欢迎来到 黑吧安全网 聚焦网络安全前沿资讯,精华内容,交流技术心得!
  • XLoader与FakeSpy的关联以及与Yanbian Gang的关系
  • XLoader和FakeSpy是最近手机威胁领域两款主流的恶意软件家族。XLoader最早是2018年4月被报告使用DNS缓存投毒或DNS欺骗技术来用恶意安卓APP从受害者设备中窃取PII和金融数据,并安装其他APP。研究人员今年6月发布了Fa......
  • 所属分类:WEB安全 更新时间:2018-11-30 相关标签: 阅读全文...
  • Mirai:不仅仅针对物联网
  • Bot开发人员从开发物联网(IoT)恶意软件中吸取了教训,并将重点转向商用Linux服务器。与许多物联网设备一样,互联网上也存在大量未修补漏洞的Linux服务器,攻击者向可以找到的每个存在漏洞的服务器发起攻击,并大规......
  • 所属分类:WEB安全 更新时间:2018-11-30 相关标签: 阅读全文...
  • 如何在任意进程中修改内存保护属性
  • 最近,我们在进行一项安全研究时,需要在任意进程中修改内存空间的保护标志。起初,我们发现这项任务看起来很简单,但在实际操作中,却发现困难重重,还好这些都不是什么大问题。在解决这些问题的过程中,我们还学到......
  • 所属分类:WEB安全 更新时间:2018-11-30 相关标签: 阅读全文...
  • 一次受限环境中的Java反序列化漏洞挖掘到Get Shell
  • 在本文中,我们将向你展示一个利用不安全的反序列化漏洞的过程,我们将以WebGoat 8反序列化挑战(部署在Docker上)为例。只需执行sleep5秒即可解决挑战。但是,我们将会进一步寻求乐趣并尝试get shell。 介绍 Java......
  • 所属分类:WEB安全 更新时间:2018-11-29 相关标签: 阅读全文...
  • 威胁情报不起作用的5个原因
  • 对于网络安全人员来说,主动防御才是最理想的效果。这意味着,他们处于主动的一方,能够提前做出判断,最大限度的保护设备。无论你的网络安全团队的口号是什么,打击网络犯罪的关键点就是要对威胁做出提前预测,这也......
  • 所属分类:WEB安全 更新时间:2018-11-28 相关标签: 阅读全文...
  • 对DOTNET(.NET)中的恶意远程访问进程进行分析(下)
  • 上一篇提到代码会有很多重复,因为它在每个if语句(共有五个if语句,会在下篇讲到)中都会调用一个函数。然而,细节却略有不同,其中给定的方法名称和函数的参数都会显示函数的内容。 第一个if语句在程序集中调用了......
  • 所属分类:WEB安全 更新时间:2018-11-27 相关标签: 阅读全文...
  • 从某电商钓鱼事件探索黑客“一站式服务”
  • 深信服EDR安全团队,整理分析了一起某电商钓鱼事件,通过关联信息,发现背后可能存在一个“产业链齐全”的黑客团伙,研究发现其具备“一站式服务”的黑客攻击手段。 黑客攻击手段包括但不限于钓鱼邮件、漏洞利用、挖......
  • 所属分类:WEB安全 更新时间:2018-11-20 相关标签: 阅读全文...
  • Firefox Syncde的安全功能介绍
  • 什么是Firefox Sync,为什么要使用它? 一直在使用Firefox的用户,其中一个比较重要的原因是习惯了它的书签同步功能,不过在新版的Firefox,有些用户会发现原来习惯的书签同步功能竟然被取消了,这是怎么回事?原来......
  • 所属分类:WEB安全 更新时间:2018-11-20 相关标签: 阅读全文...
  • 插入恶意URL到office嵌入视频中
  • 10月底,Cymulate的安全研究人员公布了利用office在线视频特征逻辑漏洞来传播恶意软件的POC。最近,研究人员发现一款利用该漏洞传播URSNIF信息窃取器的在野样本。 恶意软件感染链 因为这类攻击中使用了刻意伪造的w......
