看到表哥有大佬带就是好,文章最后 Damian 表哥也分享了文章的免杀大马和 1.php
现在只对常读和星标的公众号才展示大图推送,建议大家把潇湘信安“设为星标”,否则可能看不到了!
这次的CTF题目还是有点难度的,也没有拿到特别好的成绩(最后半小时被冲烂了),此WP仅供学习参考,大佬勿喷。
https://www.secquan.org/Discuss/1071471大佬太惨了,正好我有圈子账号,我们就一起浏览了一位圈子大神的的代码审计
云通信IM的前身是QQ,我们抽离QQ的核心模块,将其整合成适合各终端接入的 IM SDK以及后台服务。
这周事情特别多,不好意思把公众号给怠慢了。今天接上篇《CreatorPrimer|微信小游戏与腾讯云初体验(1)》,看如何利用腾讯云服务接近零成本的开发微信小游戏后端。
开启进房权限的目的是为了避免非会员模式能够进入高级房间,同时解决客户端限制被破解的问题。目前进房权限在iOS、Android、Windows、Electron、微信小程序和Chrome 浏览器都支持。
又双叒叕开始折腾新项目啦,今天研究什么呢?搭建一个图片文字识别,项目所需,都知道微信的扫一扫可以识别很多东西,之前搭建的扫码演示源代码直接拿过来使用识别,发现不行,,,只能扫码,其余的都不行,好吧,参考腾讯云文字识别搭建一个小小的demo,采用腾讯云开发者工具套件(SDK)3.0,SDK3.0是云 API3.0 平台的配套工具。目前已经支持cvm、vpc、cbs等产品,后续所有的云服务产品都会接入进来。新版SDK实现了统一化,具有各个语言版本的SDK使用方法相同,接口调用方式相同,统一的错误码和返回包格式这些优点。 为方便 PHP 开发者调试和接入腾讯云产品 API,这里向您介绍适用于 PHP 的腾讯云开发工具包,并提供首次使用开发工具包的简单示例。让您快速获取腾讯云 PHP SDK 并开始调用。本教程以测试“卡证文字识别-不动产权证识别”为例。
YPay是专为个人站长打造的聚合免签系统,拥有卓越的性能和丰富的功能。采用全新轻量化的界面UI,让您可以更加方便快捷地解决知识付费和运营赞助的难题。同时,它基于高性能的ThinkPHP 6.1.2 + Layui + PearAdmin架构,提供实时监控和管理,让您随时随地掌握系统运营情况。
还是可以发现其实只是过滤参数里的内容,其实依旧比较好绕过,下下面的字符串处理中,我们会使用到函数来进行流量加密和代码加密
如果说仅为了做出题目拿到flag,这个题目太简单,后台也有数十名选手提交了答案和writeup。但深入研究一下这两个知识点,还是很有意思的。
这几天一直在想,不加密源码怎么防止源码被二次修改。后来突然想到了云授权v2里面用到的方法,可以先生生成一个文件md5的数组,然后转换成json,放到服务器上,客户端只需要校验md5就可以判断出文件有没有被修改。 想要获取文件的md5的话,我们当然不可能一个一个的去获取,所以我的思路是先获取某个文件夹的文件树,然后在通过foreach来循环获取md5.
代码的保护一直是软件公司所担心的问题,因为很多源码对于公司来说就是命脉,而有些公司则弱化了代码的保护,转而将更多的精力花在服务上。
Pwnhub公开赛出了个简单的PHP代码审计题目,考点有两个: 如果说仅为了做出题目拿到flag,这个题目太简单,后台也有数十名选手提交了答案和writeup。但深入研究一下这两个知识点,还是很有意思的。 #0x01 phpjiami 代码分析破解法 这种方法我最佩服了,作者甚至给出了解密脚本,文章如下:http://sec2hack.com/web/phpjiami-decode.html 我自己在出题目之前也进行过分析,但后面并没有耐心写一个完整的脚本出来,所以我十分佩服这个作者。 我们分析phpjia
用PHP编写好的源码,如果不想被其它人直接利用怎么办?首先想到的是加密,但现在除了Zend 5加密还比较难破解外,其它的加密方式都不堪一击。即使不破解,不怀好意的人同样可以使用你的源码搭建一个和你一模一样的一个网站。这岂不是使你的劳动成果白白的被别人占为己有。下面介绍一种方法即限制域名的方法来保护你的源代码不被直接拷贝运行。
作者:陈业贵 华为云享专家 51cto(专家博主 明日之星 TOP红人) 阿里云专家博主 文章目录 cyg.php(md5加密) cyg.php(sha1加密) cyg.php(hash加密) cyg
开源php加密运行扩展,基于screw二次开发,暂时只能在linux下运行 。 oschina http://git.oschina.net/splot/php-screw-plus 详细配置教程 http://www.jianshu.com/p/f6425e2f8643 (使用screw plus来保护php代码安全) 简述 2016/06/27更新:增加了STRICT_MODE,如果只允许服务器执行加过密的php文件,设置php_screw_plus.h STRICT_MODE为1(set STRI
The OWASP IoT Attack Surface Areas (DRAFT) are as follows:
前几天在网上看到一份代码,打开来看,里面都是类似下面的十六进制字符串。一脸懵逼,啥情况,我万能的sublime text 打开居然是十六进制文件,而且文件居然还能运行?
