- 博客(14)
- 资源 (7)
- 收藏
- 关注
RSS订阅原创 Web安全-AWS S3 Subdomain Takeover
子域接管漏洞发生在某个子域名指向的服务被删除或取消后未及时删除域名解析记录（通常为CNAME），攻击者利用这个漏洞创建一个新页面并将其指向该子域名，实现接管。常用的三方SaaS服务如Github pages，AWS S3，阿里云OSS等。该漏洞攻击是怎样的呢？下面模拟一个场景，某公司（corp）即将上线业务A。该业务分配a.corp.net域名提供服务、展示内容；运维按业务要求新建AWS S3 存储业务的静态资源（图片）；
2023-09-05 17:54:51
388
1
原创 Android安全--InsecureBankV2实战
0x01 基本信息项目地址：https://github.com/dineshshetty/Android-InsecureBankv2默认账号：dinesh/Dinesh@123$ or jack/Jack@123$涉及漏洞：Flawed Broadcast Receivers Intent Sniffing and Injection Weak Authorizatio...
2019-10-28 00:48:56
2025
原创 Web安全-SSRF
0x01 简介SSRF（Server-Side Request Forgery），服务端请求伪造。攻击利用了可访问Web服务器（A）的特定功能构造恶意payload；攻击者在访问A时，利用A的特定功能构造特殊payload，由A发起对内部网络中系统B（内网隔离，外部不可访问）的请求，从而获取敏感信息。此时A被作为中间人（跳板）进行利用。SSRF漏洞原因，主要是由于服务端提供了从其他服务...
2019-10-21 00:29:20
1823
原创 Web安全-CSRF
0x01 简介CSRF(Cross-site Request Forgery)，跨站请求伪造。OWASP Top 10 2013、2017都收录了这个漏洞。原理简单来说就是：用户登录了某银行站点，浏览信息。然后被某某广告吸引，点开了另一个站点（恶意站点）。用户在不知情的情况，点击恶意站点某按钮、链接，如下。该链接实施转账操作，由于用户登录银行站点的会话有效，在不知...
2019-10-21 00:24:55
212
原创 Web安全-Sql注入
0x01 简介Sql注入的大名在今天IT界可谓如雷贯耳，距离1998年第一次为公众所知以来已经过去20年，但是依然有一些网站、系统存在这样的问题，看看近期的数据泄露就知道了。作为注入（Injection）的一种，常年占据Owasp Top 10 榜首。1.1 原理漏洞本身的原理其实很简单：用户可控制输入 sql语句拼接用户输入进行执行// sql语句Sel...
2019-10-17 23:42:05
988
原创 Web安全-XSS
0x01 简介XSS（Cross-site script），跨站脚本，为了避免和CSS混淆，简写为XSS。XSS两个条件用户的输入作为html进行显示或直接在JS中进行处理 未对用户的输入进行校验、编码XSS分类反射XSS（Reflected XSS，非持久型）引用Webgoat上图 ，比较清晰。恶意用户发现xss注入点，构造包含恶意代码的链接，通过一些手段使用...
2019-10-17 23:29:53
341
原创 CISSP考试经验分享
2018年10月，在折腾了半年之久后，终于通过了CISSP考试，后续按要求提交申请进行背书，调查没问题就可以收到认证了。思来想去，简单写个总结，作为半年备考的终点，同时希望能够给准备考试的同学提供一些帮助。 关于教材：OSG第七版中文版，AIO英文版，谷安培训练习题（基于第六版教材），cissp-official-isc-practice-tests，谷安培训P...
2019-10-15 00:48:15
4150
1
原创 Web安全--XXE
0x01 简介顺手搜了一下CVE，XXE的问题还真不少。XXE，XML External Entity （外部实体）。DTD（文档类型定义）的作用是定义 XML 文档的合法构建模块。它使用一系列的合法元素来定义文档结构。一般实体（General Entities）可在xml中进行引用，&js;<?xml version="1.0" stand...
2015-10-12 14:43:37
853
原创 AJAX学习笔记
AJAX，即“Asynchronous JavaScript and XML”（异步JavaScript和XML)，中文译名----阿贾克斯。AJAX不是一个缩写词，而是由Jesse James Gaiiett创造的名词，是一种创建交互式网页应用的网页开发技术（From Baidu）。 然后说说我学习后的理解。AJAX，是一种技术的融合的技术，在Web应用中，在客户端...
2010-10-06 01:26:21
101
网络通信中常见问题
1. IP Port 1.有关IP 的unknowhost 我还没遇到这样的情况，自己模拟也没模拟出来，主要不是很明白这个UnKnowHost 异常，我看了java.net.Socket.class 中的源码，创建对象是，会抛出这个异常，描述: if the IP address of the host could not be determined . 我 google 翻...
2010-08-09 19:54:35
415
远程桌面控制开发：客户端几个小问题
1. 屏幕图像传送中，我对不同大小屏幕处理策略远处桌面控制软件，听起来很神秘，其实，就是在服务器和客户机之间传送屏幕截图。这样，引出了一个问题——不同电脑的屏幕大小不一定相同。而远程控制之所以能够实现，无非就是传送鼠标事件、键盘事件的相关数据。鼠标事件的数据，最重要的是鼠标移动中的坐标的传送。这样一来，坐标的相对性就会造成远程控制中鼠标操作的不准确行。举个简单的例子：客户端界面上会...
2010-07-30 03:01:27
359
原创 Eclipse 快捷键
博客申请好几个月了，从来都是看人家的东西，也没有自己写过日志，说来还是有点儿的惭愧。自己开始学 Java 也就三个月，总觉得像我这样一菜鸟，写什么技术日志咯！其实，还是认识上的错误。今天，就先发表一篇这个吧，是比较实用的东西。虽然，我的老师常说，写代码是比较机械的体力活，没有什么技术含量，现在觉得，的确也是那么回事儿。但是，我觉得，Eclipse 给我们提供了强大的功能，我们在写代码的时候就应该应...
2010-07-28 19:05:47
95
空空如也
TA创建的收藏夹 TA关注的收藏夹
TA关注的人