黑白安全-腾讯云开发者社区

开发者社区

文档建议反馈控制台

最新优惠活动

文章/答案/技术大牛

发布

黑白安全

黑白网成立于2014年，基于丰富的技术和经验，提供各类技术性动态。官网:heibai.org.cn

专栏成员

1299

文章

2273768

阅读量

251

订阅数

2022年蓝队初级护网总结

文件存储安全漏洞漏洞扫描服务安全网站

一. 设备误报如何处理？答：来自外网的误报说明安全设备需要进行策略升级，不需要处置。如果是来自内网的误报可以和负责人协商一下看能不能解决，有必要的话添加白名单处理。二. 如何区分扫描流量和手工流量？答：1.扫描流量数据量大，请求流量有规律可循且频率较高，手工流量请求少，间隔略长2.使用工具扫描的流量一般在数据包中有相关特征信息，比如说通过wireshark

2022-09-13

5.6K1

网络安全安全 php 编程算法网站

登陆管理后台的恶意攻击者可以通过fopen/fread/fwrite方法读取或上传任意文件，成功利用此漏洞可以读取目标系统敏感文件或获得系统管理权限。1、前言百度云安全团队监测到国产开源项目管理软件禅道官方发布了文件上传漏洞的风险通告，该漏洞编号为CNVD-C-2020-121325，漏洞影响禅道<=12.4.2版本。登陆管理后台的恶意攻击者可以通过f

2022-04-26

1.3K0

红队渗透手册之信息收集篇

tcp/ip 网站 cdn 搜索引擎

转发自：水滴安全实验室信息收集是渗透测试的前期主要工作，是非常重要的环节，收集足够多的信息才能方便接下来的测试，信息收集主要是收集网站的域名信息、子域名信息、目标网站信息、目标网站真实IP、敏感/目录文件、开放端口和中间件信息等等。通过各种渠道和手段尽可能收集到多的关于这个站点的信息，有助于我们更多的去找到渗透点，下面将介绍比较常见的一些信息收集的方法和需要

2022-04-26

2K0

我攻破了LOL钓鱼网站后台，查清背后的盗号黑色产业链。

访问管理 tcp/ip 网站网络安全

大好，我是田浩。2020年5月14日，我刚注册公众号没多久，有个叫方子的男生发私信给我。说英雄联盟准备出手游，但内测资格一直没公开，有骗子利用这个机会，伪造官方给用户发送带有钓鱼链接的邮件来盗号。方子就是其中一个受害者，除了他，我也去了英雄联盟的贴吧看了下，确实有很多人收到了这类邮件。由于反馈这事的人比较多，加上我平常也玩LOL，所以整理了下线索，开整。1目

2022-04-26

1.7K0

实战笔记之二维码劫持漏洞

微信安全网站 https 网络安全

----------------------------思考了一段时间情报类的实战笔记不适合未经脱敏地外放以后，我会去掉具体细节跟大家分享思路。这次面向白帽子师傅们，分享一个实战中碰到的二维码劫持漏洞案例------------------------------------0x01 场景再现vue类型的网站，登录口，有三种登陆方式。（ps:你要是只看到了两

2022-04-26

1.7K0

都0202年了老嗨还在用的 - 各种姿势jsp webshell

shell 网站 jar jsp php

最近，我的朋友“老嗨”，他参加了一个某云举办的号称可能史上最强的使用了AI技术的WebShell检测系统挑战赛...因为我没什么时间去搞这个，所以，我把我珍藏多年，姿势比较多的jsp webshell发给了老嗨，老嗨跟我说，全部bypass了，但最后的结果非常惨烈，有被抢了的，有的因为没适配windows导致降级的，也有因为裁判机使用了openjdk亦或者他根本不会java瞎配的classpath导致不能运行的，惨惨。

2022-04-26

6K0

对棋牌app漏洞挖掘以及一些工具（附送0DAY）

app测试腾讯云测试服务网络安全安全网站

前段时间写的帮粉丝渗透棋牌app，被很多朋友私信问我到底怎么搞下来的，他们也想来这么一套一顿操作猛如虎的连环打法。

2022-04-26

8K3

为什么XSS这么有生命力？

html html5 xml 网络安全网站

今天的HTML是大量网页信息的基本构建块。HTML旨在提供一种真正可扩展的用于布局的语言编写方式，它非常的灵活且不会受到太多的的约束。为什么发展至今，相较于SGML、XML，HTML可以获得成功，并且在全世界范围内获得更广泛的应用呢？毫无疑问，这与HTML本身的灵活性与宽容性的特性脱离不了关系。这很好理解，人们在选择使用一种语言进行内容创作时，相较于考虑选择使用何种语言，考量这种语言是否更合规，更应该考虑的是想要创作的内容本身是否是优质且利于人们学习发展的。

2022-04-26

4720

我顺藤摸瓜端了色情网站的老窝，并劝他从良

网站微信 tcp/ip

可以推测出来这个色情网站的站长是做的站群类型【站群最简单的理解就是一群网站，而这些网站都是属于一个人的】

2022-04-26

1.3K0

老婆沉迷赌博输了一套房，我顺藤摸瓜端了澳门赌场

这天，我和往常一样，翻看着粉丝给我发的消息，有一条消息引起了我的留意，这位粉丝的老婆因为迷上了网赌，把买房的一百多万存款全部输干净了

2022-04-26

5540

由JSON CSRF到FormData攻击

json 安全网站 https html

首先：你们必须知道CSRF攻击，如果不知道，那么这里是一个简短的介绍：CSRF是一种攻击，它迫使最终用户在当前对其进行身份验证的Web应用程序上执行不需要的操作。CSRF攻击专门针对状态变化请求，CSRF攻击可以强制用户执行状态转换请求，如转移资金，更改其电子邮件地址，甚至危及整个Web应用程序。来源：https://www.owasp.org/index.

