首页
学习
活动
专区
工具
TVP
发布

FreeBuf

专栏作者
8085
文章
9118948
阅读量
349
订阅数
如何使用HBSQLI自动测试基于Header的SQL盲注
HBSQLI是一款功能强大的自动化SQL注入漏洞测试工具,该工具可以帮助广大研究人员以自动化的形式测试基于Header的SQL盲注漏洞。
FB客服
2023-12-19
1250
浅析白盒白名单SQL注入绕过利用
看到标题的第一反应,大家可能感觉本文讲的是一些老套数,比如select/*xasdasdsa*/等等垃圾字符绕过,在平时代码审计项目中,遇到了很多白名单过滤,现实情况就是,根本不允许使用特定语句和方法,比如一些存在注入的代码中,明明有注入但是碰到了白名单过滤。洞就送在眼前了,只需要变通一下,就可以成为一个新的洞了。
FB客服
2023-09-18
2440
ecshop全系列SQL注入漏洞分析
ecshop是一款B2C独立网店系统,适合企业及个人快速构建个性化网上商店。系统是基于PHP语言及MYSQL数据库构架开发的跨平台开源程序。最新版本为3.6.0。而最近ecshop爆出存在SQL注入漏洞,且能影响至所有系列。本文就对该SQL注入漏洞的成因做简单的分析。 漏洞原理 本次漏洞主要是由于user.php文件login响应存在漏洞,其内部的display的参数可被攻击者控制,从而导致SQL注入漏洞,利用该漏洞可实现远程任意命令执行。 漏洞利用 漏洞分析 login响应,将
FB客服
2023-05-19
1.2K0
一次SQL注入到代码审计之路
一、找网站SQL注入点 在测试时后发现有一个信息查询框,就是下面这个图片显示的。一般信息查询框会和数据库存在交互。 我输入数字1,会正常提示木查询到相关信息。 那我们使用1’测试一下,发现不弹未查询到相关信息的提示框,也没有任何数据输出,大致判断这个点存在sql注入,并且不对输出报错信息。 大概猜测出SQL语句为 : select * from A where id ='$_POST['id']'; 没有对用户输入的数据做任何过滤。 构造一个闭合语句再次确认一些是否确认存在sql注入。 paylo
FB客服
2023-04-26
1.2K0
Jeeves:一款功能强大的SQL注入漏洞扫描工具
 关于Jeeves  Jeeves是一款功能强大的SQL注入漏洞扫描工具,在该工具的帮助下,广大研究人员可以轻松通过网络侦查等方式来寻找目标应用程序中潜在的基于时间的SQL盲注漏洞。  关于盲注  盲注分为两类: 1、布尔盲注:布尔很明显Ture跟Fales,也就是说它只会根据我们的注入信息返回Ture跟False,也就没有了之前的报错信息。 2、时间盲注:界面返回值只有一种,即Ture。也就是说,无论输入任何值,返回情况都会按正常的来处理。加入特定的时间函数之后,我们将能够通过查看Web页面返回的时间差来
FB客服
2023-04-26
4810
突发!微软SQL服务器遭勒索攻击,所有文件被加密
近日,Microsoft SQL (MS-SQL) 服务器遭到攻击,因其安全性较差,入侵者进入服务器后直接安装了 Trigona 勒索软件,并加密了所有文件。 入侵者是利用了那些极易被猜到的帐户凭据为突破点,暴力攻击了MS-SQL 服务器,并安装了名为CLR Shell的恶意软件,这次攻击是被韩国网络安全公司AhnLab的安全研究人员发现的。 这种恶意软件专门用于收集系统信息,还可以直接更改那些被入侵的帐户配置。此外,该软件还可以利用Windows辅助登录服务中的漏洞将特权升级到LocalSystem,不过
FB客服
2023-04-26
7660
立即修改密码,KeePass 曝严重漏洞,密码数据库被明文导出
鉴于各平台对密码的要求越来越复杂,许多用户使用密码管理软件统一存储密码,此举虽然很好帮助用户管理账户信息,但同样意味着一旦此类软件存在安全漏洞,很容易导致机密数据泄露。 近日,Bleeping Computer 网站披露,开源密码管理软件 KeePass 被爆存在严重安全漏洞 CVE-2023-24055,网络攻击者能够利用漏洞在用户毫不知情的情况下,以纯文本形式导出用户整个密码数据库。 不同于 LastPass 、BitwardenKeePass 等云托管的数据库,KeePass 允许用户使用本地存储的
FB客服
2023-02-24
6260
我认识的那些网安客户
这些年,和各种类型的网安客户打过交道,有些事想起来还挺有意思。 客户A:软件才买成2000,为啥你改一下就要4000!!! 那年我还是学生,平时喜欢搞一些破解的事情,这个客户算是我第一单网安生意吧。 客户是我一个朋友介绍的,他在省城开连锁门店,花2000块买了一个类似ERP的客户关系管理软件,主要用途就是管理充值卡。但是客户还有一个财务软件,现在想把两个软件的数据对接起来方便使用,又不想花钱请原厂修改(估计原厂不鸟他),因听我朋友说可以破解,就请我去看看。 我大概花了半个小时,很快找到配置文件,数据库密
FB客服
2023-02-24
2350
云与信任——未来安全的战场
最近趁着新年假期,抽出时间对未来的安全行业的发展做出了一些总结。期间玉玉师傅的2022年末总结和《内生安全》给我的印象十分深刻。打算写点东西,所以我就接着《萌新学习零信任》继续给大家梳理一下,咋们安服崽以后会面对的新事物和新一代的安全设备。希望对大家有所帮助,让大家在选择学习什么"新"技术的时候有所参考。
FB客服
2023-02-10
6750
FreeBuf 周报 | Twitter 2 亿用户数据泄露事件反转,塞尔维亚政府遭 DDoS 攻击
各位 Buffer 周末好,以下是本周「FreeBuf周报」,我们总结推荐了本周的热点资讯、安全事件、一周好文和省心工具,保证大家不错过本周的每一个重点!
