XSS Filter Evasion Cheat Sheet（XSS BYPASS备忘录）
【本文作者：legend 属于安全脉搏原创现金奖励文章，未经允许，严禁转载】【应大量脉搏读者需求，已经转换提供pdf下载：XSS Filter Evasion Cheat Sheet_SecPulse.pdf下载链接: https://pa...
浅谈SVG的两个黑魔法
前言之前在CTF比赛中遇到了一些关于SVG造成的安全问题，多亏诸多师傅的题目给我的一顿痛打让我又了解了不少新的知识和SVG在WEB安全中的应用，拓展了我的攻击面。本文涉及靶场知识点——XXE漏洞...
Sqlmap初体验，渗透拿到网站用户名密码(sqlmap渗透网站教程)
前期准备：拿到目标网站时，要先进行信息收集，目的是为了扩大目标范围。可以看一下有哪些“C段”（即同网段不同IP），有哪些二级域名“旁站”（即同服务器的不同站点），这些都是你不可忽略的...
大数据的风控与安全防御 | 点融黑帮
导语：互联网金融面对着很多风险，比如：薅羊毛，恶意注册，常规的攻击。针对常规的攻击手段我们或许可以使用WAF,IDS,IPS这些硬件来防护。但是针对薅羊毛这些，我们无从下手，打击力度太大的话...
通用异常捕获声明缺陷漏洞(异常捕获原则)
一、什么是通用异常捕获声明缺陷?捕获过于广泛的异常会导致复杂的错误处理代码，该代码更可能包含安全漏洞。二、通用异常捕获声明缺陷构成条件有哪些?的变量。捕捉异常似乎是处理多个可能异常的...
干货 | 超详细的渗透测试思维导图
经常有人问我渗透流程和思路，特此分享一张曾经在Github上看到的一张超级详细渗透测试思维导图，值得学习原图下载地址见文末看完是不是发现自己还有很多不会快去学习点亮自己的技能树吧Xmind源...
渗透不会反弹shell？来教你写一个cmd的shell(cmd渗透命令)
渗透不会反弹shell？来教你写一个cmd的shell包含的库：#include <winsock2.h>#include <windows.h>#include <ws2tcpip.h>#include <iostream>#inc...
使用python javaSerializationTools模块拼接生成 8u20 Gadget
简介最近受朋友所托，在使用python写扫描器关于java反序列化漏洞的exp中，一直无法简便的生成payload。目前来说只有两种方法：python通过命令调用java的Ysoerial.jar 去获取gadget。 缺点太多了...
浏览器密码存储原理和渗透中的利用(浏览器保存密码会泄露吗)
一、引言我之前的文章中介绍了名为dumpmon的推特机器人，它监控着众多“贴码网站”的账户转储、配置文件和其他信息。自那以后，我一直留意着监测到的信息。接下来会有关于dumpmon的一系列文章，...
某cms的一次审计(某公司进行年度审计期间)
网站目录├── addons（这个是个空目录）├── admin.php（后台入口）├── app（审计重点）├── extend（该cms的一些插件）├── favicon.ico（网站图标）├── index.php（前台入口）...
