网站漏洞扫描之文件上传漏洞的绕过办法
1.JavaScript验证绕过。JavaScript认证就是所谓的客户端认证，也是最容易受到攻击的认证。直接修改包或者禁用JavaScript绕过它。2.绕过内容类型身份验证。验证内容类型最常...
admin
如何学习挖掘网站存在的越权和SQL注入漏洞
对越权的问题还是挺多的，由于业务系统很复杂，开发人员众多，难免会有功能没有做权限检查，对于这一部分就存在两种操作： 任务1：在因特网上找到一个可注册的网址，测试它忘记密码的过程，记录该过程...
图片上传漏洞绕过云防火墙的一些案例分享
这是一个把图片转base64的图片上传类型，具体实施绕过内容如下：根据抓包看到图片是以base64进行提交的，留意了下数据包，看到可根据更改upload_0字段内容提交任意文件浏览HTML页面，成功被...
网站恶意代码URL检测之静态特征法
尽管研究人员提出了多种检测方法，但恶意URL会采用多种逃避检测的方法，如用代码混淆来逃避静态点。分析中的特征提取使基于静态特征的方法失效；利用客户端环境检测识别用户客户端类型，避免基于行为...
apache log4j2任意代码执行漏洞POC EXP修复解决方案
正愁这个周没文章可写，结果两天前就曝了一个核弹级的漏洞“log4j RCE”，这两天官方的修补方案也逐渐完善。所以本篇就拿 log4j 作为主题讲一下我的发现。RCElog4j RCE 原理已经有挺多...
html标签防止XSS攻击的 7大安全方法
1、href、src属性须要检验协议假如未检验，网络攻击者可以应用javascript:伪协议插进执行恶意的js代码。2、什么原因a标签得加tol=”nofollow”属性？这一属性的意思是告知各大搜...
Typecho源代码审计之反序列化漏洞
今日在Seebug的微信公众号看到了Typecho的1个前端getshell剖析的内容，随后自个也要来掌握一下下。维持对业内的关心，掌握全新的漏洞很重要。什么叫反序列化漏洞如题所讲，这是一个反序列化产...
通过smb漏洞查询服务器里的敏感信息
首先我们来查看一下print，这个共享文件夹当中具有什么内容，print之后，然后回车，我们回车不是有密码，可以看到我们这个连接是失败的，因为没有对应的权限，我们看到print没有权限...
蓝科LankeCMS漏洞 导致大量企业网站被挂马篡改
近期收到很多用蓝科lankecms网站源码做的网站的客户反馈，首页文件index.html和m.html被篡改增加了跳转代码，导致从百度点击进来的直接跳转到2022卡特尔世界杯体育网站上去...
利用渗透测试漏洞获取攻击者的微信ID
之前打CTF的时候遇到过很多次这个漏洞。渗透测试期间，我们研究了蜜罐的骚操作，比如获取百度ID、CSDN账号、微信ID等。，给攻击者一个攻击者的画像。学习原理，然后做一些改进，运用MySQL的漏洞获取...