FB客服
2023-02-10
4840
FreeBuf周报 | FBI情报网站遭黑客攻击;国际乓联泄露运动员信息
各位 Buffer 周末好,以下是本周「FreeBuf周报」,我们总结推荐了本周的热点资讯、安全事件、一周好文和省心工具,保证大家不错过本周的每一个重点!
FB客服
2023-02-10
3640
第三方供应商数据泄漏,Gemini 客户恐遭钓鱼攻击
Bleeping Computer 网站披露,Gemini 加密货币交易所近日宣布,由于第三方供应商遭网络攻击,导致大量客户的电子邮件地址和电话号码泄露,部分 Gemini 客户可能已经成为了潜在网络犯罪分子的攻击目标。
FB客服
2023-02-10
2920
FBI的关基情报网站遭黑客攻击,数据库在暗网出售
当地时间12月15日消息,据安全媒体Security Affairs报道,美国联邦调查局(FBI)的关键基础设施情报门户网站InfraGard遭到黑客攻击,其数据库在暗网违规出售,内含8万多名知名私营部门成员的联系方式。
FB客服
2023-02-10
3660
Pmanager:一款功能强大的密码检索和泄漏检测工具
Pmanager是一款功能强大的密码检索和泄漏检测工具,该工具可以帮助广大研究人员从一个安全的脱机数据库中存储或恢复密码。除此之外,该工具还可以检查目标用户的密码以前是否泄漏过,以防止有针对性的密码重用攻击。
FB客服
2022-11-14
6711
因滥用 Optus 泄露的数据信息敲诈受害者,19岁少年被捕
The Hacker News 网站披露,澳大利亚联邦警察(AFP)逮捕了一名来自悉尼的19岁青少年,该少年被指控试图利用上月底Optus 泄露的数据信息,敲诈受害者。
FB客服
2022-11-14
3360
代码审计:如何在全新编程语言中发现漏洞?
摘要:既然漏洞理应存在于所有语言之中,那么面对完全陌生的全新语言,有哪些思路可以帮助我们察觉漏洞?本文将帮助你更深刻地领悟漏洞的成因,提升代码审计水平。
FB客服
2022-11-14
6470
一个隐藏SQLite数据库长达22年的漏洞
安全专家Andreas Kellas详细介绍了2000年10月推出的SQLite数据库中的一个高严重性漏洞,被追踪为CVE-2022-35737(CVSS评分:7.5)。
FB客服
2022-11-14
2050
安全大事件!360万+MySQL服务器暴露在互联网上
据Bleeping Computer报道,至少有360万台MySQL服务器已经暴露在互联网上,这意味着这些服务器已经全部公开且响应查询。毫无疑问它们将成为黑客和勒索攻击者最有吸引力的目标。
FB客服
2022-06-08
1.1K0
微软:警惕针对MSSQL服务器的暴力攻击
据Bleeping Computer网站5月18日消息,微软正对使用Microsoft SQL Server (MSSQL) 数据库服务器的用户发出安全警告,警惕攻击者利用弱密码对暴露在网络上的 MSSQL发动暴力攻击。
FB客服
2022-06-08
6390
链家IT管理员删除数据库,被判7年有期徒刑
Bleeping Computer 资讯网站披露,房地产经纪巨头链家的前数据库管理员韩冰,因登录公司系统并删除公司数据,被判处 7 年有期徒刑。
FB客服
2022-06-08
4050
点击加载更多
社区活动
Python精品学习库
代码在线跑,知识轻松学
热点技术征文第五期
新风口Sora来袭,普通人该如何把握机会?
博客搬家 | 分享价值百万资源包
自行/邀约他人一键搬运博客,速成社区影响力并领取好礼
技术创作特训营·精选知识专栏
往期视频·干货材料·成员作品·最新动态
领券
问题归档专栏文章快讯文章归档关键词归档开发者手册归档开发者手册 Section 归档