web安全

2022-08-27hush阅读(61)赞(0)

Narthex是一款功能强大的模块化可定制字典生成器，该工具基于C和Shell开发，至此在Unix或类Unix操作系统上运行。该工具包含了一个自治Unix风格的字典生成程序，可以帮助广大研究人员创建可用于密码恢复和安全评估的个性化词典。 根...

2022-06-26hush阅读(99)赞(0)

背景 当你手机APP上刷着某些视频并多停留几秒，后续再刷视频的时候，是否有感觉到更多是推送同类型的视频； 当你在某APP搜索某产品的时候，后面在启动APP时候，是否能感觉到更多给你推送相关的产品信息； 当你更换手机的时候，在登录同一个APP...

2022-06-05hush阅读(80)赞(0)

整个过程仅讲思路的实现，因笔者日常工作并不相关，从构思到实现，前前后后大概花了两个月时间，未对数据进行整理，也未列出具体的步骤，仅供研究与参考，思路如有雷同，那真是太好了 概念 根据维基百科的解释，在电脑领域中，零日漏洞或零时差漏洞（英语：...

2022-06-04hush阅读(79)赞(0)

一、工具简介 Java编写，Python作为辅助依赖的漏洞验证、利用工具，添加了进程查找模块、编码模块、命令模块、常见漏洞利用GUI模块、shiro rememberMe解密模块，加快测试效率。 二、使用方法 1、安装pyyaml库5.3....

2022-06-03hush阅读(76)赞(0)

0x01 前言 今天在群里和沙雕网友唠嗑，正好聊到了网络安全上面。于是打算展示点与网络安全相关的东西给群友们看看。就拿群友的学校开刀试试。 所有漏洞已提交给edu-src。 0x02 信息搜集 首先收集一下子域名，为了方便起见，直接使用在线...

2022-06-02hush阅读(98)赞(0)

为了防止安全漏洞，大多数人都避免点击可疑电子邮件、消息和有风险的下载。然而一种通过“零”交互来感染设备的攻击方式正悄然而生。它就是我们今天要讨论的“零点击”攻击场景。  什么是“零点击”攻击 无论是直接利用目标软件中的漏洞，还是通过社会工程...

2022-05-27hush阅读(122)赞(0)

SRC挖掘有很多平台，比如EDUSRC，比如公益SRC：补天、漏洞盒子等，还有就是一些企业SRC。 对于挖掘src的小伙伴来说第一步都是对资产进行收集，所以本篇文章首先介绍一下SRC的上分思路，然后会具体讲解一下信息收集的思路。 公益SRC...

2022-05-26hush阅读(102)赞(0)

一、网络拓扑图 二、实施步骤 1.Hacker 克隆钓鱼网站，以 139 邮箱登录网站为例：http://mail.10086.cn，在用户 A 上进行测试目标网站是否克隆成功，查看 hacker 和用户 A 的 IP 配置。 （1）用户 ...

2022-05-24hush阅读(107)赞(0)

PT（Advanced Persistent Threat）是指高级持续性威胁。利用先进的攻击手段对特定目标进行长期持续性网络攻击的攻击形式，APT攻击的原理相对于其他攻击形式更为高级和先进，其高级性主要体现在APT在发动攻击之前需要对攻击...

2022-05-23hush阅读(85)赞(0)

0x01 前言 碰到了一个对外宣传是否安全的站点，但实际测试下来并不安全。不过在这次获取权限的过程中还是有点曲折，记录下来并分享给大家。 整个测试过程均在授权的情况下完成，漏洞详细已经提交并通告相关知情。 0x02 过程 1. 进入 htt...