本文章仅用于分享信息安全防御技术,请遵守中华人民共和国相关法律法规,禁止进行任何违法犯罪行为。作者不承担因他人滥用本文所导致的任何法律责任。本公众号及其发布的内容的使用者需自行承担由此产生的任何直接或...
SRC寻找开源代码捡钱
声明:本文仅用于网络安全相关知识分享,环境为本机靶场,请严格遵守网络安全相关法律法规。未经授权利用本文相关技术从事违法活动的,一切后果由违法人自行承担!Jie安全公众号及作者不承担任何法律责任。运气好...
一个平平无奇的登录接口竟能引发账号密码泄露。。。
免责声明:请勿利用文章内的相关技术从事非法测试,由于传播、利用此文所提供的信息或者工具而造成的任何直接或者间接的后果及损失,均由使用者本人负责,所产生的一切不良后果与文章作者无关。该文章仅供学习用途使...
渗透测试案例 | 某车企漏洞挖掘
好久没有更新渗透测试类的文章了,这次就拿几年前挖掘的漏洞案例来分享分享。漏洞成因是后端的登录接口暴露,且存在弱口令,两者组合在一群就成为了这个案例中的漏洞。首先一上来是一个Springboot的报错页...
某金融src的一次较复杂攻击链进入后台
1.前言本文大体完成于去年,是由某金融SRC的案例修改而来,由于涉及一些敏感信息,所以部分细节略有修改。整个案例还是很有意思的,从一个页面到另一个页面,从一个JS到另一个JS。2.目录FUZZ到JS接...
非HTTP验证码别乱捅!一不小心就反爬了。
大家好,我是TheWeiJun,欢迎来到我的公众号。由于工作太忙,已经有三个月没有发文了,感谢大家的耐心等待和支持。本文将探讨如何逆向某网站的非HTTP验证码,介绍相关技术和工具,并提供详细步骤和示例...
微信公众平台回调系统 ajax SQL注入漏洞【附poc】
fofa title=="公众号无限回调系统" 资产页面 一、漏洞简述 微信公众平台回调系统是公众号登录接口租用/出售管理系统,适用场景:H5游戏,H5网站,适用于一切需要公众号登录接口的H5网站。其...
APP逆向-dudu牛(4000字长文,小白可食)
No.0挖掘前的准备在模拟器中安装该app后,首先运行app熟悉页面及其功能,下图为登录页面No.1登录接口抓包分析我们先使用Charles对该app抓取http请求数据包可以看到该登录接口请求包中的...
漏洞挖掘 | 某平台验证码爆破漏洞
扫码领资料获网安教程本文由掌控安全学院 - zbs 投稿找到一个平平无奇的短信验证登录接口0x01 思路1.信息搜集 该学校学生的电话、学号2.找注册点 ==> 登录后往往有更多功能,并且对自己...
漏洞挖掘 | 某大学平行越权漏洞
扫码领资料获网安教程本文由掌控安全学院 -zbs 投稿漏洞复现:一处就业信息服务的登录接口:思路:通过信息搜集,发现存在网上泄露学生密码危害:1.账号为学号,密码为身份证后六位;【运气好在贴吧或者啥网...
edu上海某xx大学xxx逻辑漏洞
扫码领资料获网安教程本文由掌控安全学院 -zbs 投稿漏洞复现:一处就业信息服务的登录接口:思路:通过信息搜集,发现存在网上泄露学生密码危害:1.账号为学号,密码为身份证后六位;【运气好在贴吧或者啥网...
【案例分享】消失的登录页面
0x00前言在某次测试过程中,遇到了这样一个网站,存在登录页面但却无法直接通过地址栏访问login页面。在 JS 文件中发现了默认密码,同时找到了登录接口,然而密码进行了加密。通过分析JS文件,最终通...