摘要： CSRF 攻击者盗用了你的身份，以你的名义发送恶意请求。CSRF能够做的事情包括：以你的名义发送邮件，发消息，盗用你的账号，甚至于购买商品，虚拟货币转账。。。 发生条件： 1、登录受信任网站A，并在本地生成Cookie。 2、在不登出A的情况下，访问危险网站B。 参考链接：http://www.cn 阅读全文

摘要： CSRF 攻击者盗用了你的身份，以你的名义发送恶意请求。CSRF能够做的事情包括：以你的名义发送邮件，发消息，盗用你的账号，甚至于购买商品，虚拟货币转账。。。 发生条件： 1、登录受信任网站A，并在本地生成Cookie。 2、在不登出A的情况下，访问危险网站B。 参考链接：http://www.cn 阅读全文

摘要： 参考链接 跨协议通信技术是指两种不同的协议可以交换指令和数据的技术。其中一种称为目标协议，另一种称为载体协议。目标协议就是我们最终想要通信的协议，而载体协议是用来封装我们最后想要发送的指令和数据。 这种类型的通信想要完成有两个必要条件： 1、目标协议必须容错性比较好，这是因为我们是通过一个载体协议来 阅读全文

摘要： 尽管现在呼吁所有的程序都使用unicode编码，所有的网站都使用utf-8编码，来一个统一的国际规范。但仍然有很多，包括国内及国外（特别是非英语国家）的一些cms，仍然使用着自己国家的一套编码，比如gbk，作为自己默认的编码类型。也有一些cms为了考虑老用户，所以出了gbk和utf-8两个版本。 我 阅读全文

摘要： 1、PHP核心配置详解 代码在不同的环境下执行的结果也会大有不同，可能就因为一个配置问题，导致一个非常高危的漏洞能够利用；也可能你已经找到的一个漏洞就因为你的配置问题，导致你鼓捣很久都无法构造成功的漏洞利用代码。 然而，在不同的PHP版本中配置指令也有不一样的地方，新版可能会增加或者删除部分指令，改 阅读全文

摘要： 0x00背景 对于PHP代码审计的需求，我们当然需要一款好的php代码审计分析工具--RIPS，它使用了静态分析技术，能够自动化地挖掘PHP源代码潜在的安全漏洞如XSS ，sql注入，敏感信息泄漏，文件包含等常见漏洞；也可以采用正则方式扫描代码发现漏洞；还能够采用自定义的语法扫描代码发现问题。渗透测 阅读全文

摘要： 关于PHP代码审计和漏洞挖掘的一点思考 LittleHann2013-09-02共666525人围观 ，发现 22 个不明物体WEB安全 关于PHP代码审计和漏洞挖掘的一点思考 LittleHann2013-09-02共666525人围观 ，发现 22 个不明物体WEB安全 这里对PHP的代码审计和 阅读全文

摘要： 前三部分已经验证了用IDAPython能够让工作变的更简单，这一部分让我们看看逆向工程师如何使用IDAPython的颜色和强大的脚本特性。 分析者经常需要面对越来越复杂的代码，而且有时候无法轻易看出动态执行的时候执行的代码。而通过IDAPython的强大功能，我们不但能静态的标识指令，并且能够统计出 阅读全文

摘要： 我们继续IDAPython让生活更美好序列，这一部分我们解决逆向工程师日常遇到的问题：提取执行的内嵌代码。 恶意软件会用各种方式存储内嵌可执行代码，有些恶意软件将内嵌代码加到文件附加段，包括PE资源区段，或者存放在恶意软件的缓冲区中。 当遇到这个情况，恶意软件分析者可以有几个选择： 可以动态运行样本 阅读全文

摘要： 在过去两个部分中，我们已经讨论了使用IDAPython让逆向工程更容易一些。这一部分我们来看一下条件断点。 当在IDA中调试时，分析者经常会遇到希望可以在一个特殊的地址中断下来的情况，但这只有在一些特定的情况能够触发。 一个典型的例子：只有在特殊的参数传递进去的时候，才能断到一个特殊的函数的调用处。 阅读全文