FreeBuf

3225 篇文章
168 人订阅

全部文章

FB客服

PTAA:一款功能强大的紫队自动化渗透测试工具

为了评估安全检测与事件响应能力,我们正在尝试寻找一种自动化模拟对手攻击策略的方式。通过研究,我们设计出了MITRE ATT&CK™ TTPs,并以Metaspl...

883
FB客服

Microsoft Edge和IE浏览器同源策略绕过漏洞分析

最近爆出了IE浏览器和Edge浏览器跨域获取敏感信息的漏洞(绕过同源策略),不过并未被微软承认,于是天融信阿尔法实验室进行了一系列深度测试,看看此漏洞是否真实严...

801
FB客服

客户支持聊天系统中的IDOR漏洞($5,000)

大家好,今天分享的writeup是一个关于客户支持系统(Customer Support)的IDOR漏洞(不安全的直接对象引用),该漏洞可以导致目标系统的访问控...

601
FB客服

Fracker:PHP函数调用追踪与分析工具

Fracker是一套PHP函数调用追踪与分析的工具,其目标是在PHP应用程序的手动安全评估期间协助安全研究人员。

772
FB客服

防代码泄漏的监控系统架构与实践

代码资源是组织的核心资源,对于敏感的代码是不希望流传到外部的,但由于各种原因还是有资源泄露出去, 对于泄露的原因先不论,因为相对比较难避免,但我们可以通过一定的...

1052
FB客服

Dirmap:高级Web目录扫描工具

本人是一名立志安全开发的大学生,有一年安全测试经验,有时在刷src的时候,需要检查所有target的web业务系统是否泄露敏感目录、文件,工作量十分庞大,于是D...

953
FB客服

缓冲区溢出实战教程系列(三):利用OllyDbg了解程序运行机制

想要进行缓冲区溢出的分析与利用,当然就要懂得程序运行的机制。今天我们就用动态分析神器ollydbg来了解一下在windows下程序是如何运行的。

923
FB客服

针对Memcached缓存服务器的渗透测试方法介绍

在之前的文章中,我向大家介绍了如何在Ubuntu 18.04上配置Memcached Server,来构建我们自己的渗透测试实验环境。而本文我们将学习多种利用M...

1013
FB客服

等保2.0将至,解读新标准的变化

中央网络安全和信息化领导小组提出:“没有网络安全就没有国家安全,没有信息化就没有现代化,中国要由网络大国走向网络强国。”首先,我们来看一下近几年来国家层面网络安...

1913
FB客服

提高全员安全意识的6个方向

很多企业安全部门可能因为将预算和资源都投入到软/硬件安全解决方案的采购与部署,侧重技防,而选择性忽略或者根本没有更多预算投入人防。实际上人防与技防处于同等重要的...

724
FB客服

一文看懂认证安全问题总结篇

研究认证相关的安全问题也有一段实践了,今天就对认证相关的安全问题做个总结。其中涉及到一些前置概念这里无法一一讲解,可以在相关RFC文档或者链接中深入阅读,笔者已...

762
FB客服

Flashmingo:SWF文件自动化分析工具

flashmingo是FireEye最新发布的一个用于自动分析SWF文件的框架。它可以自动对可疑的Flash文件进行分类,并进一步的指导分析过程。Flashmi...

621
FB客服

因广告欺诈及滥用权限,百度子公司数十款应用被Google Play封杀

本月中旬,外媒BuzzFeed News报道称Google Play商店中部分热门应用存在广告欺诈及滥用权限的问题,其中有六款属于百度子公司Do Global。...

1153
FB客服

从攻击者角度重新思索inotity API的利用方式

我们以往在看”inotify API”的使用的时候,关注点都放在防护端,比如在入侵事件发生后IT管理员用来监控文件或者目录的改变来辅助排查入侵事件。本文我们将重...

702
FB客服

号称“十分在意用户隐私”的恶意软件罗宾汉是个啥?

最近,一种新的恶意软件出现在了网络上,并且在全世界范围内广泛传播。该软件会自动加密它们访问到的计算机,随后会向用户索要一定数量的比特币作为赎金。

662
FB客服

Dirmap:一款高级Web目录文件扫描工具

本人是一名立志安全开发的大学生,有一年安全测试经验,有时在刷src的时候,需要检查所有target的web业务系统是否泄露敏感目录、文件,工作量十分庞大,于是D...

1263
FB客服

作案7年之久的“盗号天团”浮出水面,新型赌博黑产攻击肆虐网吧

本周BUF大事件还是为大家带来了新鲜有趣的安全新闻,Bilibili后台源码“被开源”,GitHub公开其DMCA删除通知;作案7年之久的盗号天团”浮出水面,小...

672
FB客服

HTTP Leak实现任意账户劫持的漏洞解析

本文分享的是,作者在参与某次漏洞邀请测试项目中,发现目标应用服务的密码重置请求存在HTML注入漏洞(HTML injection),通过进一步的HTTP Lea...

1112
FB客服

凛冬将至渔夫出动,《权游》的钓鱼与避坑

虽然即将夏日炎炎,但《权力的游戏》第八季的到来却能够让各位权游铁粉感受到“凛冬终至”的气息!目前,权游第八季的第二集已经播出,可能很多权游粉丝想的是“养肥了再杀...

922
FB客服

能够用于劫持Youtube用户通知消息的CSRF漏洞探究

大家好,今天分享的writeup是关于YouTube通知服务(Notification)的CSRF漏洞,作者利用该漏洞可以劫持其他YouTube用户(受害者)的...

712

扫码关注云+社区