浅谈JspWebshell之编码

Y4tacker / 2022-11-25

最近@phithon在知识星球中分享了一个多重编码的webshell姿势后,出于对代码实现的好奇简单看了看tomcat的具体实现以及尝试是否能够更深入的目的也便有了本篇

HTTP2 request smuggling

yake_daigua / 2022-11-24

最近看了一些HTTP请求走私的文章,都是基于HTTP/1.1的。HTTP/2.0已经发布多年,是否存在走私问题?进行检索后发现文章大都是讲H2C的,关于HTTP2的安全问题没有细致的讲解。在Black Hat USA 2021上,James Kettle演讲了议题:《HTTP/2: The Sequel is Always Worse》。经过一段时间的阅读,写下这篇文章。如果有描述错误的地方,还请各位师傅指正。

企业蜜罐建设实践

Al1ex / 2022-11-23

今年10月份接到领导临时安排的一个任务,要求部署一套可以置于互联网上的蜜罐环境,并且要求实现对本公司最新协同办公系统在野利用0day的捕获,同时也需要实现对在野利用Nday的态势感知和各类可疑攻击行为的捕获,之后通过对攻击行为分析确定协同办公系统存在的脆弱点并进行修复,从而全面提升协同办公系统的安全性

SnakeYaml反序列化及不出网利用

Sentiment / 2022-11-16

正文之前先了解一下SPI机制。

SPI全称Service Provider Interface,是Java提供的一套用来被第三方实现或者扩展的接口,它可以用来启用框架扩展和替换组件。 SPI的作用就是为这些被扩展的API寻找服务实现。

S

XML外部实体注入(XXE)攻击方式汇总

shungli923 / 2022-11-14

关于 XXE 攻击方式汇总的相应靶场通关记录已经完成,靶场使用的是 Port Swigger 靶场,若有需要,欢迎师傅们前往学习,Github地址:XXE 靶场通关笔记

初探HTTP Request Smuggling

quan9i / 2022-11-09

ISCC2022[让我康康]这道赛题在初次接触时令我记忆犹新,之前由于学习知识其他也一直没有对HTTP请求走私进行相关学习,最近学习过后简单总结如下,希望能对正在学习HTTP请求走私的师傅有所帮助。

M

2022 USTC Hackergame WriteUp 0x03

MiaoTony / 2022-11-07

这是 喵喵 2022 Hackergame WriteUp 的第三篇,主要也是一些难度稍大的题目,以及喵喵的碎碎念。

M

2022 USTC Hackergame WriteUp 0x01

MiaoTony / 2022-11-07

中国科学技术大学第九届信息安全大赛

PHP-FPM攻击详解

yake_daigua / 2022-10-27

最近参加了浙江省信息安全竞赛,遇到了一道攻击fastcgi的题目,发现自己对php-fpm不够了解,于是做了一个归纳总结。

浅析Apache Commons Jxpath命令执行分析(CVE-2022-41852)

Y4tacker / 2022-10-12

JXPath是apache公司提供的XPath的java实现,JXPath 提供了用于遍历 JavaBean、DOM 和其他类型的对象的图形的 API,同时提供了一套扩展机制使我们可以增加对这些对象之外的其他对象模型的支持(重点).

ASP.NET 无文件攻击入侵检测

yzddmr6 / 2022-09-21

前一段时间某管理系统被黑客批量植入冰蝎并进行勒索,引发了本人对于ASP.NET无文件攻击检测的思考。搜了一下目前还没有相关的文章,就自己研究了一下。

N

java免杀合集

naihe / 2022-09-16

各种方式制作java免杀马。

PHP Phar反序列化浅学习

quan9i / 2022-09-14

Phar反序列化是PHP反序列化的一个重要部分,进行相关学习后,简单总结如下,希望对正在学习的师傅有所帮助。

JAVA常用框架SQL注入审计

白给 / 2022-09-05

总结常用Java框架SQL注入场景。

投稿

随机分类

SQL注入 文章:39 篇
区块链 文章:2 篇
木马与病毒 文章:125 篇
Java安全 文章:34 篇
APT 文章:6 篇

扫码关注公众号

WeChat Offical Account QRCode

最新评论

Article_kelp

因为这里的静态目录访功能应该理解为绑定在static路径下的内置路由,你需要用s

N

Nas

师傅您好!_static_url_path那 flag在当前目录下 通过原型链污

Z

zhangy

你好,为什么我也是用windows2016和win10,但是流量是smb3,加密

K

k0uaz

foniw师傅提到的setfge当在类的字段名成是age时不会自动调用。因为获取

Yukong

🐮皮

RSS订阅