最近把小站的登录页面给重构了,之前的安全性存在很大问题,基本处于裸奔的状态,特此记录一下过程。
业务逻辑漏洞,是由于程序逻辑不严谨或逻辑太过复杂,导致一些逻辑分支不能正常处理或处理错误,这样的漏洞统称为业务逻辑漏洞。
对于很多,和我一样刚刚入门,或者还在门边徘徊的小伙伴们,在渗透学习的过程中,总会遇到各种情况,例如 php 大马被 waf 拦截的时候,那么如何制作免杀 php webshell 呢,接下来就由我带各位小伙伴们一起踏上大马免杀之路,不喜勿喷。
近期受到很多用蓝科lankecms网站源码做的网站的客户反馈首页文件index.html和m.html被篡改增加了跳转代码,导致从百度点击进来的直接跳转到世界杯体育网站上去,而且百度快照收录的标题也被篡改了,通过客户的叙述,发现此源码是用tp架构二次开发的,其中源码文件LoginAction.class.php和TextAction.class.php被作者加密了,具体内容无法解密,用的是混淆加密,被篡改的客户基本都是在同一时间批量被篡改,跳转的网址也是一致的,了解情况后我们SINE安全立即安全技术对客户网站进行排查和溯源。
不知道大家有没有看过 Laravel 的源码。在 Laravel 源码中,对于用户密码的加密,使用的是 password_hash() 这个函数。这个函数是属于 PHP 密码散列算法扩展中所包含的函数,它是集成在 PHP 源码中的扩展,并且还是 PHP 官方所推荐的一种密码加密方式。那么它有什么好处呢?
var xhr = new XMLHttpRequest(); xhr.open('get', 'https://v1.hitokoto.cn/'); xhr.onreadystatechange = function () { if (xhr.readyState === 4) { var data = JSON.parse(xhr.responseText); var hitokoto = document.getElementById('hitokoto'); hitokoto.innerText = data.hitokoto; } } xhr.send();
题目感觉质量很高 也很有趣哈 只写了部分web题目 pwn crypto不涉及 不要问我为什么 厂长是我表哥
在查看别人的php源码的时候,我们经常会看到加密后的php代码.那么php加密原理是什么呢?怎么解密呢? 混淆加密 我们从百度随便搜索一个加密网站,例如:http://dezend.qiling.o
JS开发的WEB应用和PHP,JAVA,NET等区别在于即没有源代码,也可以通过浏览器的查看源代码获取真实的点。获取URL,获取JS敏感信息,获取代码传参等,所以相当于JS开发的WEB应用属于白盒测试(默认有源码参考),一般会在JS中寻找更多的URL地址,在JS代码逻辑(加密算法,APIkey配置,验证逻辑等)进行后期安全测试。
看到这个图片,我觉得这应该是某个收费项目的源码,收费的项目为什么还要提供源码,这就是 PHP 的问题之一吧。
PHP 加密后的代码能运行在 PHP 5+ 以上版本。 跨平台,Windows、CentOS、Ubuntu平台均能正常运行。 支持虚拟主机、VPS、独立服务器。 不需要安装任何额外扩展。 保持原有代码结构,不注入任何额外代码。 Web 服务器无需任何修改。 优秀、高效的不可逆加密混淆算法。 加密强度超高
2016-06-1011:03:08 发表评论 18℃热度 一键部署工具选择 系统选择 连接虚拟主机 开始一键部署 目录 上一回说道:小白搭建博客教程之流程,这次趁着端午节写完它,也算是一个了结。 📷 教程有4篇: 购买域名; 购买虚拟主机并搭建(Linux); 域名解析; wordpress等博客平台安装步骤。 下面开始第二篇: 虚拟主机选择 域名有了,接下来要有主体,一个虚拟主机,可以让你的博客或者网站放在虚拟主机上“跑”起来。域名就好比车牌号,虚拟主机就好比发动
看到了一个好玩的平台————网络安全实验室,看起来对新手还是有帮助的,从基础开始练练手吧!地址:http://hackinglab.cn/ShowQues.php?type=bases 用到的工具:b
PHP 加密后的代码能运行在 PHP 5+ 以上版本。跨平台,Windows、CentOS、Ubuntu平台均能正常运行。支持虚拟主机、VPS、独立服务器。不需要安装任何额外扩展。保持原有代码结构,不注入任何额外代码。Web 服务器无需任何修改。优秀、高效的不可逆加密混淆算法。加密强度超高
http://vulnerable/fileincl/example1.php?page=intro.php(该php文件包含LFI本地文件上传漏洞)
关于 Typecho文章密码保护显示标题 ,目前相关插件比较少,都是修改typecho源码,Titleshow就是一款加密文章但并且还会显示标题的插件
