摘要:移动安全文章参考: 1、frida--安卓测试之hook大法 2、xposed-安卓测试之hook大法 3、在安卓手机上装frida 篡改SSLContext 4、adb命令详解 5、安卓逆向frida-入门篇 阅读全文
posted @ 2019-01-29 15:32 blacksunny 阅读 (154) 评论 (0) 编辑
该文被密码保护。
posted @ 2018-07-30 16:28 blacksunny 阅读 (1) 评论 (0) 编辑
摘要:CORS是一个W3C标准,全称是"跨域资源共享"(Cross-origin resource sharing)。 它允许浏览器向跨源服务器,发出XMLHttpRequest请求,从而克服了AJAX只能同源使用的限制。 本文详细介绍CORS的内部机制。 (图片说明:摄于阿联酋艾因(Al Ain)的绿洲 阅读全文
posted @ 2018-07-30 16:26 blacksunny 阅读 (118) 评论 (0) 编辑
摘要:注入产生的原理: 数据库设置为GBK编码: 宽字节注入源于程序员设置MySQL连接时错误配置为:set character_set_client=gbk,这样配置会引发编码转换从而导致的注入漏洞. 1、正常情况下,当GPC开启或者使用addslashes函数会过滤GET或POST提交的参数时,黑客使 阅读全文
posted @ 2018-07-10 00:19 blacksunny 阅读 (129) 评论 (0) 编辑
摘要:1、docker ps 查看当前正在运行的容器 2、docker ps -a 查看所有容器的状态 3、docker start/stop id/name 启动/停止某个容器 4、docker attach id 进入某个容器(使用exit退出后容器也跟着停止运行) 5、docker exec -ti 阅读全文
posted @ 2018-07-05 15:52 blacksunny 阅读 (102) 评论 (0) 编辑
摘要:0x00前言 我们友情进行XSS检查,偶然跳出个小弹窗,其中我们总结了一些平时可能用到的XSS插入方式,方便我们以后进行快速检查,也提供了一定的思路,其中XSS有反射、存储、DOM这三类,至于具体每个类别的异同之处,本文不做学术介绍,直接介绍实际的插入方式。 0x01 常规插入及其绕过 1 Scri 阅读全文
posted @ 2018-07-05 10:01 blacksunny 阅读 (161) 评论 (0) 编辑
摘要:最近在做一些漏洞盒子后台项目的总结,在盒子众多众测项目中,注入类的漏洞占比一直较大。其中Order By注入型的漏洞也占挺大一部分比例,这类漏洞也是白帽子乐意提交的类型(奖金高、被过滤概览小)。今天给大家分享下一些关于Order By的有趣的经验。 何为order by 注入 本文讨论的内容指可控制 阅读全文
posted @ 2018-07-03 10:42 blacksunny 阅读 (355) 评论 (0) 编辑
摘要:本文的主要目的是分享在服务器遭受文件包含漏洞时,使用各种技术对Web服务器进行攻击的想法。 我们都知道LFI漏洞允许用户通过在URL中包括一个文件。在本文中,我使用了bWAPP和DVWA两个不同的平台,其中包含文件包含漏洞的演示。通过它我以四种不同的方式执行LFI攻击。 0x01 基本本地文件包含 阅读全文
posted @ 2018-07-03 09:52 blacksunny 阅读 (531) 评论 (0) 编辑
摘要:大家都知道,普遍的防御XSS攻击的方法是在后台对以下字符进行转义:<、>、’、”,但是经过本人的研究发现,在一些特殊场景下,即使对以上字符进行了转义,还是可以执行XSS攻击的。 首先看一个JS的例子: Default 1 2 3 4 <script> var s = "u003cu003e"; al 阅读全文
posted @ 2018-06-30 20:41 blacksunny 阅读 (160) 评论 (0) 编辑
摘要:前言 爆破在渗透测试中,对技术的要求不高,但是对技巧和字典的要求就很高了,本篇整理下平时学到的一些爆破思路和技巧(偏web渗透登陆),当你无措可施时,暴力破解是最好的方式。 世界上最可怕的事情是你的习惯被别人掌握,一旦有律可循,You got Hacked。 爆破之字典准备 fuzz 字典 Blas 阅读全文
posted @ 2018-06-28 09:00 blacksunny 阅读 (2668) 评论 (0) 编辑