摘要：
对上文 【web安全】第二弹：XSS攻防中的复合编码问题 的一些补充，思路来源于：http://escape.alf.nu/3/ html解码的问题： 通过appendChild添加的节点，不会被HTML解码，示例代码如下： 只有通过innerHTML插入页面的代码才会被HTML解析。 解析后为： 阅读全文
摘要：
这个地方似乎有XSS，真是令人尴尬 阅读全文
摘要：
最近写python写的尤其不顺利，更多的debug，逐渐的深入，产出却比较少。应该是个瓶颈期，坚持坚持，厚着脸皮也要坚持下去。0x00 拷贝问题程序中涉及到多进程和协程，大致的模型是开了2+个进程，每个进程里再开协程（提高多核CPU利用率）。又因为Python的multiprocessing和gev... 阅读全文
摘要：
0x00 起今天在写一个小东西的时候，需要控制并发量，但又不能直接调用python multiprocessing（问题会在文后提到）。于是尝试用Queue来实现。最一开始的思路是这样的：from multiprocessing import Processfrom Queue import Que... 阅读全文
摘要：
听说不想扯淡的程序猿，不是一只好猿。所以今天来扯扯淡，不贴代码，只讲设计思想。0x00 起 - 初始设计我们的目标是设计一枚通用的弱密码扫描器，基本功能是针对不同类型的弱密码，可方便的扩展，比如添加SSH、SVN、phpmyadmin的弱密码扫描功能。我们设定启动方法是命令行，可以通过命令行指定扫描... 阅读全文
摘要：
0x00 起最近在做一个对时间要求比较高的扫描器，需要封装一下SOCKET模拟HTTP发包的一些常用函数。简单的说，就是重写一下requests中的get、post方法。今天在写的时候，遇到一枚很奇怪的问题，对同一个URL，POST请求能正常返回信息，而一旦切到GET，socket time out... 阅读全文
摘要：
寂寞如雪的用脑过度，所以来写个博客分享一下。#虽然上一篇博客我还没写完SVN的弱密码，看起来很复杂，但实际上很简单啊= =虽然不像pymssql/mymssql这种，Python提供了很好用的包，但如果了解其中的原理就很简单了~~0x00 基本认知首先要知道如下图所示的认证方式是什么认证：这个涉及到... 阅读全文
摘要：
参考资料：http://security.alibaba.com/blog/blog.htm?id=21在北京折腾了几天，总算安顿下来，也入职了~~趁着入职前两天不太忙，把之前欠下来的这个POC补了一下~~0x00 起这个漏洞总体说来，和二次SQL注入漏洞的成因差不多。由后台的某一个点插入到数据库中... 阅读全文
摘要：
前一段时间，在EtherDream大神的博客里看到关于XSS防火墙的一系列文章，觉得很有意思。刚好科创要做一个防火墙，就把XSS前端防火墙作为一个创新点，着手去实现了。在实现过程中，由于各种原因，比如说JavaScript不熟练啦，SQL注入防火墙的干扰啦，出现了一系列问题，在文章中也会提到。0x0... 阅读全文
摘要：
前一段时间，在对SQL注入有了新的理解之后，写了这篇文章。本来准备投稿，因为内容过于基础被打回来了，想想屯着也没意思，发出来发出来~~本来有好多图的，但是博客园发图很麻烦，word文档的链接会贴在文章最后面，有兴趣的可以下载下来看。注：本文目标读者是对SQL注入有一定了解，能使用一些工具（SQLMA... 阅读全文