Web应用程序防火墙(WAF)的主要作用是过滤,监控和阻止各类进出Web应用程序的HTTP流量。WAF区别于常规防火墙,因为WAF能够过滤特定Web应用程序的内容,而常规防火墙充当的则是服务器之间的安全门。通过检查HTTP流量,它可以防止源自Web应用安全漏洞的攻击,如SQL注入,XSS,文件包含和安全配置错误。
WAF是如何工作的?
协议异常检测:拒绝不符合HTTP标准的请求
增强的输入验证:代理和服务器端验证,而...
安全扫描工具Arachni源码分析(一)
Arachni是一个基于Ruby on Rails框架的Web安全漏洞扫描工具。
1. Ruby on Rails
Ruby on Rails ,缩写ROR,是一个Web框架,包括两部分内容: Ruby 语言和 Rails 框架。Ruby一直以来流行于日本,直到2004年,26 岁的丹麦人 David Heinemeier Hansson 提出了Web框架 - Rails。这才让全世界人们,开始了解Ruby和Rails的灵活与高效。
1.1 Ruby
日本人松本行弘( Matsumoto Yukihiro),在 1993 年开始着手...
curl: (35) SSL connect error 之解决方案升级NSS
最近在使用REDHAT 6.3进行访问github时遇到报错“curl: (35) SSL connect error ”
经过一番查询发现这个问题是由于nss版本过低导致的,网上早有人遇到这个问题,并且也说明解决方案
需要升级nss后,那就简单了,升级呗,看到网上有前辈提供的解决方案很简单一句话
yum update nss
其实看到这里还是蛮崩溃的,因为很多时候不具备yum环境,这时候升级就很麻烦。没办法,从头一点点找出依赖关...
DiscuzX3.2最新版存储型XSS分析(直接打首页)
最近在测试我司的某个业务,发现了多处XSS,并且在SRC上被外界白帽子爆出很多处反射型XSS与存储型XSS,所以根据现有的常用DZ版本进行了一次分析,先引带一下以前wooyun上某人的漏洞,下面是截取的某位总结的Discuz给二次开发所挖的4大坑:
好吧,废话不多说,下面是回顾以前所分析的DiscuzX系列的存储型XSS:
首先发表帖子,在帖子内容里面提交payload:
[align="onmouseover="alert(1)]
发表帖子后在...
密码保护:Python 绿盟远程安全评估系统(RSAS)漏洞跟踪表导出工具
12018年6月16日
新增数据筛选、漏洞统计等等。
代码备份(有密码,查看源码请往下翻阅文章):http://p4nyd2zat.bkt.clouddn.com/RSAS-Export-Tool.rar
新增Windows版本:https://github.com/webingio/RSAS-Export-Tool/raw/master/RSAS漏洞跟踪表导出工具1.0.exe
如图:
工具介绍
绿盟远程安全评估系统漏洞跟踪表导出工具,只支持6.0的RSAS,用于导出各种乱七八糟的数据。
工具涉及:目录获取文件、ZI...
密码保护:【Python】绿盟远程安全评估系统(RSAS)漏洞数据导出工具
用TKinter + pyonstall 打包了个Windows版本,鼠标点点就能导出了。
下载链接:https://github.com/webingio/RSAS-Export-Tool/raw/master/RSAS漏洞跟踪表导出工具1.0.exe
效果图:
工具介绍
绿盟远程安全评估系统漏洞数据表导出工具,只支持6.0的RSAS,用于导出各种乱七八糟的数据。
工具涉及:目录获取文件、ZIP文件读取、正则表达式、Excel表格处理、文件读写、Tkinter、pyinstaller
GitHub:ht...
利用最新Apache解析漏洞(CVE-2017-15715)绕过上传黑名单
我在代码审计知识星球里提到了Apache最新的一个解析漏洞(CVE-2017-15715):
除了帖子中说到的利用方法,我们还可以利用这个漏洞来绕过上传黑名单限制。
目标环境
比如,目标存在一个上传的逻辑:
<?php
if(isset($_FILES['file'])) {
$name = basename($_POST['name']);
$ext = pathinfo($name,PATHINFO_EXTENSION);
if(in_array($ext, ['php', 'php3', 'php4', 'php5', 'phtml', '...
浅析白盒审计中的字符编码及SQL注入
尽管现在呼吁所有的程序都使用unicode编码,所有的网站都使用utf-8编码,来一个统一的国际规范。但仍然有很多,包括国内及国外(特别是非英语国家)的一些cms,仍然使用着自己国家的一套编码,比如gbk,作为自己默认的编码类型。也有一些cms为了考虑老用户,所以出了gbk和utf-8两个版本。
我们就以gbk字符编码为示范,拉开帷幕。gbk是一种多字符编码,具体定义自行百度。但有一个地方尤其要注意:
通常来说...
SSRF绕过方法总结
前言
昨天忘了在公众号还是微博上看到的了,看到一个SSRF绕过的技巧,使用的是ⓔⓧⓐⓜⓟⓛⓔ.ⓒⓞⓜ绕过的,自己也没遇到过。然后想想自己对SSRF绕过还是停留在之前的了解,也没学习过新的绕过方法,所以特意找了找资料,学习学习最新黑科技,充充能。
0x00 SSRF是什么
能精简的就不扯淡,一句话就是:利用一个可以发起网络请求的服务当作跳板来攻击内部其他服务。
0x01 SSRF能干什么
探测内网信息
攻击内网或本...
技术讨论 | 微信支付SDK 0元购Hack思路分享
PS:本文仅用于技术讨论与分享,严禁用于非法用途
前提:
之前有网友分享了微信支付SDK的XXE漏洞,语言版本为JAVA,有很多朋友问我0元购的hack思路,我查阅了一下微信支付的官方文档,配合简单的XXE做了一些攻击演示。
漏洞详情:
http://seclists.org/fulldisclosure/2018/Jul/3
SDK受影响版本下载地址:
https://pay.weixin.qq.com/wiki/doc/api/download/WxPayAPI_JAVA_v3.zip
漏洞代码位置:
c...