Heartbleed错误是一个严重的漏洞。这个弱点可以窃取信息,在正常情况下,由SSL /
TLS加密保护互联网。Heartbleed错误允许任何人在互联网上阅读系统的内存保护脆弱的OpenSSL的软件版本。这种妥协密钥用于识别服务提供者和加密流量,用户名和密码的和实际的内容。这允许攻击者窃听通信、...
分类：
其他好文 时间：
2014-05-30 08:26:51
阅读次数：
251
上次写了篇文章，内容是如何利用WebClient模拟登陆CSRF控制的网站，回复中有人还是不理解，现在另开一篇，打算说说用Python如何来登陆。开写之前，先说下为什么webrequest不行，常规情况下，我们在利用webrequest的时候，都是如下的形式：
1 string url = "log...
分类：
Web程序 时间：
2014-05-30 04:24:05
阅读次数：
384
目录1. 文件包含的基本概念2. LFI(Local File Include)3.
RFI(Remote File Include)4. PHP中的封装协议(伪协议)、PHP的流式文件操作模式所带来的问题1.
文件包含的基本概念严格来说，文件包含漏洞是"代码注入"的一种。"代码注入"这种攻击，其原...
分类：
Web程序 时间：
2014-05-30 00:15:52
阅读次数：
626
在用X-Scan-v3.3扫描主机端口提示http TRACE
跨站攻击漏洞;一，修改配置文件httpd.conf1.1 apache下面修改httpd.conf文件,在文件最后面新建一行加入：TraceEnable
off1.2 service httpd restart #重启apac...
分类：
其他好文 时间：
2014-05-29 08:13:45
阅读次数：
279
在本文中，我们将探讨何谓HTTP响应拆分以及攻击行为是怎样进行的。一旦彻底理解了其发生原理（该原理往往被人所误解），我们就可以探究如何利用响应拆分执行跨站点脚本（简称XSS）。接下来自然就是讨论如果目标网站存在响应拆分漏洞，我们要如何利用这一机会组织CSRF（即跨站点伪造请求）攻击。最后，我们一起来...
分类：
其他好文 时间：
2014-05-28 11:17:08
阅读次数：
360
sql server
2000漏洞一直很多前段时间我自己的服务器就出现了一个sql的临时储存过程漏洞漏洞扩展：xp_dirtree储存过程事前：最近发现一个漏洞是sql服务器造成的前几天正好没有什么事情，就用阿d的sql注入工具对自己服务器的网站进行注入，偶然发现了使用mssql的网站浸染可以利用s...
分类：
其他好文 时间：
2014-05-28 01:35:47
阅读次数：
401
水平权限漏洞一般出现在一个用户对象关联多个其他对象（订单、地址等）、并且要实现对关联对象的CRUD的时候。开发容易习惯性的在生成CRUD表单（或AJAX请求）的时候根据认证过的用户身份来找出其有权限的被操作对象id，提供入口，然后让用户提交请求，并根据这个id来操作相关对象。在处理CRUD请求时，往...
分类：
其他好文 时间：
2014-05-26 18:22:38
阅读次数：
225
如果应用程序使用用户可控制的数据，以危险的方式访问位于应用服务器或其它后端文件系统的文件或目录，就会出现路径遍历。攻击者可以将路径遍历序列放入文件名内，向上回溯，从而访问服务器上的任何文件，路径遍历序列叫“点-点-斜线”（..\）http://***/go.action?file=..\..\etc...
分类：
Web程序 时间：
2014-05-26 17:28:04
阅读次数：
1096
目录0x1：检查网页的来源0x2：检查内置的隐藏变量0x3：用POST不用GET检查网页的来源应该怎么做呢？首先我们应该检查$_SERVER[“HTTP_REFERER”]的值与来源网页的网址是否一致，就可以判断是否遭受到CSRF攻击例如：form.html提交参数show.php检查内置的隐藏域变...
分类：
其他好文 时间：
2014-05-25 13:51:08
阅读次数：
514
据了解，打包党通过APP应用存在的漏洞进行破解打包，形成山寨产品，流入市场给用户和开发者造成利益损害。我们所了解的Android应用程序存在的漏洞主要有：源代码存在被反编译的危险、资源文件存在被窃取的风险、APK签名存在被修改的风险、APK存在被注入后门程序的风险、XML主配置文件存在被静态注入的风险等。...
分类：
移动开发 时间：
2014-05-25 06:11:31
阅读次数：
481
