先叠个甲,这类的混淆我在网站见过很多次,这次单独研究这个混淆主要是HVV时候没空写,这次先解决给下次未雨绸缪。 虽然已经是一个“老生常谈”的话题,但随着浏览器安全策略和防护手段的不断更新,XSS 的绕过技术也在持续演化。本文系统梳理了常见的 XSS 绕过思路,重点介绍了 内容安全策略(CSP)的绕过方法、混合 XSS(mXSS)的成因与利用,并结合实际案例分析其背后的实现原理。通过从机制层面理解这些绕过方式,读者不仅能够更清晰地认识 Web 安全防护的局限性,还能在攻防对抗中掌握更有效的思路。
感觉整个渗透过程特别有意思,从扫描到 heapdump 泄露,到得敏感信息的泄露,再到观察请求包,思考参数表达的意思,为什么是这样的,从而发现隐藏的表达式注入点,到 getshell
本文将介绍Windows系统调用在免杀对抗中需要解决的问题以及各个免杀的系统调用项目是如何解决这些问题的,通过本文的学习能让大家更加深入地了解Windows系统调用的过程并了解运用系统调用去规避AV/EDR的检测的一些技巧。
人工智能系统的安全范式正从外部防御转向保障其内在的认知完整性。攻击通过污染训练数据、在微调阶段植入后门、利用供应链漏洞以及在推理时注入恶意上下文,旨在从根本上破坏模型的可靠性与安全性
想不到什么好标题
Flowable 是一个用 Java 编写的轻量级业务流程引擎。其中存在插入表达式的功能,其表达式为UEL表达式,并且在达到触发条件时,会对该表达式进行解析执行。
by AugustTheodor & 千堆雪与长街 文章太长了,有稍微的删改。
又一个前台未授权漏洞爆了出来,而且纵观 Smartbi 的历史漏洞,都是未授权漏洞,看到各个乙方公司的公众号都发了这个漏洞,但是没有一个有分析过程的,也只是一个calc就下播,于是前来分析一手
周末参加了ctf 比赛,第一次接触,花了点时间,找朋友辅助了一下,最终获取题目答案
讲解jsf框架的成因,以及jsf框架下的gadget构造,最后以现实世界列子来突出漏洞风险。