摘要：
参考 https://blog.csdn.net/qq924862077/article/details/54177442/ https://blog.csdn.net/fgszdgbzdb/article/details/93519752 https://www.freebuf.com/vuls/ 阅读全文
摘要：
需求： 为了支持动态配置，log4j在格式化的时候添加JNDI功能。例如从外部配置文件中加载日志级别、日志输出目录等配置信息。 实现： 格式化的时候，添加jndi lookup。 失误： JNDI链接可控导致JNDI注入 修复： Log4j 2.15.0版本禁用JNDI Lookup功能 阅读全文
摘要：
一 fastjson1.2.24 修复方式: 添加黑白名单校验 二 Templateslmpl利用链 条件: 开启autoTypeSuppose 三 fastjson1.2.41 条件: 开启autoTypeSuppose 利用方式: "L;" 绕过 修复方式: 过滤一次"L;" 四 fastjso 阅读全文
摘要：
前言 因扫描原因，在所有发出的请求中尽可能的添加ua，由其他业务判断。 有业务反馈跑了几年的nmap，有部分请求不带ua。 但http.useragent并不能覆盖所有的http请求，还有部分请求 "/"的不带ua 一 http库 设置http.useragent 默认的nmap添加ua的做法是添加 阅读全文
摘要：
链接： https://docs.github.com/en/graphql/overview/explorer 样例： 查询代码 { repository(name: "sqlmap", owner: "sqlmapproject") { ref(qualifiedName: "master") 阅读全文
摘要：
0X01 前言 转载请标明来源：https://www.cnblogs.com/huim/ 当项目功能逐渐成熟，同时需要实现的是运营流程和指标体系建设。需要工程化的功能逐渐少了，剩下的主要工作转变成持续运营以及功能迭代优化。 个人认为，项目应该以运营为目的推动工程化。至少，安全和开发的需求五五开，分 阅读全文
摘要：
自动化漏洞扫描器引擎架构演变 阅读全文
摘要：
0X01 前言 大多数安全产品的大致框架 提高性能的目的是消费跟得上生产，不至于堆积，留有余力应对突增的流量，可以从以下几个方面考虑 流量：减少无效流量 规则：减少规则冗余请求 生产者：减少无效扫描任务 引擎：灵活扩缩容的分布式引擎节点 0X02 减少无效流量 2.1 URL 2.1.1 去重——去 阅读全文
摘要：
漏洞扫描器无害化篇 阅读全文
摘要：
黑盒漏洞扫描器之检测规则 阅读全文