前言本系列为CTF专栏篇,在此特别感谢上海电力大学白帽子网络安全社团供稿支持,ONETS安全团队也将持续关注CTF、AWD等竞赛题目分享。同时,欢迎大家投稿分享相关内容,或者关注公众号加入网络安全技术...
攻击者利用 Unicode 字符隐藏在浏览器中切取用户信息
几周前,在查阅威胁情报来源时,Jscrambler 研究人员偶然发现了一个新的浏览活动,乍一看,它因其展示的 JavaScript 混淆而引人注目。有些人提出这是否是一种新的混淆技术,可能是因为代码使...
渗透测试人员之 JavaScript 分析(二)
混淆与反混淆在我们讨论混淆技术之前,让我们从缩小和美化的概念开始。缩小化缩小是减小JavaScript文件大小,同时保持其功能的过程。这是通过删除不必要的字符(例如空格或换行符)来实现的。有时缩小还包...
渗透测试人员之 JavaScript 分析(一)
如果您正在测试 Web 应用程序,您肯定会遇到很多 JavaScript。如今几乎每个网络应用程序都在使用它。Angular、React 和 Vue.js 等框架将 Web 应用程序的许多功能和业务逻...
360路由器P1未授权访问漏洞复现
暗魂攻防实验室 前言 闲来无事,6点多起来打扫房间时发现之前在闲鱼买的古老的360路由器P1,想着能不能getshell,只不过在网上只找到了未授权访问漏洞,所以先复现一下。360安全路由P1存在未授...
使用真实的浏览器渲染自动执行 XSS 测试
总结在本文中,我将解释什么是跨站点脚本 (XSS),但最重要的是,我将向您展示如何自动检测它。这是一项挑战,因为它需要完整的浏览器渲染。免責聲明本文仅供参考和教育目的,适用于那些愿意并好奇地了解和学习...
【SRC实战】404->js审计->SSRF
前言在某次金融类众测项目中,笔者发现了一个几乎无从下手的系统,直接访问系统无任何功能,几乎相当于404 Not Found,甚至连JavaScript文件一个都不存在,最终通过渗透经验和一定的运气,拿...
使用开放 RSS 源构建网络威胁情报仪表板
网络威胁情报仪表板介绍:在当今快速发展的网络威胁形势下,保持知情至关重要。威胁情报源在让安全专业人员了解最新发展方面发挥着关键作用。在本文中,我将向您展示如何使用开放 RSS 源构建实时网络威胁情报仪...
水洞小姿势系列 - PDF TO XSS 构造实战
本文首发于 Web 安全社区:https://web.sqlsec.com/thread/226 (安服仔水洞小姿势 PDF TO XSS 构造实战)转载请注明出处前言背景到了甲方可以天天看到各种各样...
CVE-2023-49965 SPACE-X 星链 路由器漏洞
产品:Starlink 路由器第 2 代测试版本:2022.32.0(修复在 2023.48.0 及更高版本中)漏洞类型:XSS(跨站点脚本)该漏洞是由于初始页面 (http://192.168.1....
警惕!一种用于网络钓鱼攻击的生成式人工智能恶意软件...
近日,HP 研究人员检测到一个由生成式人工智能服务生成并用于传递 AsyncRAT 恶意软件的 dropper。在调查恶意电子邮件时,HP 研究人员发现了一种由生成式人工智能服务生成并用于传递 Asy...
404->js审计->SSRF
前言 在某次金融类众测项目中,笔者发现了一个几乎无从下手的系统,直接访问系统无任何功能,几乎相当于404 Not Found,甚至连JavaScript文件一个都不存在,最终通过渗透经验和一定的运气,...
49