绝不原创的飞龙

2017年3月29日

摘要：二十、漏洞报告作者：Peter Yaworski 译者：飞龙协议：CC BY-NC-SA 4.0 所以这一天终于来了，你发现了你的第一个漏洞。首先，恭喜你！认真来讲，发现漏洞并不容易，但是有一些不爽的事情。我的第一条建议是放松，不要过度兴奋。我知道在提交报告时的极度兴奋感，以及当你被告知阅读全文

posted @ 2017-03-29 21:15 绝不原创的飞龙阅读(4) 评论(0) 推荐(0) 编辑

Web Hacking 101 中文版十八、内存（二）

摘要： 2. Python Hotshot 模块难度：高 URL：无报告链接：http://bugs.python.org/issue24481 报告日期：2015.7.20 奖金：$500 描述：像 PHP 一样，Python 编程语言也是用 C 编写的，它在之前提到过，自己管理内存。Python 阅读全文

posted @ 2017-03-29 15:31 绝不原创的飞龙阅读(11) 评论(0) 推荐(0) 编辑

Web Hacking 101 中文版十八、内存（一）

摘要：十八、内存作者：Peter Yaworski 译者：飞龙协议：CC BY-NC-SA 4.0 描述缓冲区溢出是一个场景，其中程序向缓冲区或内容区域写入数据，写入的数据比实际分配的区域要多。使用冰格来考虑的话，你可能拥有 12 个空间，但是只想要创建 10 个。在填充格子的时候，你添加了过多的水阅读全文

posted @ 2017-03-29 14:23 绝不原创的飞龙阅读(3) 评论(0) 推荐(0) 编辑

Web Hacking 101 中文版十七、服务端请求伪造

摘要：十七、服务端请求伪造作者：Peter Yaworski 译者：飞龙协议：CC BY-NC-SA 4.0 描述服务端请求伪造，或者 SSRF，是一种类型，它允许攻击者使用目标服务器来代表攻击者自己执行 HTTP 请求。这和 CSRF 类似，因为两个漏洞都执行了 HTTP 请求，而不被受害者察觉。阅读全文

posted @ 2017-03-29 14:22 绝不原创的飞龙阅读(2) 评论(0) 推荐(0) 编辑

2017年3月28日

Web Hacking 101 中文版九、应用逻辑漏洞（三）

摘要： 7. 绕过 Gitlab 的双因素认证难度：中 URL：无报告链接：https://hackerone.com/reports/128085 报告日期：2016.4.3 奖金：无描述： 4 月 3 日，Jobert Abma（HackerOne 的联合创始人）向 Gitlab 报告称，在双因素阅读全文

posted @ 2017-03-28 20:57 绝不原创的飞龙阅读(16) 评论(0) 推荐(0) 编辑

Web Hacking 101 中文版九、应用逻辑漏洞（二）

摘要： 4. HackerOne 信号操作难度：低 URL：hackerone.com/reports/XXXXX 报告链接：https://hackerone.com/reports/106305 报告日期：2015.12.21 奖金：$500 描述：在 2015 年年末，HackerOne 向站点进阅读全文

posted @ 2017-03-28 15:31 绝不原创的飞龙阅读(16) 评论(0) 推荐(0) 编辑

Web Hacking 101 中文版九、应用逻辑漏洞（一）

摘要：九、应用逻辑漏洞作者：Peter Yaworski 译者：飞龙协议：CC BY-NC-SA 4.0 应用逻辑漏洞不同于其他我们讨论过的类型。虽然 HTML 注入、HTML 参数污染和 XSS 都涉及到提交一些类型的潜在恶意输入，应用落地及漏洞实际上涉及到操纵场景和利用 Web APP 代码中的阅读全文

posted @ 2017-03-28 10:41 绝不原创的飞龙阅读(3) 评论(0) 推荐(0) 编辑

2017年3月27日

Web Hacking 101 中文版十、跨站脚本攻击（二）

摘要： 4. 雅虎邮件存储型 XSS 难度：低 URL：Yahoo Mail 报告链接：https://klikki.fi/adv/yahoo.html 报告日期：2015.12.26 奖金：$10000 描述：雅虎邮件编辑器允许人们将图片通过 HTML IMG 标签嵌入到邮件中。这个漏洞在 HTML I 阅读全文

posted @ 2017-03-27 21:38 绝不原创的飞龙阅读(9) 评论(0) 推荐(0) 编辑

Web Hacking 101 中文版十、跨站脚本攻击（一）

摘要：十、跨站脚本攻击作者：Peter Yaworski 译者：飞龙协议：CC BY-NC-SA 4.0 描述跨站脚本，或者 XSS，涉及到站定包含非预期的 JavaScript 脚本代码，它随后传给用于，用户在浏览器中执行了该代码。它的一个无害示例为： alert('XSS'); 这会调用 Jav 阅读全文

posted @ 2017-03-27 10:44 绝不原创的飞龙阅读(3) 评论(0) 推荐(0) 编辑

Web Hacking 101 中文版十六、模板注入

摘要：十六、模板注入作者：Peter Yaworski 译者：飞龙协议：CC BY-NC-SA 4.0 模板引擎是允许开发者或设计师在创建动态网页的时候，从数据展示中分离编程逻辑的工具。换句话说，除了拥有接收 HTTP 请求的代码，从数据库查询必需的数据并且之后将其在单个文件中将其展示给用户之外，模板阅读全文

posted @ 2017-03-27 09:53 绝不原创的飞龙阅读(14) 评论(0) 推荐(0) 编辑

龙哥盟

掠夺·扩张·投机·博弈

公告