接着上一篇文章,本篇文章将会给出具体可行的操作方法,如未看上一篇文章,传送门如下:金融业“解码差异”漏洞上一篇中讲到,攻击者需要注册个非常规域名,那么这种域名是怎么去注册呢?是不是一定要去注册?分场景...
从一个绕过长度限制的 XSS 中,我们能学到什么?
从一个绕过长度限制的 XSS 中,我们能学到什么? 从一个绕过长度限制的 XSS => IDN => IDNA => punycode => NFKC,长文警告! 一个绕过长度...
记一次使用gophish开展的钓鱼演练
这周接到客户要求,组织一次钓鱼演练,要求是发送钓鱼邮件钓取用户账号及个人信息。用户提交后,跳转至警告界面,以此来提高客户单位针对钓鱼邮件的防范意识。与客户沟通后得知他们企业内部是由邮箱网关的,那么就意...
【DEFCON-32 议题解析&靶场通关】分割电子邮件之源:利用解析器绕过访问控制
介绍有些规定电子邮件地址格式的 RFC 标准已存在超过 50 年,随着多年的演变,这些标准实际非常宽松,电子邮件地址中可以包含引号、注释、转义字符和各种编码,如果需要在项目中解析电子邮箱的话,从技术上...
恶意广告活动:针对软件搜索的新威胁
Details have emerged about a malvertising campaign that leverages Google Ads to direct users searchi...