支持 NTLMv1 身份验证协议的系统的实际利用指南。尽管几乎不再需要 NTLMv1,但仍有数量惊人的组织仍在使用它,也许是在不知不觉中。然而,有些 VPN 产品目前仍然指示用户将 NLTM 身份验证...
【基于哈希的密码体系】MSS(默克尔签名模式)
【基于哈希的密码体系】MSS(默克尔签名模式)本篇文章,我们接着来聊基于哈希的签名,这次,我们首先开始介绍一个结构,那就是「默克尔树」(Merkle Tree),这个结构,其实之前文章当中,我们再来回...
Fluxion -Wifi 安全审计工具
Fluxion 工具可用于审计无线网络的接入点 (AP) 安全性。该工具试图通过模拟中间人 (mitm) 攻击来恢复目标网络的 Wifi 保护访问 (WPA/WPA2) 密钥。Fluxion 工具提供...
Hisiphp2.0.11的文件上传
侵权声明本文章中的所有内容(包括但不限于文字、图像和其他媒体)仅供教育和参考目的。如果在本文章中使用了任何受版权保护的材料,我们满怀敬意地承认该内容的版权归原作者所有。感谢您的理解与支持靶场安装地址:...
Web安全之SRI(Subresource Integrity子资源完整性)详解
Web安全之SRI详解在现代Web开发中,前端性能和用户体验是至关重要的。为了提高加载速度和减少服务器负载,开发者通常会使用外部资源,如第三方库和CDN(内容分发网络)提供的脚本和样式文件。然而,这些...
哈希函数的隐藏危险:长度扩展攻击与服务端验证的安全隐患
by: Victory!简介Length Extension Attack 是一种与某些特定类型的哈希函数(如 MD5,SHA-1 和 SHA-2)的特性有关的攻击。简单来说,这种攻击利用了一个事实,...
逃避 Linux 恶意软件静态分析的新方法
本文章介绍了如何使用dl_iterate_phdr回调来混淆 Linux 符号。它代表了 的原创安全研究。 介绍 API 哈希长期以来一直用于整个 Windows 恶意软件开发。此技术有许多公开的概念...
美FTC重申哈希后的数据不是匿名数据
公司经常声称缺乏明确标识的数据是匿名的,但美国联邦贸易委员会(FTC)强调只有当数据永远无法与个人相关联时才是匿名的,如果数据可以用来唯一识别或锁定某个用户,它仍然会对该用户造成伤害。一、什么是哈希(...
内网管理员账号密码获取:攻破管理员权限
在内网渗透测试中,获取管理员账号密码是至关重要的。拥有管理员权限,攻击者可以控制整个内网,进行更深层次的攻击活动。本文将介绍几种获取内网管理员账号密码的方法,帮助你了解攻击者的思路和手段。1. 信息收...
内网渗透:从Webshell到横向移动
在渗透测试中,获得Webshell(网站后门)只是第一步,接下来需要进行横向移动,获取对内网其他主机的控制权。本文将介绍一些常用的内网渗透思路和技巧,帮助渗透测试人员在内网中展开攻击。1. 信息收集获...
密码应该如何存储?
密码哈希我们都知道,在 21 世纪,密码永远不应该以明文形式保存。但是,这并不能减少在某些 API 调用期间以明文形式发送密码值的机会。主要担心的是数据库落入坏人之手,使得恢复原始文本变得不可能。接下...
内网哈希传递攻击原理详解
在渗透测试中,哈希传递攻击(Pass The Hash,简称PTH)是一种利用Windows系统哈希值进行身份验证的攻击方式。攻击者可以窃取用户的登录哈希值,并将其注入到另一台主机中,从而模拟该用户登...
8