Web安全

Web安全 企业如何防御恶意bot流量

企业如何防御恶意bot流量

互联网安全公司 Imperva Incapsula 公布的《2016年机器流量报告》（Bot Traffic Report 2016）显示恶意 bot 流量（ bot ：即“机器人”流量，即自动化程序流量）占整体网络流量的比例高达 28.9% 。 恶意 bot 流量造成的业务网站平台服务不可用、用户体验降低、网站漏洞安全问题、业务故障等问题，导致企业数据被爬、接口被刷、CC攻...
2017 /7/11 17:49
1 条评论
4,461
Web安全 跟着DVWA学Web安全开发

跟着DVWA学Web安全开发

0x00 前言 DVWA（Damn Vulnerable Web Application）是一个用来进行安全脆弱性鉴定的PHP/MySQL Web应用，旨在为安全专业人员测试自己的专业技能和工具提供合法的环境，帮助web开发者更好的理解web应用安全防范的过程。 本文将从DVWA中包含的各种漏洞来学习基本的Web安全开发中的需要注意的问题，本文旨在为Web开发中的新手提供一些安...
2017 /7/11 17:08
2 条评论
4,650
Web安全 web安全之如何全面发现系统后台

web安全之如何全面发现系统后台

前言 所谓的网站后台管理系统主要是用于对网站前台的信息管理，如文字、图片、影音、和其他日常使用文件的发布、更新、删除等操作，同时也包括会员信息、订单信息、访客信息的统计和管理等相关操作。简单来说就是对网站数据库和文件的快速操作和系统管理，方便前台内容的更新及管理。 渗透测试中得到后台的必要性： 后台能执行更多的敏感操作，如上传webshell。 通过SQL注入等拿到后台账户密...
2017 /6/30 14:56
6 条评论
8,974
Web安全 Nginx Lua Web Application Security

Nginx Lua Web Application Security

前言 我们知道，Nginx Lua经常被用来编写WAF。但随着lua语言的广泛，在其他web应用中也会有大量的Lua。 安装配置 可以使用OpenResty或者nginx编译的时候添加lua-nginx-module模块。区别在于OpenResty自带了很多第三方Lua库。所有测试均在以下环境： Lua 5.1.4 nginx/1.9.15 lua-nginx-mo...
2017 /6/19 19:09
沙发
9,600
Web安全 透过F5获取服务器真实内网IP技巧

透过F5获取服务器真实内网IP技巧

渗透测试过程中，经常会遇到目标服务器使用F5 LTM做负载均衡。 如果能获取到目标服务器的真实IP地址，会给后续渗透带来一定便利。 本文既是最近渗透遇到的一点点经验分享。 F5修改cookie机制 F5 LTM做负载均衡时，有多种机制实现会话保持。 其中用到很多的一种是通过修改cookie来实现的。 具体说来，F5在获取到客户端第一次请求时，会使用set cookie头，给客户...
2017 /6/14 17:41
1 条评论
9,048
Web安全 phpcms_v9.6.0_sql注入与exp

phpcms_v9.6.0_sql注入与exp

今天还是昨天 突然整个圈子都在问一个phpcms v9漏洞 我们这里有好几个未公开的 后来经过证实，你们是要这个注入的漏洞 这个漏洞的文档已经在小范围流传了  phpcms_v9.6.0_sql注入分析 可疑的函数 localhost/phpcms/modules/attachment/attachments.php文件的第241GET提交src变量带上了safe_relac...
2017 /4/10 12:13
3 条评论
14,508
Web安全 浅谈XSS攻击的那些事（附常用绕过姿势）

浅谈XSS攻击的那些事（附常用绕过姿势）

本文《浅谈XSS攻击的那些事（附常用绕过姿势）》 由一叶知安团队原创投稿安全脉搏首发，作者geek痕,安全脉搏独家首发表本文，如需要转载，请先联系安全脉搏授权；未经授权请勿转载。 随着互联网的不断发展，web应用的互动性也越来越强。但正如一个硬币会有两面一样，在用户体验提升的同时安全风险也会跟着有所增加。今天，我们就来讲一讲web渗透中常见的一种攻击方式：XSS攻击。 首先，什...
2017 /4/10 2:49
沙发
14,074
Web安全 IIS6 ScStoragePathFromUrl溢出利用方法

