摘要： YS的的当前session是24小时失效的，手机和web是共用一套session机制的，但考虑到移动终端的用户体验问题，不可能让用户24小时就登录一次，因此，自动登录是必须要做的，目前的方式是使用对称加密（AES256）存储用户的用户名和口令，密钥使用是根据软硬件环境生成的，密文只能在这台机器上解密，但长远来看还是有被逆出明文的风险，因此，决定改用存储sessionID的方式实现自动登录，同... 阅读全文

摘要： 这是在测试YS“本地相册”功能时发现的一个反射型XSS，自己在安全测试过程中也发现过不少XSS漏洞，唯独这个的发现过程有点区别。在此之前，我在测试另外一个模块的功能接口的时候发现了一个反射型XSS，当我在测试“本地相册”这个功能的时候，当我用burp拦截到HTTP请求时，发现该请求有3个参数，仔细观... 阅读全文

摘要： YS VTM模块存在格式化字符串漏洞，可导致VTM进程异常退出【高危】问题描述： YS VTM模块开放对外监听端口（8554和8664），此次使用sulley fuzzing框架对监听在8664端口的私有二进制协议进行测试，以检测可能发生的各种问题。在该协议中，客户端会向8664端口发送一个二进制+... 阅读全文