API 接口渗透测试

API 接口渗透测试
1 API 接口介绍 1.1 RPC(远程过程调用) 远程过程调用(英语:Remote Procedure Call,缩写为 RPC)是一个计算机通信协议。该协议允许运行于一台计算机的程序调用另一台计算机的子程序,而程序员无需额外地为这个交互作用编程。如果涉及的软件采用面向对象编程,那么远程过程调用亦可称作远程调用或远程方法调用,例:Java RMI。 RPC 一般直接使用 TCP 协议进行通信,通常不涉及到 HTTP。HTTP 下面有2种技...

黑客入侵应急分析手工排查

黑客入侵应急分析手工排查
Author: [email protected]猎户攻防实验室 行文仓促,不足之处,还望大牛指正。 1 事件分类 常见的安全事件: Web入侵:挂马、篡改、Webshell 系统入侵:系统异常、RDP爆破、SSH爆破、主机漏洞 病毒木马:远控、后门、勒索软件 信息泄漏:脱裤、数据库登录(弱口令) 网络流量:频繁发包、批量请求、DDOS攻击 2 排查思路 一个常规的入侵事件后的系统排查思路: 文件分析 ​a) 文件日期、新增文件、可疑/异常文件、...

RedisDesktopManager Windows安装包

RedisDesktopManager  Windows安装包
需要用到redis连接工具,网上找了好久,一个找几个不错的安装包,安全情况未知,自检 redis-desktop-manager-0.8.8.384 redis-desktop-manager-0.8.8.384 redis-desktop-manager-0.9.3.817 redis-desktop-manager-0.9.3.817 redis-desktop-manager-0.9.7.180925 redis-desktop-manager-0.9.7.180925

SQL注入之盲注 case

SQL注入之盲注 case
遇到一个盲注,记录一下 在基于时间的盲注的时候,一般使用的是if语句,如果符合条件就sleep,但是部分不能使用逗号的场景下,还可以使用case when #condition then ... else ... end语句来代替if语句,参考http://dev.mysql.com/doc/refman/5.7/en/control-flow-functions.html。 需要将数据切换multipart/form-data方式发送 # coding=utf-8 import time import requests from requests_toolbelt import M...

记一次Java反序列化漏洞的发现和修复

记一次Java反序列化漏洞的发现和修复
作者:[email protected]勾陈安全 0x00 背景简介 本文是自己对一次反序列化漏洞的发现和修复过程,如有错误请斧正,大神请轻喷。 目标应用系统是典型的CS模式。 客户端是需要安装的windows桌面程序,但是它是大部分内容都是基于Java开发(安装目录有很多Jar包)。 服务端是基于Jboss开发。 客户端和服务端之间的通信流量是序列化了的数据流量。客户端接收和解析数据流量的模式和服务端一样,也是通过http服务,它在本地...

利用动态二进制加密实现新型一句话木马之客户端篇

利用动态二进制加密实现新型一句话木马之客户端篇
概述 本系列文章重写了java、.net、php三个版本的一句话木马,可以解析并执行客户端传递过来的加密二进制流,并实现了相应的客户端工具。从而一劳永逸的绕过WAF或者其他网络防火墙的检测。 本来是想把这三个版本写在一篇文章里,过程中发现篇幅太大,所以分成了四篇,分别是: 利用动态二进制加密实现新型一句话木马之Java篇 利用动态二进制加密实现新型一句话木马之.NET篇 利用动态二进制加密实现新型一句...

巧用DNSlog实现实现无回显注入

巧用DNSlog实现实现无回显注入
测试一些网站的时候,一些注入都是无回显的,我们可以写脚本来进行盲注,但有些网站会ban掉我们的ip,这样我们可以通过设置ip代理池解决, 但是盲注往往效率很低,所以产生了DNSlog注入。具体原理如下。 首先需要有一个可以配置的域名,比如:ceye.io,然后通过代理商设置域名 ceye.io 的 nameserver 为自己的服务器 A,然后再服务器 A 上配置好 DNS Server,这样以来所有 ceye.io 及其子域名的查询都会到 ...

MySQL Order By 注入总结

MySQL Order By 注入总结
oracle Order By 注入 desc,if( (select 1 from dual where 1=1*)=1 ,1,(select 1 from information_schema.tables)) desc MySQL Order By 注入 select user from user order by user,If((1=1),1,(select user from mysql.user)) desc; abs(jjdm-(length(user())=23)*8000) 前言 最近在做一些漏洞盒子后台项目的总结,在盒子众多众测项目中,注入类的漏洞占比一直较大。其中Order By注入型的漏洞...

挖洞思路:账号攻击的几种常见手法

挖洞思路:账号攻击的几种常见手法
web 安全事件中,账号,通常是呈现给攻击者的第一接触点,与账号相关的功能若存在缺陷,攻击者可以此获取关键信息和重要功能,如,登录失败的报错信息可判断出是否因账号不存在所致,可被利用枚举有效账号,比如,登录试错无次数限制,可导致暴破密码,又如,注册流程各步骤未严格关联,导致批量注册任意账号,再如,密码找回功能各步骤未严格关联,导致任意账号密码重置。 我在日常渗透时遇到个同时存在这...

JSON CSRF的一个案例-附利用链接

JSON CSRF的一个案例-附利用链接
这是最近的一个真实案例,所以某些地方对进行打码处理,算作对json csrf的一点研究吧,废话不多说,进入正题 对一个SDK进行渗透测试过程中发现,发现POST请求的data都使用json格式进行数据传输,该做的校验和过滤都做了,权限也做了很好的控制,难道就没问题了?感觉此处应该存在CSRF问题的,但是由于post的内容是json格式,而且对Content-Type也进行了限制,如下图: 尝试一、常规思路利用构造了如下代码...