摘要：
0x00概述 该漏洞是由于OA系统的WorkflowCenterTreeData接口在收到用户输入的时候未进行安全过滤，oracle数据库传入恶意SQL语句，导致SQL漏洞。 0x01影响范围 使用oracle数据库的泛微 e cology OA 系统 poc 修改NULL后为要查询的字段名,修改f 阅读全文
摘要：
0x00 漏洞介绍 该漏洞为 Java反序列化错误类型，存在于 Jboss 的 HttpInvoker 组件中的 ReadOnlyAccessFilter 过滤器中。该过滤器在没有进行任何安全检查的情况下尝试将来自客户端的数据流进行反序列化，从而导致了漏洞。 该漏洞出现在/invoker/reado 阅读全文
摘要：
OAuth 2.0 概述 OAuth 2.0（开放授权）是一个开放标准，允许用户授权第三方应用访问他们存储在另外的服务提供者上的信息，而不需要将用户名和密码提供给第三方移动应用或分享他们数据的所有内容。和直接使用账号密码相比，OAuth 2.0 规避了在各个安全能力参差不齐的第三方站点上直接输入账号 阅读全文
摘要：
不管在甲方/乙方，都不可避免的回遇见需要应急的情况，本文记录了在网上找的一些常用命令，供自己平常查阅，主要从日志分析、异常连接、异常进程以及历史命令等几方面来说，欢迎斧正。 日志分析 1、除root之外，是否还有其它特权用户(uid 为0) awk -F: '$3==0{print $1}' /et 阅读全文
摘要：
科普：ATT&CK是什么 ATT&CK的提出是为了解决业界对黑客行为、事件的描述不一致、不直观的问题，换句话说它解决了描述黑客行为 (TTP) 的语言和词库，将描述黑客攻击的语言统一化。 这个模型是MITRE在2013年 主导的 Fort Meade Experiment (FMX) 研究项目中首次 阅读全文
摘要：
攻击欺骗技术 兵者，诡道也。 ——《孙子兵法》 古代战场上就知道使用变幻的攻击方法来迷惑攻击者，攻其不备、出其不意，可见攻击欺骗技术向来就是存在的。然后在网络攻防对抗的战场上，攻击欺骗技术却在近几年才登场的。 攻击欺骗（Deception）是Gartner从2015年起连续四年列为最具有潜力安全技术 阅读全文
摘要：
简介 Hfish是一款开源的蜜罐，包含了多种仿真服务，如：redis、ssh、telnet、web服务等，支持单机部署、docker部署、集群部署等形式。不属于高交互蜜罐的范畴，只是用来体验一把。放在互联网上可以捕获一些攻击者的指令，或者当成一个docker服务使用也是可以的。 本文简单记录了HFi 阅读全文
摘要：
环境 目标机器：windows 7 ，172.16.136.169 攻击机：安装了Metasploit 的 ubuntu16.04 ，172.16.136.130 (安装Metasploit：在 Ubuntu 16.04 上安装、使用 Metasploit) 复现过程 使用nmap检测是否开放相关端 阅读全文
摘要：
目录 概述 什么是零信任网络 零信任网络的逻辑组成 技术组件 技术壁垒 应用场景 最佳实践 市场前景 概述 “零信任网络”是在2010年被Forrester的首席分析师JohnKindervag提出，他认为：“企业不应自动信任内部或外部的任何人/事/物，应在授权前对任何试图接入企业系统的人/事/物进 阅读全文