2012
11-14

SVN和GIT等版本控制系统配置不当的危害

版本控制在一个项目程序的开发过程中是必不可少的，以下介绍一下全球比较著名的版本控制系统,以及如何利用该系统进行入侵渗透.  CVS    虽然CVS很简单，但是仍然可以使用备份文件。    SVN    Subversion是现今最广泛使用的版本控制系统。    GIT   .... Read More >

2012
11-06

西南石油信息安全大赛基础关过关记录

西南石油第三届信息安全大赛，最近应该有很多朋友在玩，题目设计的很有意思.基础关基本要做完了，记录一下过程中所学. 本文是本人过关过程的一些记录，方便以后参考使用,西南石油信息安全大赛非常有意思,如果有朋友还没有参加过， 建议先参加，然后再阅读本文.不然看完之后就失去参加的兴趣了,因为都已经知道答.... Read More >

2012
10-17

CSRF漏洞详细说明

Cross-Site Request Forgery（CSRF），中文一般译作跨站请求伪造。经常入选owasp漏洞列表Top10，在当前web漏洞排行中，与XSS和SQL注入并列前三。与前两者相比，CSRF相对来说受到的关注要小很多，但是危害却非常大。 通常情况下，有三种方法被广泛用来防御CSRF.... Read More >

2012
09-30

[转载]Android平台下渗透测试工具集合

Ad Network Detector (1.2): http://market.android.com/details?id=com.lookout.addetector App Backup & Restore (1.0.5): http://market.android.com/.... Read More >

2012
09-26

Web应用程序渗透测试工具IronWASP

IronWASP是一款优秀的web应用程序高级安全性的测试平台，是开源的系统，主要用户测试Web应用程序的漏洞。这个工具是非常简单易用的，初学者可以使用。如果用户对python和ruby比较了解的话，还开源用这个工具创建自定义的扫描。 这个工具的另外一大优势是，它使用各种外部库，使之更加强大，.... Read More >

2012
09-13

轻量级入侵检测系统(IDS)-Log4Trail

Log4Trail是一款轻量级的入侵检测系统，它可以用来监视用户的文件、文件夹、配置、脚本、备份，以及系统管理员和用户的目录等。它适用于windows、Linux、FreeBSD、Mac os等. Log4Trail有非常友好的图形界面，可以帮助初学者，以及初级系统管理员和用户等，可以用来监视.... Read More >

2012
08-22

JBoss默认身份验证漏洞利用及修复

JBoss应用服务器是一个开源的基于Java EE应用服务器。 JBoss被广泛使用，许多组织的web服务器都是由JBoss部署的。JBoss已经爆出过很多漏洞和错误，本文将分享JBoss应用程序默认身份验证漏洞的利用和修复. 如果JBoss配置不正确,就会允许攻击者执行各种恶意活动。由于JM.... Read More >

2012
08-17

IBM Rational Appscan使用之扫描结果分析

之前有IBM Rational Appscan使用详细说明的一篇文章，主要是针对扫描过程中配置设置等.本文将介绍针对扫描结果的分析,也是一次完整的渗透测试必须经历的环节. 扫描开始的时候,Appscan会询问是否保存扫描结果,同时下方有进度条显示扫描的进度. 在扫描过程中，如.... Read More >

2012
08-13

XSS攻击汇总

很蛋疼的模版,蛋疼的编辑器插件，文章中写入以下汇总的xss，你会发现出现蛋疼的一幕,好文章再怎么蛋疼也要转载分享.只好截图: 转载的 原作者NightRaid         .... Read More >

2012
07-27

IBM Rational AppScan使用详细说明

本文由阿德马翻译自国外网站,尊重劳动成果,转载请注明出处,谢谢. 本文将详细介绍Appscan功能选项设置的细节,适合E文一般,初次接触Appscan的童鞋参考阅读. Appscan是web应用程序渗透测试舞台上使用最广泛的工具之一.它是一个桌面应用程序，它有助于专业安全人员进行Web应.... Read More >

2012
07-25

Phpcms v9任意文件读取漏洞利用及修复

Phpcms V9近期又爆出一高危漏洞，利用者可以直接读取一些重要的敏感文件,危害数据库和服务器的安全. 本文主要介绍漏洞的相关利用细节，以及针对此漏洞的修复方案和注意事项. 附上利用exp: Return的exp: <-------------------------.... Read More >

2012
07-19

Google hacker工具使用和Google hacker防范

本文翻译自国外网站,请尊重劳动成果,转载注明出处,谢谢. 本文介绍了三款Google hacking工具:Gooscan、SiteDigger和Wikto的简单使用以及针对Google hacking行为的简单防范. 我们防范google hacker之前，让我们来看看谷歌黑客是什么？ .... Read More >

2012
07-18

Wi-Fi Hacking(无线黑阔工具Reaver和Aircrack的安装使用)

从国外网站翻译过来的,可能不甚准确.转载请注明出处. 这篇文章的重点是教我们如何破解不安全的wi-fi网络,我使用的是一款在黑阔间非常流行的外部wi-fi卡AWUSO36H 802.11 b/g 5db，它的市场价大概是20-35美元.这款wi-fi卡的优势在于其广泛的范围,使用者可以挑选所有.... Read More >

2012
07-18

wordpress Diary/Notebook主题邮件欺骗漏洞

Wordpress的这款Diary/Notebook主题是有site5设计的一款个人日记blog系统主题.近期爆出了邮件欺骗的漏洞.附上perl脚本的Exp:   #!/usr/bin/perl  # Exploit Title: Diary/Notebook Site5.... Read More >

2012
07-14

Web应用程序安全测试工具

Websecurify是一个功能强大的Web应用程序安全测试环境，是一款最佳的提供自动和手动漏洞测试技术的工具。能够快速准确的识别Web应用安全问题.它适用于所有主要的平台,有充满热情的团队经常更新。   官方网站：http://www.websecurify.com/ 最.... Read More >

2012
07-14

开源网络协议分析器-Wireshark

Wireshark的是一个梦幻般的多平台开源网络协议分析器.它可以用来从存活的网络主机中检查分析数据,也看用来从磁盘中捕获文件.你可以交互地浏览捕获的数据，只是捕获的包的详细细节,需要你来分析。Wireshark有一些强大的功能，包括丰富的显示过滤器语言和查看TCP会话重构流的能力。它还支持数以百计.... Read More >