爱豆文档 - 信息安全文档下载平台 - idocdown.com （部分文档，免费下载）

. . . . . .

实现一个简单的Burp验证码本地识别插件

# Burp验证码本地识别插件开发教程 ## 1. 开发背景与目的本教程将指导您开发一个Burp Suite插件，用于本地识别简单的图片验证码。该插件主要针对以下场景： - 测试仍使用简单图片验证码的陈旧web系统 - 避免依赖收费验证码识别服务 - 提供本地化解决方案，提高测试效率 ## 2. 开发环境准备 ### 必备组件 - 操作系统：Windows 7 x64（其他版本也可） - Java环境：Java 1.8.0_161 **32位版本**（关键） - 开发工具：NetBea

2025-08-17 20:30:09

Fastjson反序列化浅析（一）

# Fastjson反序列化漏洞分析（一） ## 一、Fastjson基本概念 Fastjson是一个Java语言的JSON解析库，主要功能是将JSON字符串解析为Java对象。其基本使用方式如下： ```java String s = "{\"param1\":\"aaa\",\"param2\":\"bbb\"}"; // 解析JSON JSONObject jsonObject = JSON.parseObject(s); // 原生打印 System.out.println(jso

2025-08-17 20:29:10

ESI注入：利用缓存服务形成的SSRF和其它客户端形式渗透

# ESI注入漏洞分析与防御指南 ## 1. ESI技术概述 Edge Side Includes (ESI)是一种基于XML的标记语言，主要用于HTTP代理服务器（如反向代理、负载均衡、缓存服务器）解决网页缓存问题。 ### 1.1 基本功能 - 指引反向代理获取缓存中的网页内容 - 动态组合不同缓存片段 - 减少从源服务器抓取完整页面的次数 - 提高响应时间并降低服务器负载 ### 1.2 典型用例处理包含动态内容的静态页面，例如： ```html The Weather W

2025-08-17 20:18:02

基于JXWAF快速搭建钓鱼网站

# 基于JXWAF快速搭建钓鱼网站的教学文档 ## 一、概述本教学文档详细介绍了如何利用JXWAF快速搭建钓鱼网站，主要用于安全意识培训和钓鱼邮件演练。该方法通过反向代理技术实现钓鱼网站搭建，具有隐蔽性强、不易被察觉的特点。 ## 二、准备工作 1. **域名注册**： - 注册与目标网站相似的钓鱼域名（如目标域名为oa.testing.com，可注册oa.testlng.com） - 将钓鱼域名解析指向钓鱼网站服务器IP 2. **JXWAF环境搭建**： - 参

2025-08-17 20:17:11

SecWiki周刊（第216期）

# Steam新型盗号木马及产业链分析报告教学文档 ## 一、木马概述 1. **目标平台**：主要针对Windows系统的Steam游戏平台用户 2. **传播方式**： - 伪装成游戏补丁/修改器传播 - 通过钓鱼网站诱导下载 - 捆绑在盗版游戏中传播 3. **主要功能**： - 窃取Steam账户凭据 - 窃取交易API密钥 - 监控并拦截Steam交易确认 ## 二、技术分析 ### 1. 感染机制 - 使用UPX等加壳工具混淆代码 - 通过

2025-08-17 20:16:36

ThinkPHP 框架SQL注入技术分析

# ThinkPHP框架SQL注入漏洞技术分析与防御指南 ## 漏洞概述 ThinkPHP框架在5.1.7至5.1.8版本中存在一个高危SQL注入漏洞，该漏洞由360企业安全集团代码卫士团队发现并报告。漏洞存在于框架底层数据处理驱动解析数据的过程中，攻击者可以通过构造恶意数据包利用SQL注入方式获取数据库内容。 ## 受影响版本 - ThinkPHP 5.1.7 - ThinkPHP 5.1.8 ## 漏洞原理分析 ### 漏洞触发流程 1. **入口点**：漏洞主要出现在执行up

