xiaohei 发布的文章

x01 前言本文是对zzzcms php版v1.7.5进行审计的分享(勉强称之为0day),审计目标是从前台到后台再到任意代码执行。对于zzzcms的分析和审计文章也不少了,但是一些文章分析的内容和漏洞点在v1.7.5版本已经进行了修复,因此本文在此基础上进一步进行审计和分析,以挖掘更多的内容。x02 SSRF(凑数)存在这个问题的接口主要功能是远程下载保存图片,但是后缀限制死了,因.......

1. 研究对象:XSS、html标签、填充符首先大概的说一下填充符的概念。可被用来分隔语法关键词却不影响语义的符号。举个例子,比如说一个简单的XSS payload <svg onload=alert()>。我们可以用/来代替svg和onload之间的空格,且不会影响html的解析。我们就说,/是一个填充符。在waf&filter bypass的过程中,填充符扮演了一个非.......

大家都知道公共场所的Wifi安全性很差,但并不清楚究竟有多差。大多以为只要不上QQ、不登陆网站账号就没事了,看看新闻小说什么的应该毫无关系。  的确如此,看看新闻网页没有涉及任何敏感的账号信息。即便是数据明文传输,Hacker也只能嗅探到你看了哪些新闻,这些毫无价值的信息。  不过如此守株待兔的嗅探,似乎也太被动了。既然我们能主动控制流量,何必用这种弱爆了的方法呢?  -------.......

Fastjson组件介绍Fastjson是一个Java语言编写的高性能功能完善的JSON库。它采用一种“假定有序快速匹配”的算法,把JSON Parse的性能提升到极致,是目前Java语言中最快的JSON库。Fastjson接口简单易用,已经被广泛使用在缓存序列化、协议交互、Web输出、Android客户端等多种应用场景。漏洞描述Fastjson远程代码执行漏洞是由于使用com.ca.......

自动报警的密码曾有传言,在 ATM 机上密码倒着输会自动报警。且不论真实性,就这想法还是有点意思的。首先,也是最重要的,输入了这个反密码仍能取钱,这满足了劫匪的目的。但同时已悄悄的报警,想必也逃不远了。其次,这无需引入一个额外的报警密码。多一个就会提升复杂度,增加记错的可能。最后,即使平时输错,那么正好输成这个报警码的概率也是很低的。(12321 这种回文暂不考虑)于是密码除了可以用.......

点击劫持这一篇总结得很清楚也很通俗易懂(手动滑稽)https://blog.csdn.net/qq_32523587/article/details/79613768Self-XSS一些网站为了用户体验着想会有这么一个功能,就是用户在提交信息失败并且需要返回去填的时候会帮你自动把之前填写的信息补全回来,这样就避免了用户的重新输入,节省了用户的时间。这是一个很好很人性化的功能,但是这种.......

内容欺骗漏洞是指攻击者可以通过修改网页源代码,让访问者觉得是该功能或者该站点是可信合法的,来达到欺骗用户的目的。内容欺骗往往利用web服务的用户和组织之间建立的信任关系,意图是欺骗用户,达到钓鱼获取用户敏感信息的目的。OWASP也将也被称为内容注射或者虚拟污损,内容欺骗漏洞攻击一般是和社会工程学配合使用,这种攻击是通过利用基于代码的脆弱性和用户的信赖。在某些情况下,攻击者利用该漏洞可.......

前置基础一、证书结构数字证书是用来认证公钥持有者身份合法性的电子文档,由 CA(Certifacate Authority)来负责签发。数字证书结构的ASN.1语法描述如下,应包括证书内容、签名算法标识符以及对证书内容的签名,其中,签名算法为CA对tbsCertificate进行签名时所使用的算法:Certificate: :=SEQUENCE { tbsCertifica.......

我今天想到一个用图片传递数据的另类应用场景,分享给大家。在Android系统中,很多App为了在网页里实现一些客户端的功能,往往会在客户端开启一个本地HTTP服务。通过在网页中调用这个服务的不同接口,可以轻松实现原本无法实现的功能。本文不讨论这种做法本身,只说存在的问题:随着越来越多Web产品升级到HTTPS,通过JSONP或XHR2与HTTP服务交互就行不通了。现代浏览器(Chro.......

0x00 前言前段时间,看到安全客有观星实验室的师傅写了篇《基于内存 Webshell 的无文件攻击技术研究》的文章,他的办法是动态的注册一个自定义的Controller,从而实现一个内存级的Webshell。文章也针对Spring不同的版本做了不同的实践,达到通杀Spring。虽然看起来达到通杀Spring了,但是对于一些非Spring的web框架,是不是就没办法了?这算是其局限吧.......

Accept-Encoding 和 Content-Encoding 是 HTTP 中用来对「采用何种编码格式传输正文」进行协定的一对头部字段。它的工作原理是这样:浏览器发送请求时,通过 Accept-Encoding 带上自己支持的内容编码格式列表;服务端从中挑选一种用来对正文进行编码,并通过 Content-Encoding 响应头指明选定的格式;浏览器拿到响应正文后,依据 Co.......

网上有不少IP地理位置查询的API,像ip-api.com,但为了避免造成查询服务超载,都限制了查询数,所以最好的办法还是将IP地理库下载到本地,然后进行查询。而其中IP地理库会按精确程度(其实就是更新是否及时)进行收费,当然也会好心的开放一下不用收费但没有那么准确的数据库以下介绍利用maxMind提供的免费的IP地理库来定位IP的地理位置一、GeoIP的使用第一步:安装geoipl.......