2017
03-09
03-09
如何最大化的将漏洞扼杀在摇篮里
安全攻城狮在公司存在之初，刚开始更多进行的是救火的工作，救火工作并不能从根源上解决漏洞的产生。
如何最大化的将漏洞扼杀在产生之初，这个实际上某个dalao提的问题，问了几位老司机，做一下小笔记。
1，定期化的安全培训，需要注重培训效果、培训次数、培训覆盖面、帮助文档、培训反馈；
2，系统设计阶段，就需要安全测试小伙伴的介入，了解开发过程、熟悉业务流程，只有掌握足够多的信息，才能发.... Read More >
看到有小伙伴问fofa搜索结果采集的问题 http://zone.wooyun.org/content/17971 贴上之前写过的一个简单的采集加利用，代码效率特别低，就抛砖引玉一下！ fofa在不登录状态下默认只展示一部分搜索结果，可以利用它提供的api接口来获取所有的搜索结果.... 
之前发了一个帖子： http://zone.wooyun.org/content/20379 总结了几种企业邮箱爆破的一些小技巧，直接贴出具体的爆破脚本吧。以163企业邮箱为例，目前这个是单线程的，也是从网上找到的爆破google邮箱的代码简单修改成的，只支持pop3协议。小伙伴们可以修改成支持多种.... 
自从去了新公司之后，工作太忙，变的有点懒了，很久没有更新Blog。今天跟几个小伙伴一起吃饭，小伙伴提起我的Blog，想想是该更新更新了，就把我投稿给sobug的这篇转过来吧，关于Android app安全测试的基础东东，在Sobug 的url:
https://sobug.com/articl.... 
Discuz!x系列转换工具存在任意代码写入漏洞，wooyun上猪猪侠和另外一大神刷rank也刷的差不多了，今天知道有童鞋已经公布了！
so，放出之前学习python写的漏洞利用exp, 只是练手学python,所以代码和功能都很粗糙。不知道漏洞作者是谁，看到此文的请留言认领！
这个漏洞.... 
内容欺骗漏洞是指攻击者可以通过修改网页源代码，让访问者觉得是该功能或者该站点是可信合法的，来达到欺骗用户的目的。内容欺骗往往利用web服务的用户和组织之间建立的信任关系，意图是欺骗用户，达到钓鱼获取用户敏感信息的目的。
OWASP也将也被称为内容注射或者虚拟污损，内容欺骗漏洞攻击一般是和社会工.... 
国外某童鞋收集整理的针对HTML5的
XSS测试代码
<video> <source onerror=”javascript:alert(1)”>
引入媒体类测试代码Example:
<video onerror=”javascript:alert(1)”>.... 
这篇文章谈论简单的技术，利用sql注入(SQLi)漏洞，并获得一个webshell，所有的演示都是用DVWA（渗透测试演练系统）.对于SQL注入利用，有以下几个基本步骤:
1,发现SQL注入点;
2,通过mysql数据库帮助，进一步进行注入，获取帐号密码等敏感信息；
3,上传web.... ![[转载]Android平台下渗透测试工具集合](/wp-content/themes/frontopen2_v1.5.04.15/timthumb.php?src=/wp-content/uploads/2012/09/android.jpg&h=140&w=205&zc=1)
Ad Network Detector (1.2): http://market.android.com/details?id=com.lookout.addetector
App Backup & Restore (1.0.5): http://market.android.com/.... 
IronWASP是一款优秀的web应用程序高级安全性的测试平台，是开源的系统，主要用户测试Web应用程序的漏洞。这个工具是非常简单易用的，初学者可以使用。如果用户对python和ruby比较了解的话，还开源用这个工具创建自定义的扫描。
这个工具的另外一大优势是，它使用各种外部库，使之更加强大，.... 
之前有IBM Rational Appscan使用详细说明的一篇文章，主要是针对扫描过程中配置设置等.本文将介绍针对扫描结果的分析,也是一次完整的渗透测试必须经历的环节.
扫描开始的时候,Appscan会询问是否保存扫描结果,同时下方有进度条显示扫描的进度.
在扫描过程中，如....