2025-08-17 20:15:09

挖洞经验 | 看我如何利用一条扫描命令发现价值$2500漏洞

# Memcache服务暴露漏洞分析与利用教学文档 ## 1. 漏洞概述本教学文档基于2016年Pornhub网站Memcache服务暴露漏洞案例（价值$2500美金），详细讲解如何发现、验证和报告此类漏洞。 ### 1.1 漏洞基本信息 - **漏洞类型**：Memcache服务不当暴露在公网 - **影响系统**：stage.pornhub.com - **漏洞等级**：低难度但高影响 - **赏金金额**：$2500美金 - **收录情况**：被收录于《Web Hacking 10

2025-08-17 20:14:32

攻击预警|GreenFlashSundown Exploit Kit攻击国内多家大型站点

# GreenFlashSundown Exploit Kit攻击分析与防护指南 ## 一、攻击概述近期发现GreenFlashSundown Exploit Kit利用OpenX广告系统漏洞对国内多家大型网站实施挂马攻击，包括： - 知名下载站点52pk.com - IT技术网站51CTO.com - 医护学习交流平台cmechina.net 攻击特点： - 首次被发现用于在国内传播挖矿木马 - 此前曾用于下发Locky和Hermes勒索病毒 - 攻击目标为使用OpenX广告管理系统的

2025-08-17 20:13:41

某OA漏洞复现分析

# 某OA系统漏洞分析与复现技术文档 ## 1. 漏洞背景分析根据社区讨论，该OA系统存在一个与文件操作相关的漏洞，主要涉及`extendName`参数的处理问题。讨论中提到了以下关键点： 1. 文件复制粘贴过程中未正确使用`extendName`参数值 2. 最终访问文件时却使用了`extendName`命名的文件 3. 该问题可能存在于新版代码中，旧版无法复现 ## 2. 漏洞技术细节 ### 2.1 文件操作漏洞 **问题表现**： - 在文件复制粘贴操作中，代码逻辑未正确使

2025-08-17 20:13:00

记某次从控件漏洞挖掘到成功利用

# ActiveX控件栈溢出漏洞挖掘与利用技术详解 ## 一、漏洞挖掘流程 ### 1. 前期信息收集 1. **使用COMRaider工具分析控件** - 识别控件属性、函数等关键信息 - 提供fuzz功能辅助漏洞发现 2. **静态分析工具准备** - IDA Pro反汇编工具 - com.plw插件（用于识别控件函数） ### 2. 关键函数分析 1. **函数识别** - 使用IDA加载控件文件 - Ctrl+F11调用插件识别可被浏览器直

2025-08-17 20:12:04

SecWiki周刊（第217期）

# SecWiki周刊(第217期) 技术解析与教学文档 ## 1. 本期重点安全事件分析 ### 1.1 ThaiCERT查获与GhostSecret和索尼攻击相关的Hidden Cobra服务器 - **背景**：Hidden Cobra是朝鲜政府支持的黑客组织，又称Lazarus Group - **关联攻击**： - GhostSecret恶意软件：新型数据窃取工具，针对全球多个行业 - 2014年索尼影业攻击：导致大量数据泄露和系统破坏 - **技术特点**： - 使用

2025-08-17 20:11:16

PHP中通过bypass disable functions执行系统命令的几种方式

# PHP绕过disable_functions执行系统命令的几种方式 ## 一、背景与概述在PHP安全配置中，管理员通常会禁用一些危险函数（如eval、exec、system等），这些限制被称为"disable_functions"。然而，攻击者有多种方法可以绕过这些限制来执行系统命令。 ## 二、Bash漏洞利用(CVE-2014-6271) ### 原理利用GNU Bash 4.3及之前版本中的环境变量远程命令执行漏洞，通过PHP的mail()函数触发。 ### 具体实现 1

2025-08-17 20:10:17

跳转到页