  • 所属分类:WEB安全 更新时间:2018-11-20 相关标签: 阅读全文...
  • CMS真的安全吗?(三)洞鉴Discuz!
  • 一、Discuz!的前世今生 Discuz!全称Crossday Discuz! Board,是北京康盛新创科技有限责任公司推出的一套通用的社区论坛软件系统。自2001年6月面世以来,Discuz!已拥有15年以上的应用历史和200多万网站用户案例,是全......
  • 所属分类:WEB安全 更新时间:2018-11-19 相关标签: 阅读全文...
  • Persian Stalker攻击Instagram和Telegram的伊朗用户
  • 一、简介 那些具有国家背景的攻击者拥有许多不同的技术可以远程访问社交媒体和安全消息应用程序。从2017年开始到2018年,思科Talos已经观察到多种不同的技术被用来攻击用户并窃取私人信息。这些技术包括使用假登录页......
  • 所属分类:WEB安全 更新时间:2018-11-15 相关标签: 阅读全文...
  • 区块链应用于安全的7种方式
  • 区块链技术可以被用作安全工具,如果你还没有计划去使用它,现在你可能需要重新考虑一下了! 背景介绍 如今,区块链的分布式分类账已经在从加密货币到供应链等许多领域得到了应用。区块链的主要应用归功于它作为......
  • 所属分类:WEB安全 更新时间:2018-11-13 相关标签: 阅读全文...
  • 用于保护Web服务的基本HTTP标头介绍
  • 如何在Web服务器上配置HTTP标头,也是提高其安全性的重要一环。在本文中,我们将详细介绍每个标头所起的作用,以及攻击者可以利用哪些错误配置实施哪些攻击。 以下是我们本文将讨论的一些HTTP标头的类型(总共两大类......
  • 所属分类:WEB安全 更新时间:2018-11-08 相关标签: 阅读全文...
  • 下一代企业基础设施——混合云的安全性分析
  • 越来越多的用户将服务转移到云服务中,这其中就包括许多大型企业。随着云端提供服务的基础设施越来越好、成熟度越来越高,许多大型企业已开始将核心业务功能转移给下一代IT托管和应用交付,“应用交付”实际上就是指......
  • 所属分类:WEB安全 更新时间:2018-11-05 相关标签: 阅读全文...
  • 记一次对WebScan的Bypass
  • 今天测试了一个网站,发现存在360webscan的拦截,于是便开始了一波“bypass”。 进入主题 1. 判断注入点 使用“and 1=1”测试了一下,惨遭拦截。随后又测试了一下or也是被拦截的。 但是按位异或运算(^)未被拦......
  • 所属分类:WEB安全 更新时间:2018-11-01 相关标签: 阅读全文...
  • 一种新型的Web缓存欺骗攻击技术
  • 为了减少WEB响应时延并减小WEB服务器负担,现在WEB缓存技术已经用的非常普遍了,除了专门的CDN,负载均衡以及反向代理现在也会缓存一部分的网页内容。这里我要介绍一种WEB缓存欺骗攻击技术,这种攻击技术针对Paypal有......
  • 所属分类:WEB安全 更新时间:2018-10-31 相关标签: 阅读全文...
  • PHP代码审计实战思路浅析
  • 战略性的思考而非战术 对于面向过程写法的程序来说,最快的审计方法可能时直接丢seay审计系统里,但对于基于mvc模式的程序来说,你直接丢seay审计系统的话,那不是给自己找麻烦吗? 像面向过程写法的程序,可以找下......
  • 所属分类:WEB安全 更新时间:2018-10-29 相关标签: 阅读全文...
  • 短网址安全浅谈
  • 何谓短网址(Short URL)?顾名思义,就是形式上比较短的网址,当前主要是借助短网址来替代原先冗长的网址,方便传输和分享。短网址服务也就是将长网址转换为短网址的服务,这种服务在方便了广大网民的同时也带来了一......
  • 所属分类:WEB安全 更新时间:2018-10-22 相关标签: 阅读全文...
