主要记录Cookie的一些笔记声明:文章中涉及的程序(方法)可能带有攻击性,仅供安全研究与教学之用,读者将其信息做其他用途,由用户承担全部法律及连带责任,文章作者不承担任何法律及连带责任。前言HTTP...
Quake用户登录设备限制
之前我们新增了用户登录设备限制的功能,给一些用户造成了一些困惑。比如我一台设备登录的为什么显示我是两个设备呢?为什么我每刷新一次就多一个设备呢?诸如此类的问题,所以在这里给大家详细介绍一下这个功能。W...
【JAVA安全】JAVA编写SQL注入EXP
【JAVA安全】JAVA编写SQL注入EXP大家好又是俺,暗月大徒弟,跟暗月大师傅苦学了半年,保持天天学习,顺便做点记录什么的。最近跟着月师傅学习了java编写exp的知识,编写一个简单的exp,过程...
Thinkphp6-Lang-rce
个人测试成功上传,该项目中出现的地址均为vulfocus靶场地址。靶场地址为:https://vulfocus.cn/#/dashboard由于该漏洞有多种方法,在此我只是分享其中一种方法,大佬勿喷。...
浅谈身份认证安全体系
前言本文阅读需要10min,介绍了从SSO到MFA发展的身份认证安全体系的缺陷,再到FIDO对IAM的补充。最终介绍了ITDR(身份威胁检测和响应)等新理念以攻击者视角对零信任方案的补充。从SSO说起...
【原创】Cookie is so subtle!
[huayang] 打开题目点击flag,随便输入一些 发现疑似ssti注入 验证一下 我们查看cookie发现多出一个user参数 构建payload ;user={{_self.env.regis...
【原创 脚本】易班自动发布投票 ,自动点赞、 投票、 评论脚本
[huayang] github:https://github.com/light-Life/Selenium-yiban 自动 发布投票 # !/usr/bin/python # -*- codin...
阿里云OSS约等于文件上传漏洞?
首先声明这是一篇标题党的文章,阿里云OSS不被这个锅,锅其实还是在企业或者说是用户。前言之所以要写这篇口水文,是因为最近在检测自家公司产品时发现存在这个问题,同时不久在测试某src的某系统时也存在类似...
实战|记一次前端安全测试
扫码领资料获网安教程免费&进群一、前言准的遇到一个传输过程数据被加密的网站,无法重放改包,前端也做了较为严格的限制,测试一度陷入僵局,最终从js找到突破点拿到web后台管理员权限二、过程网站前...
JWT 原理与设计上的缺陷及利用(基础篇)
基本概念JSON Web Token (JWT)是一个开放标准 ( RFC 7519),它定义了一种紧凑且自包含的方式,用于在各方之间以JSON对象的形式安全传输信息。此信息可以验证和信任,...
CTFHUB-WEB前置技能-HTTP协议-cookie
题目 靶机环境:提示只有admin才能得到flag 使用burp suite抓包,查看cookie信息。右键,send to Repeater 在页面中也会显示出来 ctfhub{87f18b27e6...
回忆杀 | 那些过时的安全技术
随着网络架构、技术工具的发展,十多年前使用的一些技术已经退出大家的视野,今天来给大家分享几个曾经使用过的工具和技术,如今已经很少见了。1、在 Burp 出来之前,如何截断文件名上传文件呢?在有了 Bu...
20