代码审计 第4页
排序
.NET高级代码审计（第二课） Json.Net反序列化漏洞
0X00 前言Newtonsoft.Json，这是一个开源的Json.Net库，官方地址：https://www.newtonsoft.com/json ，一个读写Json效率非常高的.Net库，在做开发的时候，很多数据交换都是以json格式传输...
1个月前
WECHAT二维码闪退分析(微信扫二维码会闪退是什么情况)
作者：hu1y40（洞源实验室，安全工程师） 一、 事件背景腾讯旗下的微信是一款社交通讯应用程序，由中国互联网巨头腾讯公司开发和运营。作为一款领先的社交应用，微信在全球范围内拥有...
1个月前
.NET高级代码审计（第六课） DataContractSerializer反序列化漏洞
0X00 前言DataContractSerializer类用于序列化和反序列化Windows Communication Foundation (WCF) 消息中发送的数据，用于把CLR数据类型序列化成XML流，它位于命名空间System.Runtime...
1个月前
PHP代码层防护与绕过(php绕过disable_function)
0x01 前言 在一些网站通常会在公用文件引入全局防护代码进行SQL注入、XSS跨站脚本等漏洞的防御，在一定程度上对网站安全防护还是比较有效的。 这里讨论一下关键字过滤不完善及常见正则匹配存在...
1个月前
资源未关闭/释放漏洞(资源受限是什么意思)
一、什么是资源未关闭/释放?在使用临时或配套资源后，软件没有正确“清理”和删除这些资源。二、资源未关闭/释放漏洞构成条件有哪些?满足以下条件，就构成了一个该类型的安全漏洞：1、软件在使...
1个月前
Empty Passwordin Configuration File
早在2017年，苹果MacOS的Sierra就出现过类似漏洞问题， 它允许任何人在root账户中输入一个空白密码或任意字符串作为密码即可进入系统。未授权的用户可以通过【系统偏好】设置，选择【用户...
1个月前
使用已破解或危险的加密算法导致的漏洞(已经被破解的加密算法)
本期主题为使用已破解或危险的加密算法导致漏洞的相关介绍。一、什么是使用已破解或危险的加密算法导致的漏洞?使用已破解或者有风险的加密算法会产生软件风险，可能导致敏感信息暴露。使用非标...
1个月前
某个OA系统的代码审计(某oa系统需要提供一个加密模块)
2023年HVV中爆出来的洞了，但是有一些漏洞点修复了，刚好地市级的攻防演练中遇到了一个，想着把可能出现问题的点全部审计一下，顺便熟悉一下.net代码审计。ps:感兴趣的师傅们可以自行根据poc搜...
1个月前
使用不安全的随机值漏洞(不安全的伪随机数)
本期主题为使用不安全的随机值的相关介绍。一、什么是使用不安全的随机值?软件依赖于不可预测的数值使用了不充分的随机数导致的安全性降低。产生原因：计算机是一种按照既定算法运行的机器，因...
1个月前
使用不安全的随机值漏洞(不安全的伪随机数)
一、什么是使用不安全的随机值?软件依赖于不可预测的数值使用了不充分的随机数导致的安全性降低。产生原因：计算机是一种按照既定算法运行的机器，因此不可能产生真正的随机性。伪随机数生成器 ...
1个月前