背景
随着互联网的高速发展，信息安全问题已经成为企业最为关注的焦点之一，而前端又是引发企业安全问题的高危据点。在移动互联网时代，前端人员除了传统的 XSS、CSRF 等安全问题之外，又时常遭遇网络劫持、非法调用 Hybrid API 等新型安全问题。当然，浏览器自身也在不断在进化和发展，不断引入 CSP、Same-Site Cookies 等新技术来增强安全性，但是仍存在很多潜在的威胁，这需要前端技术人员不断进行“查漏...
前端安全系列（二）：如何防止CSRF攻击？
前端安全系列（一）：如何防止XSS攻击？
前端安全
随着互联网的高速发展，信息安全问题已经成为企业最为关注的焦点之一，而前端又是引发企业安全问题的高危据点。在移动互联网时代，前端人员除了传统的 XSS、CSRF 等安全问题之外，又时常遭遇网络劫持、非法调用 Hybrid API 等新型安全问题。当然，浏览器自身也在不断在进化和发展，不断引入 CSP、Same-Site Cookies 等新技术来增强安全性，但是仍存在很多潜在的威胁，这需要前端技术人员不断进行“...
记一次渗透实战
信息收集
用dirsearch扫了一波目录没有发现什么东西
直接用主站域名解析的ip访问发现主站是挂有cdn的
subDomainsBrute 扫描子域名
其中一个子域没挂CDN，由此找到网站的真实ip
得到真实ip后nmap扫描发现8099端口有个未知应用
访问发现是个WEB服务，一个登陆界面
漏洞利用
趁nmap还在工作的时候，简单浏览了下网站的功能，伪静态，整个网站也没有什么动态功能
遂把目光放在了nmap扫出的8099端口的web...
[ Linux VPS ] Debian/Ubuntu/CentOS 网络安装/重装系统/纯净安装 一键脚本
背景:
适用于由GRUB引导的CentOS,Ubuntu,Debian系统. 使用官方发行版去掉模板预装的软件. 同时也可以解决内核版本与软件不兼容的问题。 只要有root权限,还您一个纯净的系统。
相关文章:
[ Linux VPS ] Debian(Ubuntu)网络安装/重装系统一键脚本
[ Linux VPS ] CentOS 网络安装/重装系统一键脚本 纯净安装
[ Linux Shell ] 通用无限制在 Linux VPS 上一键全自动 dd 安装 Windows
注意:
...
常见web安全漏洞修复方案
第一章 SQL注入漏洞
第一节 漏洞介绍
概述：SQL注入攻击包括通过输入数据从客户端插入或“注入”SQL查询到应用程序。一个成功的SQL注入攻击可以从 数据库中获取敏感数据、修改数据库数据（插入/更新/删除）、执行数据库管理操作 （如关闭数据库管理系统）、恢 复存在于数据库文件系统中的指定文件内容，在某些情况下能对操作系统发布命令。SQL注入攻击是一种注入攻击。 它将SQL命令注入到数据层输入，从而影...
密码保护：XXX巴被发现了一个可以绕过waf的漏洞
您好，这篇文章是关于一些客户端漏洞导致几个阿里巴巴网站的帐户接管。
阿里巴巴是http://hackerone.com上的一个公共项目，范围很广。我应该补充一下，这个项目由于响应延迟，分类，修复等的原因不值得花时间。
让我们开始
我将介绍一些额外的内容，例如JSONP，一些浏览器处理cookie的行为等等。
攻击
大多数阿里巴巴的网站加载并执行外部javascript对象，javascript代码从cookie中获取名为uid的值。更多...
Android恶意程序分析
某天收到的短信，看到内容吓死本宝宝了，以为什么私隐视频被曝光了 最后的url为下载apk文件，基本上这类就属于恶意程序无疑
把apk文件下载，反编译，先看看AndroidManifest.xml
大量高风险的权限
android.permission.RECEIVE_WAP_PUSH //接收WAP
android.permission.RECEIVE_BOOT_COMPLETED //开机自启动
android.permission.READ_CONTACTS //读取联系人信息
android.permission.READ_PHONE_STAT...
Android漏洞checklist
Android漏洞checklist
程序可被任意调试
风险描述：安卓AndroidManifest.xml文件中android:debuggable为true。
危害描述：app可以被任意调试。
修复建议：AndroidManifest.xml 配置文件中中设置为android:Debugable=”false”。
参考链接：https://developer.android.com/guide/topics/manifest/application-element.html#debug
程序数据任意备份
风险描述：安卓AndroidManifest.xml文件中android: all...
某次XSS绕过总结
0x01 背景
前段时间苏宁src五倍积分，想着无事刷一刷玩玩，碰到一个反射型XSS，如下图：
插入<img src=a>测试正常(此处截图遗失，漏洞已修补)，证明存在XSS，但是过滤了许多关键词，很难执行代码，于是有了接下来的一波绕过。
0x02 测试过滤机制
经不断测试，发现存在如下过滤机制：
1、”<script”,”alert(“,”prompt(“,”;”,”eval(“等敏感的关键词被waf阻断；
2、”+”被空格代替,斜杠、反斜杠被阻断...
测试WAF来学习XSS姿势（二）
前言
对于我这个菜鸟来说，我通过谷歌百度学习到很多前辈的资料，甚至每句话都是他的指导，我也很感激前辈的为我们铺设的道路，让我们更快的成长起来。我也乐于分享，可能有些知识点过于单调或者久远，请见谅。
waf
前几天花了10买了一个月的服务器，换个waf来测试。
Test
遗漏标签就不测试了，上一篇水文的分享的标签也可以过，不信找几个试试= =
好吧非常打脸，拦截了。
然而换个prompt...