web安全 第19页

2022-06-02hush阅读(288)赞(0)

为了防止安全漏洞，大多数人都避免点击可疑电子邮件、消息和有风险的下载。然而一种通过“零”交互来感染设备的攻击方式正悄然而生。它就是我们今天要讨论的“零点击”攻击场景。  什么是“零点击”攻击 无论是直接利用目标软件中的漏洞，还是通过社会工程...

2022-05-27hush阅读(292)赞(0)

SRC挖掘有很多平台，比如EDUSRC，比如公益SRC：补天、漏洞盒子等，还有就是一些企业SRC。 对于挖掘src的小伙伴来说第一步都是对资产进行收集，所以本篇文章首先介绍一下SRC的上分思路，然后会具体讲解一下信息收集的思路。 公益SRC...

2022-05-26hush阅读(280)赞(0)

一、网络拓扑图 二、实施步骤 1.Hacker 克隆钓鱼网站，以 139 邮箱登录网站为例：http://mail.10086.cn，在用户 A 上进行测试目标网站是否克隆成功，查看 hacker 和用户 A 的 IP 配置。 （1）用户 ...

2022-05-24hush阅读(294)赞(0)

PT（Advanced Persistent Threat）是指高级持续性威胁。利用先进的攻击手段对特定目标进行长期持续性网络攻击的攻击形式，APT攻击的原理相对于其他攻击形式更为高级和先进，其高级性主要体现在APT在发动攻击之前需要对攻击...

2022-05-23hush阅读(247)赞(0)

0x01 前言 碰到了一个对外宣传是否安全的站点，但实际测试下来并不安全。不过在这次获取权限的过程中还是有点曲折，记录下来并分享给大家。 整个测试过程均在授权的情况下完成，漏洞详细已经提交并通告相关知情。 0x02 过程 1. 进入 htt...

2022-05-20hush阅读(253)赞(0)

一、简介   在对网站进行渗透测试过程中，经常会遇见WAF，从而导致直接封IP，无法上传文件，文件上传漏洞对Web应用来说是一种非常严重的漏洞。   一般情况下，Web应用都会允许用户上传一些文件，如头像、附件等信息，如...

2022-05-18hush阅读(295)赞(0)

一直以来，都想摆脱sqlmap的束缚，通过自定义脚本来完成 某月某天，挖盒子过程中，burpsuite扫出某个sqli，花了点时间测了下，确实有些搞头。 是一个from子查询payload，select*from(select sleep(...

2022-05-17hush阅读(274)赞(0)

0x01 前言 周末时间中午吃饱喝足后，闲着无聊上线玩了几把游戏，听着音乐，本想周末就这样悠闲的过的，怎么老输，开始键盘侠上线 ，没办法，人菜又瘾大。 PS：本文仅用于技术讨论，严禁用于非法用途，违者后果自负，与本站及作者无关。 0x02 ...

2022-05-10hush阅读(288)赞(0)

“ 摸瓜是一款免费的在线安卓apk反编译神器，支持域名、ip、邮箱、手机号的自动提取，可在线查看反编译后的java源代码等。笔者使用摸瓜有段时间了，体验非常好，不管你有没有APK反编译基础都能使用。可以说已经完全替代了apktool三件套，...

2022-05-09hush阅读(241)赞(0)

前言 在渗透测试的很多时候，我们可能都得不到数据的回显。由于得不到数据的回显，我们就无法进一步判断我们渗透测试的结果。所以本文告诉大家，在没有回显的时候，我们又该如何测试。 1.利用ping ping `命令`.dnslog 有很多免费的d...