IIS6 ScStoragePathFromUrl溢出利用方法

3月27日华南理工大学的研究人员公布了IIS6的一个栈溢出漏洞（CVE-2017-7269），在2003系统下开启WEBDAV的情况下，可以远程获取Network Service权限。 在尝试调试利用此漏洞的时候，我遇到了一些问题并进行了解决，现在把调试和解决方法记录下来作为学习笔记，以便日后总结复习。 漏洞简析 此漏洞出现在httpext.dll的ScStoragePath...
2017 /4/5 15:24
沙发
10,869
Web安全 文件寄生——寻找宿主的不归路(NTFS文件流实际应用)

文件寄生——寻找宿主的不归路(NTFS文件流实际应用)

NTFS文件系统实现了多文件流特性，NTFS环境一个文件默认使用的是未命名的文件流，同时可创建其他命名的文件流，windows资源管理器默认不显示出文件的命名文件流，这些命名的文件流在功能上和默认使用的未命名文件流一致，甚至可以用来启动程序。 NTFS文件流生成步骤： 本文《文件寄生——寻找宿主的不归路(NTFS文件流实际应用)”》由作者米斯特安全攻防实验室 Www.Hi-Ou...
2017 /4/1 10:01
沙发
8,187
Web安全 MySQL Order By 注入总结

MySQL Order By 注入总结

前言 最近在做一些漏洞盒子后台项目的总结，在盒子众多众测项目中，注入类的漏洞占比一直较大。其中Order By注入型的漏洞也占挺大一部分比例，这类漏洞也是白帽子乐意提交的类型（奖金高、被过滤概览小）。今天给大家分享下一些关于Order By的有趣的经验。 何为order by 注入 本文讨论的内容指可控制的位置在order by子句后，如下order参数可控：select * ...
2017 /3/29 20:03
1 条评论
9,629
Web安全 爬虫这件小事

爬虫这件小事

《爬虫这件小事》 注：本文为“小米安全中心”原创 ,转载请联系“小米安全中心” 0x00 前言 这一天终于还是来了。两周前答应部门妹子3月15号之前写篇文章，两周后我只字未动诚惶诚恐，为了避免被当做假同事打假，有了这篇挫文。 至于为什么要写这方面内容，纯粹我临时拍脑袋想的，专业做爬虫的就不用看了，我这属于十分钟了解爬虫系列，而且通篇不会涉及任何代码，毕竟我不是@netxfly，...
2017 /3/21 11:24
沙发
6,884
Web安全 CSRF Attack Details

CSRF Attack Details

原文：CSRF Attack Details 作者：familyld    安全脉搏编辑整理发布 配置 软件：Vmware Workstation 12 Player 系统：SEEDUbuntu12.04 网络：NAT 其他： Firefox浏览器(安装好LiveHTTPHeaders插件，用于检查HTTP请求和响应)； Apache网络服务器； Elgg网页应用 Star...
2017 /3/16 19:06
沙发
7,938
Web安全 渗透测试中的Bypass技巧(IV)之自动化Bypass注入2

渗透测试中的Bypass技巧(IV)之自动化Bypass注入2

本文《渗透测试中的Bypass技巧(IV)之自动化Bypass注入2》由一叶知安团队原创投稿安全脉搏首发，作者：倾旋，安全脉搏首发表本文，如需要转载，请先联系安全脉搏授权；未经授权请勿转载。 过滤/拦截规则不严谨 0x01 简单测试 列举一下常见的WAF： 安全狗 云锁 护卫神 D盾 360网站卫士 百度云加速 阿里云云盾 环境： WAF：云锁最新版本1.6 系统:wi...
2017 /3/13 0:20
沙发
8,419
Web安全 挖矿木马Ddg分析

挖矿木马Ddg分析

近日，乐视安全中心接获用户服务器高负载告警，经安全人员协查分析，发现是通过redis漏洞传播的挖矿木马-ddg，大量消耗服务器资源，难以清除并具有内网扩散功能。本文为乐视安全中心对木马具体原理功能及传播方式进行的分析，以及给出的解决方案。 0x01 木马行为 登陆被感染服务器，利用top查看CPU使用率，找到CPU消耗进程AnXqV 通过kill杀死...
2017 /3/10 18:39
沙发
8,514

不容错过

友情链接

合作伙伴