文章前言GraphQL是一种用于构建API的查询语言和运行时环境，它提供了一种灵活且高效的方式来获取和修改数据，随着GraphQL的流行和广泛采用，我们也需要认识到与其相关的安全问题和挑战，本文将概述...
03月05日8 views评论rce
数据源
Graphql安全问题概述
03月05日8 views评论rce
数据源
03月05日8 views评论rce
数据源
一篇文章学会ssrf
本篇文章我们将详细的介绍一下SSRF的相关知识，包括原理、分类、攻击手法、修复方法等。简介什么是SSRFSSRF （server-side request forgery） 服务端请求伪造，它主要会允...
01月31日5 views评论ssrf
白名单
大模型安全：Prompt Injection与Web LLM attacks
文末抽奖嗷Prompt Injection大语言模型（英文：Large Language Model，缩写LLM）中用户的输入称为：Prompt（提示词），一个好的 Prompt 对于大模型的输出至关...
01月26日22 views评论llm
response
Race conditions 条件竞争漏洞
Race conditions 条件竞争漏洞James kettle论文地址：https://portswigger.net/research/smashing-the-state-machine由于...
09月12日22 views评论race
条件竞争
服务器端模板注入（SSTI）-攻击示例（一）
在本节中，将更仔细地研究一些典型的服务器端模板注入漏洞，并演示如何来利用它们。通过实践，可以潜在的发现并利用各种不同的服务器端模板注入漏洞。一旦发现了服务器端模板注入漏洞，并确定了正在使用的模板引擎，...
12月24日23 views评论payload
服务器端
不安全的反序列化-攻击示例（六）
在本节中，将用PHP、Ruby和Java反序列化的例子指导如何利用一些常见的情况，从而证明利用不安全的反序列化实际上比许多人认为的要容易很多。如果能使用预先建立的小工具链，在黑盒测试中甚至可以做到这一...
12月08日31 views评论反序列化
源代码
不安全的反序列化-攻击示例（二）
在本节中，将用PHP、Ruby和Java反序列化的例子指导如何利用一些常见的情况，从而证明利用不安全的反序列化实际上比许多人认为的要容易很多。如果能使用预先建立的小工具链，在黑盒测试中甚至可以做到这一...
11月22日55 views评论反序列化
序列化
访问控制和权限提升漏洞-攻击示例（三）
在本节中，将通过攻击示例场景进一步讨论什么是访问控制安全，描述权限提升和访问控制可能出现的漏洞类型。 水平提权当用户能够访问属于另一个用户的资源而不是他们自己该类型的资源时，就会出现水平权限...
07月28日75 views评论应用程序
访问控制
身份验证漏洞-多因素身份验证中的漏洞（下）
在学习本章前，建议先对前序章节进行了解，传送门如下：身份验证漏洞-概念梳理身份验证漏洞-基于密码的登录漏洞（上）身份验证漏洞-多因素身份验证中的漏洞（上）本章节结合靶场试验来仔细研究多因素身份验证机制...
06月13日56 views评论http
身份验证