- 博客(2)
- 资源 (15)
- 收藏
- 关注
RSS订阅原创 web测试中的短信问题
记录一下： 网站中手机号已经成为最重要也是最普遍的验证方式了。 所以关注短信的问题。 1.重置密码/短信验证码登录时验证码回显。 直接通过抓包，若验证码直接出现在返回包则直接可以跳过手机验证的阶段。 2.验证码没有限制发送频率。 利用这个来做短信炸弹， 3.发送手机短信验证时不需要输入图片验证码直接发送。 直接可以调用接口，可以被人利用做短信轰炸。 4.可以控制短信内容。 抓包...
2019-08-17 23:57:49
395
原创 APP安全测试一般关注点
记录一下： 一、身份认证安全 1、暴力破解账号密码 没有设置错误最大尝试次数，没有验证码校验， 2、前端校验账号密码 修改返回包的返回值测试。 3、密码重置安全 利用短信验证码回传，验证码暴力破解等 二、业务接口调用 1.重放攻击 短信炸断，自定义短信内容，邮件查单 三、业务交易安全 窜依篡改金额，负数支付，绕过支付，支付溢出，多线程并发，多重替换支付 四、业务授权安全 水平越权和垂直越权 ...
2019-08-11 22:16:03
522
phpcms v9.6.0版本
phpcms v9.6.0版本 注册处存在一个前台getshell的漏洞，特地保留这个版本，分享给大家学习使用。
phpcms是一个比较流行的cms.
2017-09-09
struts-2.3.24-apps.zip包测试Struts2 S2-048高危漏洞
2017年7月7日，Apache Struts发布最新的安全公告，Apache Struts2-strus1-plugin插件存在远程代码执行的高危漏洞，漏洞编号为CVE-2017-9791(S2-048),主要受影响的Struts版本为：2.3.x。
攻击者可以构造恶意的字段值(value)通过Struts2的struts2-struts1-plugin的插件传递给被攻击主机，从而实现远程代码执行攻击，直接获取远程主机的控制权限。
2017-09-08
WAVSEP1.5版本war包
wavsep v1.5版本。
WAVSEP 是一个包含漏洞的web应用程序，目的是帮助测试web应用漏洞扫描器的功能、质量和准确性。WAVSEP 收集了很多独特的包含漏洞的web页面，用于测试web应用程序扫描器的多种特特性。
2017-09-04
IIS上asp和php环境配置文件
fcgisetup_1.5_rtw_x86.rar
php5(ISAPI).mysql5.zendforIIS.rar
php-5.3.8-Win32-VC9-x86.msi
2016-11-18
空空如也
TA创建的收藏夹 TA关注的收藏夹
TA关注的人