大家吼,我是你们的朋友煎饼狗子——喜欢在社区发掘有趣的作品和作者。【每日精选时刻】是我为大家精心打造的栏目,在这里,你可以看到煎饼为你携回的来自社区各领域的新鲜出彩作品。点此一键订阅【每日精选时刻】专栏,吃瓜新鲜作品不迷路! *当然,你也可以在本篇文章,评论区自荐/推荐他人优秀作品(标题+链接+推荐理由),增加文章入选的概率哟~
今天没加班确实无聊,晚上女朋友在研究投票,看了一眼感觉十有八九是骗局。自从上次研究投票后身边一大堆找刷票的,也尝试了几种系统,感觉大部分都有漏洞或是bug(对于写代码的来说bug和漏洞还是区分的很敏感,勿笑)。 还是回到主题,投票是一个地方美食投票,看了链接大概都猜到了是TP框架,只是没想到是TP3.2的框架,熟悉的TP漏洞都试过了,没希望。 框架 PHP的ThinkPHP 3.2.3 服务器 liunx(玩不来 最蛋疼) 用了百度云加速(有拦截 而且还找不到真实IP) 服务器装了安全狗(都讨厌也都喜欢的)
这几个月参加了几个ctf比赛,包括360杯,强网杯,cuit,这几次的比赛都给我很多帮助,现在做一点儿总结…
我们已经学过不少 PHP 中加密扩展相关的内容了。而今天开始,我们要学习的则是重点中的重点,那就是 OpenSSL 加密扩展的使用。为什么说它是重点中的重点呢?一是 OpenSSL 是目前 PHP 甚至是整个开发圈中的数据加密事实标准,包括 HTTPS/SSL 在内的加密都是它的实际应用,二是 OpenSSL 提供了对称和非对称加密的形式,也就是我们日常中最普遍的两种加密方式,这都是我们需要掌握的内容。
这是深大 Aurora 战队招新题的 writeup ,本菜鸡抱着学习的态度参加比赛,记录下自己的解题思路
本文来源于星泽V社,未经允许禁止转载,原文链接:https://www.52xzv.cn/archives/1167.html
全新Storm+Core+API管理系统源码+免授权版,本系统为API系统,实现了api集成等基础功能,以后可能会更新key调用api,或者实现付费功能,敬请期待,前端模板均无加密,用户可自行二开,具体请看图
文章源自【字节脉搏社区】-字节脉搏实验室 作者-陌安 打开题目 OK,那就LFI(Local File Include)咯 这个时候有个知识点就出来了,PHP的伪协议 我们需要读取index.php
客户的网站于近日收到了来自腾讯云的安全告警,木马文件事件通知!第一时间客户联系到我们SINE安全,把腾讯云提示的问题反馈给了我们安全技术部门,说是网站突然收到了腾讯云的邮件提醒,说什么网站有木马,服务器也存后门文件。客户以前从没有对网站,以及服务器进行安全部署与加固,导致今天发生这样的严重黑客入侵事件。
我们知道很多商业php程序为了保护源码或者设置限制会采取源码加密,常见的一般有Zend、微盾(威盾)、ionCube。其中微盾是不需要服务器组件支持的,所以也很好破,网上文章很多,大家搜搜就可以得知。而Zend和ionCube是需要组件支持的,所以在破解上难度会非常大,或者说根本无法破解。 本文可轻松快速破解Ioncubed files [v6][v7]及Zend Guard files [v5]加密文件(非通过特殊处理的,特殊处理过的基本没戏) 本文并不赞成破解,下文提供工具方法仅限测试使用,Sudu
https://www.freebuf.com/column/207162.html
本公众号提供的工具、教程、学习路线、精品文章均为原创或互联网收集,旨在提高网络安全技术水平为目的,只做技术研究,谨遵守国家相关法律法规,请勿用于违法用途。
php操纵计算机执行命令之后,获取所有结果,但是不会自动输出,需要配合echo使用
ownCloud是一个自由且开源的个人云存储解决方案,包括两个部分:服务器和客户端。ownCloud 最早由KDE开发者Frank Karlitschek于2010年一月创建,目标是成为商业云服务提供商的替代。与商业云存储服务不同,ownCloud可以自由获取无需付费,但相应地,用户必须自行架设 ownCloud的服务器,这需要一点技术。在本教程中,我们将教你在Ubuntu 18.04服务器上安装和配置ownCloud服务器。
Karkinos Karkinos是一款针对CTF和渗透测试的瑞士军dao,支持反向Shell处理、数据编码/解码、数据加密/解密以及哈希破解等操作。该工具可以帮助广大研究人员让渗透测试或CTF的效率变得更高,此工具应仅用于您有权攻击的应用程序。任何误用或损坏均由用户自行负责。 Karkinos是一个轻量级的网络安全“瑞士军dao”,专为渗透测试和CTF设计,当前版本的Karkinos支持以下功能: 编码/解码字符 加密/解密文本或文件 反向Shell处理 破解和生成哈希 依赖组件 任何支持托管PHP网站的
领取专属 10元无门槛券
手把手带您无忧上云