dingxiang
2020-10-16
10月10日，某大型电商平台上一家名为“长虹厨房电器旗舰店”的商家公告称，因为某推广机构的恶意欺骗，标价60多元的电热水壶，被不到10元钱买下拍了20万单。由此产生巨大的损失，甚至有破产倒闭风险，恳请消费者退款。有网友认为“薅羊毛”不能薅秃了羊，决定申请退款；也有网友观点认为，消费者并无过错，商家理应为自己的行为负责，营销活动中出现了问题不应该将责任推给消费...
Xdf
2020-06-03
最近，我的朋友“老嗨”，他参加了一个某云举办的号称可能史上最强的使用了AI技术的Webshell检测系统挑战赛...因为我没什么时间去搞这个，所以，我把我珍藏多年，姿势比较多的JSP Webshell发给了老嗨，老嗨跟我说，全部bypass了，但最后的结果非常惨烈，有被抢了的，有的因为没适配windows导致降级的，也有因为裁判机使用了openjdk亦或者他...
广州锦行网络科技有限公司
2020-04-21
作者：锦行科技-安全平台部 Ink23y 如今攻击手段日益层出不穷，令企业防不胜防，因此企业不能再以原有的防守思维去防守。基于攻击者的视角，了解攻击者的攻击手法才能更好地做好防守。本次介绍的是攻击者常用的一种攻击手法"HTTP请求走私"，它可以使攻击者能够绕过安全控制，未经授权访问敏感数据并直接危害其他应用程序用户。本文由锦行科技的...
安云
2019-06-29
在2018年的最后一天，我在Internet Explorer中发现了一个类型混淆漏洞，它产生了一个干净的write-what-where原语。它将今年四月修补为CVE-2019-0752。作为练习，我使用原始的开发技术为此漏洞编写了一个完整的漏洞。即使漏洞本身仅产生受控写入并且无法触发以产生信息泄漏，但是仍然存在直接且高度可靠的代码执行路径。此外，该漏洞利...
Lzers
2019-06-14
1. 序我在之前的一篇文章中简单讲解了Web应用代码自动化审计的几种实现方式。这篇文章以自动化辅助挖掘XSS漏洞漏洞为例，简单的讲解一个实际的灰盒分析实现的例子。在上文中有提到到，漏洞可以认为是输入到危险函数的过程，所以这篇文章涉及到的主要是输入、危险函数、具体实现这三个部分。2. 输入作为污点来源的输入主要考虑当前状态、网络请求和存储函数三个来源。当前状态...
小威
2019-06-03
事情的起因是帮班级开发了一个管理平台，其中的权限校验部分使用了shiro。上线后有一个同学发现了一个漏洞，可以造成任意用户登录，绕过Api的身份验证。我们在使用shiro进行身份认证时，需要根据自己的需求实现Realm，实现doGetAuthentication（用户身份认证信息）以及doGetAuthorizationInfo（用于权限校验信息）。问题代码...
废物麟
2019-06-03
前言起源于强网杯的密码学题目random studyjava.util.Random题目中challenge two的主要代码如下：o = subprocess.check_output(["java", "Main"])tmp=[]for i in o.sp...
内鬼黑客狂卖个人信息 泄露数达55.3亿条，催生“年产值”上千亿数据黑市
2021-04-10
