api - 第 30 | CN-SEC 中文网

企业安全

企业安全建设SIEM之K8s日志审计策略

目录0x01 目的0x02 配置文件0x03 审计级别-level0x04 审计阶段-stage0x05 审计策略0x06 审计日志样例0x07 告警策略7.1 对容器执行命令时告警7.2 APISe...

03月31日129 views评论

阅读全文

安全文章

Docker 暴露的API攻击

介绍笔者在对一个目标进行安全检查的时候，意外发现了有一个管理Docker的东西，因为之前没有遇到过，也没有对其进行过利用，特写一下笔记来记录一下过程。防止太空洞配个图：漏洞原因我们在使用docker的...

03月30日86 views评论

阅读全文

安全闲碎

引发Log4J2远程代码执行漏洞的JNDI到底是啥？

在网上的问题栏目有小伙伴在问为什么Log4J要提供对JNDI的支持，默认支持这种小众特性，反而导致了问题，是造成全网程序员加班修复漏洞的罪魁祸首，看到这个问题下各种吐槽JNDI，JNDI太冤了，我想为...

03月30日89 views评论

阅读全文

安全文章

利用 Azure API 权限获取 Azure 集群权限

Microsoft 的 Azure 是一个由主体、安全对象以及授予这些对象访问权限的各种方式组成的复杂系统。一些权限操作由 Azure AD 角色严格控制，而其他操作由角色和对象所有权者控制。Azur...

03月29日51 views评论

阅读全文

制度法规

《数据安全法》正式施行，企业应如何保护API的数据安全？

2021年6月，十三届全国人大常委会第二十九次会议通过了《中华人民共和国数据安全法》（以下简称数据安全法），已于9月1日起正式实施。这是中国政府依法保障数据安全的重要步骤，标志着中国在依法保障数据安全...

03月29日82 views评论

阅读全文

安全文章

实战 | 记一次相当曲折的渗透

文章来源：先知社区地址：https://xz.aliyun.com/t/11049作者：羊羊一.前言这是一次非常曲折的渗透测试，也让我学到了很多。二.逻辑漏洞收集子域名，看到一个项目管理的网站先随机测...

03月27日63 views评论

阅读全文

安全文章

API接口渗透测试

1 API 接口介绍1.1 RPC（远程过程调用）远程过程调用（英语：Remote Procedure Call，缩写为 RPC）是一个计算机通信协议。该协议允许运行于一台计算机的程序调用另一台计算机...

03月26日196 views评论

阅读全文

安全工具

DOME：又一款功能强大的子域名枚举工具

关于DOME DOME是一款功能强大的子域名枚举工具，该工具是一个快速可靠的Python脚本，可以实现主动或被动扫描，以搜索目标子域名以及开放的端口信息。该工具主要针对漏洞奖励H...

03月26日88 views评论

阅读全文

安全工具

全新API路径爆破字典与github上已公布的API进行了合并

因为找了很久有些是比较古老的字典，一直没收获，直到自己去整了一个。该字典结合了多个项目的字典https://github.com/chrislockard/api_wordlisthttps://gi...

03月25日933 views评论

阅读全文

安全开发

利用Python写属于自己的翻译命令行

点击上方“安全优佳” 可以订阅哦！这篇文章写一个非常简单有用的功能，有时候我们写程序时起变量名时是非常难受的，由于我英语不好，所以需要经常的查单词，一般都是在浏览器上进行翻译，在之前我写了一个脚本，只...

03月25日55 views评论

阅读全文

安全文章

Authentication Bypass

/api/6798556007/users -> 403 (Forbidden) Bypass Method 1: /api//users -> 200 OK Bypass Method ...

03月23日57 views评论

阅读全文

安全文章

红队免杀培训-手把手教使用系统调用(上)

点击上方“蓝字”，关注更多精彩前言为了应对，AV/EDR对一些常规windows的api的监控，使用的github项目为Syswhispers，其实CS官方有个付费工具包叫 CobaltStrike ...

03月19日301 views评论

阅读全文