Guy_Psycho
2020-12-26
黑客在 HackerOne 上赚了200万美元HackerOne 表示，Cosmin (aka@inhibitor181)也是334天前宣布的仅两年内收入达到100万美元的第七位黑客。他在短短90天内赚取了大约30万美元的奖金，从而达到了7位数的奖金。2019年3月，HackerOne 宣布了第一位百万富翁黑客——19岁的阿根廷人圣地亚哥 · 洛佩兹(San...
dingxiang
2020-09-24
近日，顶象洞见安全实验室发现西门子多款工业交换机存在高危漏洞。利用这些漏洞，黑客可远程窃取敏感信息，直接对联网的工控设备下达停止、销毁、开启、关闭等各种指令，甚至在网络内植入木马病毒。预计至少有17款西门子款设备受影响。 顶象洞见安全实验室已第一时间将相关漏洞细节上报CNNVD（国家信息安全漏洞库）和CNVD（国家信息安全漏洞共享平台），同时建议使...
Guy_Psycho
2020-08-17
在值班的我即将睡着，突然之间微信群炸了，冰蝎3.0发布！虽然是测试版，但是通过作者的对3.0版本的介绍，我们不难看出作者对本次更新的内容算是一个大更新了！ 首先我们看一下界面UI的改动： UI框架由awt改为javafx！与之前相比看着更顺眼更好看了有木有~ 其次就是我们的利用界面了，这里我们可以...
CDL路飞
2020-06-10
关于漏洞fastjson 的这个新漏洞在 1.2.68 及之前版本的 autotype 关闭的情况下仍然可以绕过限制反序列化，相比 1.2.47 版本的漏洞来讲这个版本的漏洞还是有一些限制的（关于 1.2.47 漏洞可以参考我的另一篇文章《Java 反序列化漏洞始末（3）— fastjson》[1]），例如 1.2.47 是可以绕过黑名单的限制的，而这个漏洞...
可乐无线
2020-03-05
最近在网上看了一下，DVWA这个靶场，网上最新的汉化版还是几年前的1.7版本，所以我自己在官网下载了一份最新的版本，汉化了一下，版本为1.10把内容全部汉化包括汉化报错的信息，让你更快找到问题所在汉化版本0.1下载链接https://www.lanzous.com/i9wqbib...
萧寒
2019-12-06
最近参加了一个赏金计划，然后在单点登录中发现了一个涉及比较多站点的漏洞，测试过程比较有意思，所以分享一下。基础解答：一般我们在挖洞的时候，很关键的就是要观察数据流，你可以选择用burp，当然也可以使用浏览器的F12(俗称浏览器F12大法)来观察数据流向。以下将用户中心登录站点称为passport.AAA.com，用户在登陆*.AAA.com的时候可以选择先登...
Lzers
2019-06-22
“近日，为贯彻落实《网络安全法》，加强网络安全漏洞管理，工信部起草了《网络安全漏洞管理规定（征求意见稿）》，正式向社会公开征求意见，引起了整个网络安全圈的轰动。”征求意见稿正文6月18日，为贯彻落实《中华人民共和国网络安全法》，加强网络安全漏洞管理，工业和信息化部会同有关部门起草了《网络安全漏洞管理规定（征求意见稿）》（以下简称规定），拟以规范性文件形式印发...
yangdada
2019-06-19
SRC逻辑漏洞挖掘浅谈[前言]距离最近挖src到今天刚好一个月了，最近比较忙吧。具体应该算是5月份了，上一个月挖src的同时也被拉去参加《西安互联网安全城市巡回赛》了，还算比较幸运，通过几个逻辑漏洞，线下赛获得还算不错的结果。这个月的逻辑漏洞也相对集中。于是想写篇文章针对逻辑漏洞稍微总结一下。并且包括js静态文件信息泄漏的利用，对于这一的出发点点也是因为在这...
Lzers
2019-05-12
在我的宽带即将到期的最后一天下午，我想与其什么都不做，不如挖挖漏洞呀。开始我登陆了我的bugcrowd账户，并开始思考：我找到了一个私人项目****(不能透露他的名字，我们暂且称之为Redacted.com)。测试这个项目的人非常之少。所以我对网站进行了信息收集，找到了一个简单却优雅的登陆页面。通过Wappalyzer我们只能发现它使用了javascript...
内鬼黑客狂卖个人信息 泄露数达55.3亿条，催生“年产值”上千亿数据黑市
2021-04-10
