RSS订阅 立即发帖
筛选:  最新的 推荐的 热门的

记edusrc挖掘的骚技巧

本文作者：Track-Tobisec，主要介绍edusrc入门的漏洞挖掘手法以及利用github信息收集的过程

  • 22
  • 10
  • n3ewlit
  • 发布于 2024-07-29 09:00:00
  • 阅读 ( 13634 )

SQL注入精粹：从0到1的注入之路

从客观角度来看，SQL 注入是因为前端输入控制不严格造成的漏洞，使得攻击者可以输入对后端数据库有危害的字符串或符号，使得后端数据库产生回显或执行命令，从而实现对于数据库或系统的入侵；从攻击者角度来看，需要拼接出可以使后端识别并响应的 SQL 命令，从而实现攻击

  • 36
  • 10
  • 385
  • 发布于 2024-02-05 09:00:00
  • 阅读 ( 19396 )

JWT渗透姿势

JWT（JSON Web Token）是一种无状态认证机制，通过将用户身份和权限信息存储在令牌中，实现安全地在网络应用间传递信息。它具有跨域支持、扩展性和灵活性、安全性以及可扩展的验证方式等特点，成为现代应用开发中重要的认证和授权解决方案。

  • 29
  • 10
  • Yu9
  • 发布于 2024-02-23 09:32:30
  • 阅读 ( 27941 )

记一次SQL注入绕过宝塔+云waf

话不多说，上干货

  • 18
  • 10
  • 陌离sg009
  • 发布于 2023-12-27 09:00:01
  • 阅读 ( 14641 )

【Web实战】数据泄露漏洞

随着移动互联网的快速发展和物联网设备的普及，API在应用开发中扮演着越来越关键的角色。几乎所有的APP、web网站、小程序、微服务都依赖API进行数据调用，因此与API相关的数据泄露事件也逐渐增多。Facebook 、Twitter、Amazon、美团等公司均发生过由于API未鉴权、鉴权不严格或其它漏洞而发生大量数据泄露事件。 API安全指的是确保应用程序接口的安全性，以防止未经授权的访问、数据泄露、篡改或其他恶意攻击。

关于某次授权的大型内网渗透测试

接到朋友邀请，要对一个站点进行全面渗透，内网发现多DC主机，遂记录。

  • 10
  • 10
  • Q16G
  • 发布于 2023-05-12 09:00:02
  • 阅读 ( 15782 )

实战 ｜ 记一次曲折的钓鱼溯源反制

从最开始的一个Web弱口令，到日穿钓鱼服务器，中间也是几经波折，最后还是幸不辱命。

  • 11
  • 10
  • 小艾
  • 发布于 2022-06-27 09:43:51
  • 阅读 ( 11354 )

SQL注入&预编译

本文主要讲述在使用预编译时仍然可能存在SQL注入的情况

  • 20
  • 10
  • mechoy
  • 发布于 2022-05-13 09:33:03
  • 阅读 ( 24081 )

双记一次安服仔薅洞实战-前端JS的相爱相杀

哈喽everyone，我又双回来了，猴子点点的渗透测试工程师这次来分享一个关于前端JS渗透测试的实战教程，这一次也是干公司的项目，老样子还是一个登录框的渗透测试。前端JS通常会泄漏一些接口用于与后台服务器交互，时常会出现未授权或者越权等操作，这一次遇到一个很有意思的接口，下面进入正题吧

  • 18
  • 10
  • L1NG
  • 发布于 2022-04-02 11:17:26
  • 阅读 ( 15682 )

对获取 Windows 明文密码的小工具 NPPSpy 的一次深究

本文是对 @0gtweet 大神发布在twitter上的获取 Windows 明文账户密码的小工具NPPSpy的一次深究，https://twitter.com/0gtweet/status/1465282548494487554

记一次堆叠注入拿shell的总结

菜鸡第一次实战中碰到mssql的堆叠注入，大佬们轻喷。

  • 7
  • 10
  • 0r@nge
  • 发布于 2021-08-27 15:13:53
  • 阅读 ( 15647 )

完整的渗透实例--全面了解渗透技术

# 完整的渗透实例--全面了解渗透技术 ## 写在前面 在我们学习安全时，常常会一直停留在某一方面，甚至不知道自己接下来要学什么，而提前了解我们整个渗透需要掌握的技术显得至关重要，这样我...

  • 15
  • 10
  • Honeypot
  • 发布于 2021-08-19 11:05:37
  • 阅读 ( 11704 )

密码重置漏洞挖掘指南：从原理到实战的完整路径

密码重置功能是Web应用中最常见也最核心的环节之一，它直接关系到用户账户的安全。正因为其普遍性和高敏感性，一个细微的逻辑缺陷都可能导致整个账户体系的沦陷。密码重置漏洞核心思路为：站在攻击者的角度，尝试劫持任意用户的密码重置流程。

高版本jdk下的spring通杀链

jsjcw师傅提出的一条链子。只给了一个payload，然后这里来分析一下过程。

  • 5
  • 9
  • fupanc
  • 发布于 2026-01-30 15:37:14
  • 阅读 ( 50614 )

【转载】手把手js逆向断点调试&js逆向前端加密对抗&企业SRC实战分享

这篇文章主要是给没有学习过js逆向的师傅学习的，分享一些js逆向基础知识，js实战断点调试技巧以及后面分享js逆向靶场搭建以及js逆向前端加密对抗，拿微信小程序常用的AES、RSA和明文Sign 签名校验绕过几个方面给师傅们分享下操作技巧。最后再分享一个企业SRC实战案例。

  • 22
  • 9
  • routing
  • 发布于 2025-09-17 09:00:00
  • 阅读 ( 9571 )

如何通过利用源 IP、IDOR 和信息泄露漏洞绕过 WAF 来发现 SQL 注入漏洞（翻译转载）

在本文中，我将通过一次对斯里兰卡当地最大的供电局网站中的实战SQL注入挖掘分享如何通过利用源IP、IDOR和信息泄露漏洞绕过WAF来发现SQL注入漏洞

  • 6
  • 9
  • Gus616
  • 发布于 2025-02-21 09:00:02
  • 阅读 ( 7467 )

保姆级命令执行总结

详解命令执行绕过

  • 18
  • 9
  • Chu0
  • 发布于 2024-08-16 10:00:02
  • 阅读 ( 9404 )

怒绕三个WAF注入的小故事

天呢，不知道的以为我在注CIA。 发现漏洞 经典的字符串型盲注，无报错回显。注入单引号*1返回404或500（交替出现，无规律），注入单引号*2正常显示： 由于可能存在混淆情况（前几天就遇到一...

  • 10
  • 9
  • 阿斯特
  • 发布于 2024-06-13 09:00:02
  • 阅读 ( 9032 )

【Web实战】 记一次曲折的XXL-JOB API Hessian反序列化到Getshell

一个由Hessian API引发的getshell

  • 7
  • 9
  • Nookipop
  • 发布于 2023-11-29 10:00:01
  • 阅读 ( 19152 )

【Web实战】钓鱼手法及木马免杀技巧

钓鱼是攻防对抗中一种常用的手段，攻击者通常伪装成可信任的实体，例如合法的机构、公司或个人，以引诱受害者揭示敏感信息或执行恶意操作，能快速地撕破目标的伤口，快速进内网进行刷分，投递木马同时需要考虑逃避杀毒软件检测，本篇文章将围绕一些常见的钓鱼手法和木马免杀对抗展开

  • 19
  • 9
  • hyyrent
  • 发布于 2023-11-15 09:00:02
  • 阅读 ( 15970 )