2019
03-08
03-08
Mac OS 启动apache localhost无法访问服务器
问题描述：由于删除了/private/var/log下面的日志，导致重启电脑后apache无法正常工作。
删除log的初衷是：当系统用久了，日志文件占据了几十个G的硬盘容量。
造成的后果：重启电脑后apache无法正常运行，访问localhost或127.0.0.1都会无法找到服务器。
探索：问题出现后，由于$ sudo apachectl start不会报任何错，但是访问loc.... Read More >
网络尖刀微信群聊天的时候，小飞侠老司机分享的，果断记录一下：
H4sIAAA开头的一般都是base64+gzip Encode之后的结果。
问题如图：
解码方法，先base64 decode，然后再gzip decode，用burpsuite Decoder功能.... 
0x01 背景介绍
DataImportHandler主要用于从数据库抓取数据并创建索引，Solr搭建完毕，并将数据插入到MySQL等数据库之后，需要创建Core，并且对数据库中的数据生成索引，在生成索引的时候就会用到DIH。
在使用solr web控制台生成core索引的时候，dataCo.... 
微信支付SDK JAVA版今天曝出了XXE漏洞，主要原因是在使用DOM处理回传的XML格式的支付结果通知时，未禁用外部实体、参数实体、内联DTD等，导致存在XXE漏洞。
0x01 原理分析
作者原文分析提到在看微信支付JAVA SDK的说明文档时，发现了结果通知代码示例：
import com.... 
跟几个小伙伴注册了sctf的比赛，正好有事请假，在家看了看，就完成了一道送分题，拿了个三血。不得不说的是，做过ctf之后，才知道ctf大佬是真的牛逼，现在的ctf套路太深了。
Web第七题，easiest web - phpmyadmin
看了几道其它类型的题目，大多能简单看明白的，搞了.... 
漏洞原理：
WebView对象的行为是通过WebSettings类进行设置的，如果配置不当，攻击者就可以利用该漏洞可以打破Android沙盒隔离机制，从而通过某个应用来攻击其它应用，盗取其它应用本地保存的配置文件、敏感信息等。
主要利用了android.webkit.WebSettings类.... 
Jboss AS 5.X 反序列化漏洞
漏洞成因
Jboss AS 5.X被曝出反序列化远程命令执行漏洞，主要是由于HTTP Invoker的ReadOnlyAccessFilter中的doFilter方法不会限制执行反序列化的类，从而允许攻击者通过精心设计的序列化数据执行任意代码。
发现....