今年早些时候,我有幸参加了 LocoMocoSec 2024夏威夷安全会议,该会议的重点是产品安全。在这次会议上, Ron Perris (该会议的联合创始人和软件安全工程师)和我就漏洞的来源进行了讨...
JWT 基础知识详解
点击蓝字关注我们始于理论,源于实践,终于实战老付话安全,每天一点点激情永无限,进步看得见严正声明本号所写文章方法和工具只用于学习和交流,严禁使用文章所述内容中的方法未经许可的情况下对生产系统进行方法验...
【云原生攻防研究】Istio访问授权再曝高危漏洞
一、概述在过去两年,以Istio为代表的Service Mesh的问世因其出色的架构设计及火热的开源社区在业界迅速聚集了一批拥簇者,BAT等大厂先后也发布了自己的Service Mesh落地方案并在生...
JWT漏洞攻击详解
什么是 JWT攻击 JWT 攻击涉及用户向服务器发送修改后的 JWT 以实现恶意目标。通过模拟已通过身份验证的其他用户来绕过身份验证和访问控制。 常见的 JWT 攻击类型: 敏感信息泄露:攻击者可能通...
网安原创文章推荐【2024/12/15】
2024-12-15 微信公众号精选安全技术文章总览洞见网安 2024-12-150x1 泛微云桥e-Bridge SQL注入漏洞分析安全逐梦人 2024-12-15 22:37:44 SQL注入 代...
网安原创文章推荐【2024/12/14】
2024-12-14 微信公众号精选安全技术文章总览洞见网安 2024-12-140x1 详解HTTP 请求走私原理老付话安全 2024-12-14 21:50:13点击蓝字关注我们始于理论,源于实践...
记一次通过接口文档实现越权拿下证书站
本文由掌控安全学院 - kpc 投稿 来Track安全社区投稿~ 千元稿费!还有保底奖励~(https://bbs.zkaq.cn) 一、小程序资产搜集 在我们去打小程序时,重复率是非常高的,...
网安原创文章推荐【2024/11/25】
2024-11-25 微信公众号精选安全技术文章总览洞见网安 2024-11-250x1 Docker逃逸详解(一)安全攻防屋 2024-11-25 23:14:11文章《Docker逃逸详解(一)》...
通过 API 配置错误和逻辑漏洞实现账户接管
漏洞利用只用了 20 分钟 在一次安全研究中,我偶然发现了一个类似论坛的网站,决定对其进行一些探索。不久后,我发现了一个严重的漏洞。 检查 Cookie 注册账号后,我像往常一样打开了开...
【代码审计】一次权限绕过思路
点击蓝字 关注我们某次朋友突然丢给我一个系统,让我帮忙看看能不能找点漏洞打进去。通过指纹在fofa一看是一个几百站点的通用。后来经过我一顿摸索找到了源码。是采用spring开发,鉴权采用的是jwt方法...
基于令牌的身份验证
基于令牌的身份验证API 的兴起应用程序编程接口,或简称 API,如今变得非常受欢迎。这一繁荣的关键原因之一是能够创建一个可以为多个不同接口提供服务的单个API,例如 Web 应用程序和移动应用程序。...
Burp一款新扩展:JWT-scanner
最近,我对公司的系统进行了JSON Web Tokens(JWT)认证的安全检查。JWT作为一种流行的身份验证机制,广泛用于许多现代Web应用中。它允许我们在用户和服务器之间安全地传递信息,然而,伴随...
22