  • 2017年十大Web黑客技术榜单
  • 近期,由安全公司 Portswigger 发起的“2017年十大Web黑客技术”评选结果出炉了!经过一开始初选的37个技术议题提名,到后来白帽社区投票的15个入围技术议题,最后,经专家评审委员会评选,又甄选出了最终的 TOP 10 ......
  • 所属分类:WEB安全 更新时间:2018-10-22 相关标签: 阅读全文...
  • 我是如何绕过Uber的CSP防御成功XSS的?
  • 大家好!在开始正式的内容之前,请允许我做个简单的自我介绍。首先,我要说明的是我不是什么安全研究人员/安全工程师,确切的来说我是一名安全的爱好者,这始于两年前的Uber。我喜欢接触新的事物,并且每天都在努力提......
  • 所属分类:WEB安全 更新时间:2018-10-18 相关标签: 阅读全文...
  • 看我如何在短时间内对Shopify五万多个子域名进行劫持
  • 今天我要分享的是5万多个Shopify平台子域名劫持漏洞的发现过程。首先,我要说明的是,该漏洞不仅只存在于Shopify平台系统,还存在其它几个云服务平台系统中。在过去几周时间里,我们陆续联系了存在漏洞的各家厂商,......
  • 所属分类:WEB安全 更新时间:2018-10-18 相关标签: 阅读全文...
  • 新型鼠标光标劫持攻击将允许攻击者劫持GoogleChrome会话
  • 近期,研究人员发现了一种新型的技术支持诈骗技术,攻击者可以利用这种技术来劫持Google Chrome用户的浏览会话。 想必大家对技术支持诈骗不会感到陌生,微软Windows的技术支持站点就是很多攻击者的主要诈骗工具,很......
  • 所属分类:WEB安全 更新时间:2018-10-16 相关标签: 阅读全文...
  • IKEA.com本地文件包含漏洞之PDF解析的巧妙利用
  • 背景 本地文件包含(LFI)漏洞是一种危害性较大的漏洞类型。一旦出现攻击者将可能利用其,读取文件源码或敏感信息,包含恶意文件,执行任意代码,甚至控制服务器等。大多数LFI攻击都是由动态加载图像或其他文件的代......
  • 所属分类:WEB安全 更新时间:2018-10-15 相关标签: 阅读全文...
  • 无字母数字Webshell之提高篇
  • 前几天有同学提出了一个问题,大概代码如下: 35){ die("Long."); } if(preg_match("/[A-Za-z0-9_$]+/",$code)){ die("NO."); } eval($code); }else{ highlight_file(__FILE__); } 这个代码如果要......
  • 所属分类:WEB安全 更新时间:2018-10-15 相关标签: 阅读全文...
  • 如何使用基于整数的手动SQL注入技术
  • 今天,我将教大家如何使用基于整型的手动SQL注入技术来对MySQL数据库进行渗透测试。提醒一下,这是一篇写给newbee的文章。话不多说,我们直奔主题! SQL注入线上实验室 1. 初学者可以使用这个网站来练习自己的S......
  • 所属分类:WEB安全 更新时间:2018-10-13 相关标签: 阅读全文...
  • 使用Python CGIHTTPServer绕过注入时的CSRF Token防御
  • CSRF tokens是服务器生成的一串随机值,其主要作用是防止表单重复提交以及请求伪造攻击。由于该生成值具有随机性,一次性,并且是基于服务器端的前一个请求生成的,因此黑客几乎不可能伪造它。 Burp Suite 虽说无法......
  • 所属分类:WEB安全 更新时间:2018-10-12 相关标签: 阅读全文...
  • 12种公开资源情报(OSINT)信息收集技巧分享
  • 公开资源情报计划(Open source intelligence ),简称OSINT,是美国中央情报局(CIA)的一种情报搜集手段,从各种公开的信息资源中寻找和获取有价值的情报。 有各种各样的数据可以被归类为OSINT数据,但从渗透测试......
  • 所属分类:WEB安全 更新时间:2018-10-10 相关标签: 阅读全文...
  • 本类最新更新
    • 本类热门文章
      • 最新下载
        • 标签云集