地方商业银行APP安全性分析

地方商业银行APP安全性分析
0x00、业务需求 国内133家地方商业银行作为商业领域国外IT厂商和商家必争之地,无论是IT基础设施建设、容灾备份系统建设、还是信息安全建设等,各家银行都做的如火如荼,当然,目前只针对企业级市场,很少有银行愿意接受安全众测,原因很简单,测试过程不可控。 但是IT环境变化的加速度在不断的增快,面临目前严重的安全态势,希望银行也能接受众测这种商业模式,或者由众测小伙伴把自己的测试经验写成PoC...

bugbounty:利用文件上传 MIME嗅探到存储型XSS

bugbounty:利用文件上传 MIME嗅探到存储型XSS
bugbounty:利用文件上传 MIME嗅探到存储型XSS 前言 在私有程序上查找漏洞时,我能够通过文件上传功能找到存储的XSS漏洞。由于滥用IE/Edge处理文件的方式,我能够绕过文件类型检查 并将恶意HTML文件创建为GIF。我还分解了文件上传过滤器,并在利用它时我会进行相应的思考。 第一步:FUZZ探测 当我开始查看新程序时,我总是喜欢的一件事是FUZZ一下文件上传的点。文件上传中的漏洞通常会给你带来高严重性错误...

构造PPSX钓鱼文件

构造PPSX钓鱼文件
之前出现了一种新型的钓鱼攻击的手法,即通过PPT在未开启宏的情况下,执行程序,关于这个Freebuf也有相关文章进行介绍,《新型PPT钓鱼攻击分析》,《无需宏,PPT也能用来投递恶意程序》。但是文中都未介绍怎么制作这种文件,所以,今天在这里分享一下制作该文件的方法,希望大家了解并对此进行防御。 首先,创建一个普通的PPTX文件,随便填入一些内容,如下图: 之后插入一个动作按钮,具体位置如下图: ...

一次攻防实战演习复盘总结

一次攻防实战演习复盘总结
君哥有话说 2019Q1做了一次内部攻防演习,做了一次复盘总结。前段时间参加了几家机构的HW防护方案评审,结合这些信息,做了一次总结,抛砖引玉。 祝攻防双方都顺利! 最近参加的几家机构的防守方防护方案评估,部分防守方缺乏对攻击者的正确认知,攻击者的手法已经比较高超了,不扫描,不落地,污染日志等都很普及了。同时也要正确认知对手:攻防演练中,攻击者并非无所不能,他们面临着和防御方一样的问题...

绕过xss检测机制

绕过xss检测机制
这是一篇翻译文章,翻译加自己的理解。嗯 不是机器翻译 是我理解后的翻译 谢谢 顺便我会尽可能加上场景和一些业务实际情况解读 原文叫做《Bypassing XSS Detection Mechanisms 》,是个pdf。。。 到时候可以发出来 吧 啊啊啊啊啊 翻译开始啦 摘要就不翻译了 没啥东西 对读者的话 作者假设,读者应该具有一定基础的xss,比如javascript,html编程能力、浏览器机制和渲染过程、基本的w3c协议规范等。 下文中的...

前端安全系列(二):如何防止CSRF攻击?

前端安全系列(二):如何防止CSRF攻击?
背景 随着互联网的高速发展,信息安全问题已经成为企业最为关注的焦点之一,而前端又是引发企业安全问题的高危据点。在移动互联网时代,前端人员除了传统的 XSS、CSRF 等安全问题之外,又时常遭遇网络劫持、非法调用 Hybrid API 等新型安全问题。当然,浏览器自身也在不断在进化和发展,不断引入 CSP、Same-Site Cookies 等新技术来增强安全性,但是仍存在很多潜在的威胁,这需要前端技术人员不断进行“查漏...

密码保护:解密PHP免杀大马去除后门还原免杀大马全过程

密码保护:解密PHP免杀大马去除后门还原免杀大马全过程
准备工具 PhpStudy 运行环境 Sublime Text3 虚拟机一台 文件里面的代码如下 <?php $password = 'admin'; //登录密码 //本次更新:体积优化、压缩优化、命令优化、反弹优化、文件管理优化、挂马清马优化等大量功能细节优化。 //功能特色:PHP高版本低版本都能执行,文件短小精悍,方便上传,功能强大,提权无痕迹,无视waf,过安全狗、云锁、360、阿里云、护卫神等主流waf。同时支持菜刀、xise连...

某拍App算法so层逆向分析

某拍App算法so层逆向分析
签名算法是指数字签名的算法。数字签名,就是只有信息的发送者才能产生的别人无法伪造的一段数字串,这段数字串同时也是对信息的发送者发送信息真实性的一个有效证明。数字签名是通过一个单向函数,对要传送的信息进行处理得到的用以认证信息来源,并核实信息在传送过程中是否发生变化的一个字母数字串。目前应用最为广泛的三种签名算法是:Rabin签名、DSS签名、RSA签名。 0x1 抓包分析 看样子是个md5加密 ...

结合CVE-2019-1040漏洞的两种域提权深度利用分析

结合CVE-2019-1040漏洞的两种域提权深度利用分析
作者:天融信阿尔法实验室 一、漏洞概述 2019年6月,Microsoft发布了一条安全更新。该更新针对CVE-2019-1040漏洞进行修复。此次漏洞,攻击者可以通过中间人攻击,绕过NTLM MIC(消息完整性检查)保护,将身份验证流量中继到目标服务器。 通过这种攻击使得攻击者在仅有一个普通域账号的情况下可以远程控制 Windows 域内的任何机器,包括域控服务器。 二、漏洞利用 攻击方式一:Exchange 验证环境: 角色 ...

浅谈Fastjson RCE漏洞的绕过史

浅谈Fastjson RCE漏洞的绕过史
*本文中涉及到的相关漏洞已报送厂商并得到修复,本文仅限技术研究与讨论,严禁用于非法用途,否则产生的一切后果自行承担。 引言 最近一段时间fastjson一度成为安全圈的热门话题,作为一个是使用十分广泛的jar包,每一次的RCE漏洞都足以博得大众的眼球,关于fastjson每次漏洞的分析也已经早有大牛详细剖析,本文章旨在顺着17年fastjson第一次爆出漏洞到现在为止,看一下fastjson的缝缝补补,瞻仰一下大佬们...