下。 在确定是教育类型的网站之后拿着我的burp开挖,测试了一下常规漏洞无果,开始转向弱口令,且发现密码加密了 这里可以想到的思路...
弱口令,yyds
一些自己搜集的弱口令在渗透企业资产时,弱口令往往可达到出奇制胜,事半功倍的效果!特别是内网,那家伙,一个admin admin或者admin123 拿下一片,懂的都懂。当你还在苦恼如何下手时,我却悄悄...
为什么口令不会死?
没人喜欢原始的身份验证方式。但新方法也有其自身的缺陷。 科幻小说中的某些预言未来应该会实现,比如喷气背包、飞行汽车、火星殖民地。但有些看起来更容易实现的目标,却不知为何总感觉一直处于“就在眼...
Category-255: 凭证管理
Category-255: 凭证管理 ID: 255 Status: Draft Summary Weaknesses in this category are related to the mana...
Category-254: 7PK-安全功能
Category-254: 7PK-安全功能 ID: 254 Status: Incomplete Summary Software security is not security software...
常规登录框弱口令测试小Tips
通过项目批量收集登录框 批量可以选用AWVS单一测试选用XRAY,如果有用户名可猜测,xray设置字典,直接出密码就很舒服弱口令就简单的测试出来了,省的BP爆破,但是对于高强度的密码,还是BP爆破要来...
未授权访问还可以这样玩
一.背景 群里的师傅都说没有技巧学习,都开始摸鱼了,这样可不好,这里还是告诉师傅们,别人在摸鱼的时候你在摸鱼,别人在学习的时候你还在摸鱼这...
CWE-836 在认证机制中使用口令哈希代替口令
CWE-836 在认证机制中使用口令哈希代替口令 Use of Password Hash Instead of Password for Authentication 结构: Simple Abst...
漏洞科普之弱口令到底是什么牛马?
网安教育培养网络安全人才技术交流、学习咨询0x01 引言很多系统管理员会选择容易记住的口令或在系统测试时用的弱口令没有删除,并且在一些系统,在注册时,会提示一些规则,比如密码的长度、必须是大小写字母数...
12