2022-04-26

1.7K0

CVE-2019-10999复现

网络安全安全网站 linux 缓存

前言记录在复现CVE-2019-10999时踩的坑。漏洞信息https://github.com/fuzzywalls/CVE-2019-10999该漏洞存在于Dlink DCS-93xL、DCS-50xxL系列摄像头的所有固件版本中。在设备的alphapd服务中，wireless.htm 在将其显示给用户之前进行处理。如果在URL中提供WEPEncrypt

2022-04-26

6540

编程算法网络安全安全 http 网站

1.项目介绍AWVS一直以来在圈子中都比较火，以速度快和高准确性深受大家喜爱。很多人想研究其运作机制却因闭源而不得其解。今天这里通过一个极其简单的方式，只用几行代码就能让你一见其核心代码。这是最新解码方法，除python3外无须安装任何依赖（没办法，python写的），支持11.x,12.x,13.x，以及后续版本^_^对于有IAST、DAST扫描器需求的同

2022-04-26

1.4K0

一个很好玩的漏洞

安全网络安全网站

背景这个漏洞很神奇,可能大佬们都见过,我嘞,就是跑龙套的,记录一下这个漏洞.正文开始环境FirefoxBurpSuite过程一个网站,登录入口我们没有账号密码,所以注册一个正常的登录登录成功然后,访问manage,嘿!眼熟吧,没有权限.正常的网站,没有权限,我就会默默地走开,因为菜嘛,但是这个,有不得不搞的理由.继续…我们退出,从登录界面找回密码.然后..这

2022-04-26

3170

无需Native Code的RCE——IE8中的写入原语利用

网络安全安全网站 powershell windows

在2018年的最后一天，我在Internet Explorer中发现了一个类型混淆漏洞，它产生了一个干净的write-what-where原语。它将今年四月修补为CVE-2019-0752。作为练习，我使用原始的开发技术为此漏洞编写了一个完整的漏洞。即使漏洞本身仅产生受控写入并且无法触发以产生信息泄漏，但是仍然存在直接且高度可靠的代码执行路径。此外，该漏洞利

2022-04-26

1.2K0

CVE-2019-0948：Microsoft Management Console (MMC)漏洞

网络安全安全 xml 网站

Microsoft Management Console (MMC)是微软管理控制台，是一个专门用于管理的控制台。其设计主要用于为Windows管理员提供一个统一的、规范的管理接口和操作平台。近期，Check Point Research研究人员在控制台中发现了多个允许攻击者传输恶意payload的漏洞。漏洞CVE编号为CVE-2019-0948，微软已于6

2022-04-26

6450

使用白名单修复Oracle WebLogic中的RCE漏洞（CVE-2019-2729）

网络安全安全文件存储 oracle 网站

Oracle WebLogic最近在其软件中披露并修补了远程代码执行（RCE）漏洞，其中许多漏洞是由于不安全的反序列化造成的。Oracle 在2019年6月18日的带外安全补丁中解决了最新的漏洞CVE-2019-2729 .CVE -2019-2729的CVSS评分为9.8，这使其成为一个关键漏洞。此漏洞相对易于利用，但需要Java Development

2022-04-25

2.1K0

没有本机代码的RCE：利用INTERNET EXPLORER中的写入内容

网站网络安全安全编程算法

2018年年末，我在Internet Explorer浏览器中发现了一个类型混淆漏洞，利用该漏洞可以获得一个write-what-where原语。直到今年4月份，该漏洞才得到了修复，相应的编号为CVE-2019-0752。虽然通过该漏洞本身只能获得受控的写入原语，并且不会导致信息泄漏，但是仍然存在直接且高度可靠的代码执行路径。此外，该漏洞利用代码无需使用sh

2022-04-25

1.3K0

滥用jQuery进行CSS驱动的定时攻击

jquery css php 网站安全

Arthur Saftnes去年做了一些关于使用jQuery CSS选择器进行计时攻击的非常棒的研究，事实上它可能是去年我最喜欢的博客文章。

2022-04-25

1.1K0

CaidaoMitmProxy：基于HTTP代理中转菜刀过WAF

网站 https 网络安全

在实际的渗透过程中，我们常常因为WAF而头疼。源码免杀了而传输层却被拦截了实在难受。虽然现在很多优秀的应用。如蚁剑，C刀，冰蝎等。本文就通过在不修改程序源码，不重复造轮子，代码量最少的前提下实现类似冰蝎的加密传输。

2022-04-25

7250

点击加载更多

社区活动

【纪录片】中国数据库前世今生

穿越半个世纪，探寻中国数据库50年的发展历程

Python精品学习库

代码在线跑，知识轻松学

博客搬家 | 分享价值百万资源包

自行/邀约他人一键搬运博客，速成社区影响力并领取好礼

技术创作特训营·精选知识专栏

往期视频·千货材料·成员作品最新动态