WEB安全 - 推荐的文章 - 第4页

分析流量入门篇

#写在前面最近参加了首届陇剑杯，和往常的CTF不太一样，题目基本都是流量分析类型的，我也是第一次接触这方面，还挺有意思的。写的不好的地方请各位师傅多多指正~这里要感谢共同参与比赛的几...

4
3
Johnson666
发布于 2021-10-05 18:48:08
阅读 ( 14126 )

从RFC看如何使用Base64编码绕过WAF

本文将查看RFC4648对于base64编码的规范，并选取多种base64解码器分析其在实现上的不规范性，并如何通过这种不规范来绕过WAF。

3
3
donky16
发布于 2021-09-09 16:27:59
阅读 ( 11264 )

从PDO下的注入思路到Git 2000 Star项目0day

3
3
J0o1ey
发布于 2021-08-27 10:58:21
阅读 ( 9321 )

优雅地寻找网站源码(一)

# 优雅地寻找网站源码(一) ## 0x0 前言渗透过程中如果能获取到网站的源代码，那么无疑开启了上帝视角。虽然之前出现过不少通过搜索引擎查找同类网站，然后批量扫备份的思路，但是却没...

8
3
xq17
发布于 2021-08-09 13:31:31
阅读 ( 11124 )

web安全---第三方软件提权

**前言** 在入侵过程中，通过各种办法和漏洞，提高攻击者在服务器中的权限，从而以便控制全局的过程就叫做提权。例如：windows系统--->user(guest)--->system;Linux系统--->user---&g...

3
3
和风
发布于 2021-07-09 15:56:51
阅读 ( 10731 )

记一次Bypass SQL注入

*严正声明：本文仅限于技术讨论与分享，严禁用于非法途径。 ## 一、开局先拿到一个站点，这里假设是http://110.120.119.911/dashboard，大致浏览一下没啥，小手那么一动，http://110.120...

1
3
长相安
发布于 2021-06-23 14:02:15
阅读 ( 11222 )

记一次自动化渗透测试的学习研究

在攻击树的基础上生成简化版的转移矩阵，随后基于深度强化学习来自动化给出渗透测试策略，未来可以根据该策略自动调用渗透测试工具来完成攻击。

1
3
z3
发布于 2021-06-08 17:02:35
阅读 ( 11280 )

记一次文件上传的曲折经历

3
3
带头大哥
发布于 2021-04-07 20:16:45
阅读 ( 11723 )

绕RASP之内存马后渗透浅析

在RASP的防御下，如何绕过waf以达到反序列化，进而RCE呢？

4
2
shushu123456
发布于 2025-05-16 09:00:01
阅读 ( 5708 )

从开发者视角解析Gin框架中的逻辑漏洞与越权问题

以go的gin后端框架为例子，详细剖析了各种逻辑越权漏洞的成因已经对应防范手段，也为白帽子提供挖掘思路

4
2
7ech_N3rd
发布于 2025-02-28 09:04:21
阅读 ( 5735 )

使用分支对抗进行webshell bypass

2
2
Werqy3
发布于 2025-03-10 11:17:55
阅读 ( 6459 )

resin内存马研究思路以及细节处理

最近实习过程中在进行一些内存马的工作，其中有些中间件自己还不是很熟悉，于是一个一个想着把他们都过一遍。然后又正好在回顾和学习泛微的一些洞，对应着resin也过一遍。

1
2
stoocea
发布于 2025-02-12 10:00:00
阅读 ( 5569 )

记一次渗透测试过程中碰到的Symfony框架的利用

记在一次渗透测试过程中碰到的Symfony框架debug模式下的利用，以及和常规利用不一样的地方

0
2
sky0
发布于 2025-01-10 09:00:01
阅读 ( 6065 )

PHP序列化、反序列化漏洞超全总结

在以往测试中总结的序列化、反序列化漏洞，欢迎各位师傅们补充！

8
2
xiaoyu007
发布于 2024-05-21 10:00:00
阅读 ( 10791 )

三种针对JSON Web Tokens的新攻击方式

本文是笔者阅读BLACK HAT-2023中《Three New Attacks Against JSON Web Tokens》这篇paper学习后所写的笔记，涉及到相关的原理知识、3种新的JWT攻击姿势和复现过程。

3
2
fengsec
发布于 2024-04-11 09:37:29
阅读 ( 8069 )

粉碎状态机:Web条件竞争的真正潜力

blackhat 2023中有一篇议题《Smashing the state machine: The true potential of web race conditions》中介绍了利用单数据包进行条件竞争这么一个新技术，并且提供了很多的Lab来练习。本文记录的是我阅读议题的paper进行学习和做Lab的过程，部分段落翻译自议题的paper。