XML-RPC放大攻击：针对WordPress的“暴力美学”
暴力猜解攻击是我们至今为止在互联网上看到的最古老而常见的攻击之一。黑客可以通过SSH和FTP协议，暴力猜解攻击你的WEB服务器。
传统暴力猜解攻击
这些攻击一般都不是很复杂，而且理论上是比较容易遏制的。但是，它们仍然拥有存在的价值，因为人们并不习惯采用强密码，而且不是每个人都拥有良好的登录习惯。
然而可惜的是 ...
第六届全国网络安全大赛代码审计全解
XDCTF是一项面向全国在校大学生的信息安全类比赛，由西电信息安全协会与网络攻防实训基地联合举办。旨在增强学生对网络知识的兴趣，提高学生学习网络技术的积极性，培养学生的创新 意识、协作精神和理论联系实际的能力。
此次CTF WEB2是一个大题，一共4个flag，分别代表：获取源码、拿下前台管理、拿下后台、getshell。
目 ...
Kali Linux渗透测试五步曲
Kali Linux的设计目的是渗透测试。不管渗透测试者的起点是白盒测试、黑盒测试，还是灰盒测试，在用Kali或其它工具进行渗透测试时，总要遵循一些步骤。
第一步：侦察阶段
在发动攻击之前，渗透测试者应当尽量多地了解目标环境和系统的特点。渗透测试者找到的目标信息越多，就越有更好的机会确认最容易和最快的成功方法。与 ...
这些谷歌Chrome设置技巧让你的浏览体验更安全
如果你在网上，总是面临安全风险。幸好，浏览器的开发人员在致力于让你的浏览体验尽可能安全。所以，你大可放心，因为谷歌、微软和Mozilla都在支持你。
用户也有一部分责任来确保在线安全。谷歌、微软和Mozilla无法预测你会如何使用浏览器，所以默认设置可能适合你，也可能不适合你。话虽如此，你还是可以在Chrome上进行一 ...
Rails动态模板路径的风险
前言
从安全开发的角度来看，Ruby on Rails是一套很友善的框架。它从框架层避免了很多过去网站长出现的安全问题。例如使用ORM避免大部分的SQL injection问题，有内建的authenticity_token让开发者不必特别烦恼CSRF，从机制面规定了开发者使用Strong Parameter来避免Mass Assignment，预设转化危险字符避免XSS等。
就我们 ...
无须字母构建XSS向量
之前我在玩一个XSS游戏的时候突然有了些想法，本着分享的原则，于是便有了这篇文章。在此，我将分享一个此前没有接触过的一个XSS攻击向量。
相同水平的前提下，在攻击向量中不使用任何字母，且必须调用alert(1)。
闲话少说，看这里：
""[(!1+"")[3]+(!0+"")[2]+(''+{})[2]][(''+{})[5]+(''+{})[1]+((""[(!1+"")[3]+(!0+"") ...
XML-RPC放大攻击：针对WordPress的“暴力美学”
暴力猜解攻击是我们至今为止在互联网上看到的最古老而常见的攻击之一。黑客可以通过SSH和FTP协议，暴力猜解攻击你的WEB服务器。
传统暴力猜解攻击
这些攻击一般都不是很复杂，而且理论上是比较容易遏制的。但是，它们仍然拥有存在的价值，因为人们并不习惯采用强密码，而且不是每个人都拥有良好的登录习惯。
然而可惜的是 ...
Kali Linux渗透测试五步曲
Kali Linux的设计目的是渗透测试。不管渗透测试者的起点是白盒测试、黑盒测试，还是灰盒测试，在用Kali或其它工具进行渗透测试时，总要遵循一些步骤。
第一步：侦察阶段
在发动攻击之前，渗透测试者应当尽量多地了解目标环境和系统的特点。渗透测试者找到的目标信息越多，就越有更好的机会确认最容易和最快的成功方法。与 ...
超级Cookie可致隐私模式失效 仍可追踪用户信息
英国伦敦的一名软件开发者已发现了一串代码，能在浏览器的隐私模式中执行普通会话，这将导致隐私模式的失效。
目前，所有主流浏览器都提供了隐私保护模式。在这种模式下，网站的Cookies无法追踪用户身份。例如，谷歌Chrome浏览器提供了名为“Incognito”的功能，而火狐浏览器则提供了“隐私窗口”功能。
不过，新发现的这 ...
谁看了你的Instagram账户?又是谁盗取了你的密码?
移动应用程序目前已经成为最有效的攻击向量之一，这些网络罪犯最喜欢的一种方法便是流行应用程序的滥用。自己审视下是否在安装一款需求连接到社交应用账户凭证，电子邮件账户，云存储服务的应用时有静下来细细考虑?
近日，一款名为“InstaCare – Who cares with me”(谁看了你的Instagram账户)的恶意应用通过Google Play ...
中、小企业如何自建免费的云WAF
WEB攻击是十几年来黑客攻击的主流技术，国内的大厂们早已把WAF作为安全基础设施的标配，市面上也有很多安全厂商提供了WAF产品或云WAF服务。
对于没有自己安全团队，却又饱受sql注入、xss、cc等WEB攻击的中、小企业，对WAF的需求也是非常迫切的。
目前获取WAF的途径有以下几种：
[*]购买安全厂商的WAF产品
[*]使用 ...
第六届全国网络安全大赛代码审计全解
XDCTF是一项面向全国在校大学生的信息安全类比赛，由西电信息安全协会与网络攻防实训基地联合举办。旨在增强学生对网络知识的兴趣，提高学生学习网络技术的积极性，培养学生的创新 意识、协作精神和理论联系实际的能力。
此次CTF WEB2是一个大题，一共4个flag，分别代表：获取源码、拿下前台管理、拿下后台、getshell。
目 ...
这些谷歌Chrome设置技巧让你的浏览体验更安全
如果你在网上，总是面临安全风险。幸好，浏览器的开发人员在致力于让你的浏览体验尽可能安全。所以，你大可放心，因为谷歌、微软和Mozilla都在支持你。
用户也有一部分责任来确保在线安全。谷歌、微软和Mozilla无法预测你会如何使用浏览器，所以默认设置可能适合你，也可能不适合你。话虽如此，你还是可以在Chrome上进行一 ...
HTML5：ping属性之死亡ping与隐私追踪
在HTML5中a标签加入了一个新的属性ping。设计者加入它的理由是，Ping可以使浏览器对外发送一个异步请求，通常用来广告的追踪、点击率统计或完成一次HTTP重定向。
但是听到监视、追踪这个词，你是不是也觉得有点不舒服，所以Ping这个属性真的是很不受欢迎。浏览器一度抵制、进而加入默认关闭必须从如config这样的选项中打开 ...
Apache HBase 出现信息泄漏漏洞
Apache HBase 因为远程拒绝服务、发现信息泄露漏洞和信息完整性出现问题。
受影响的版本有：
HBase 0.98.0 - 0.98.12
HBase 1.0.0 - 1.0.1
HBase 1.1.0
HBase 0.96(受波及了)
逻辑错误导致 HBase 最安全的配置部署到 ZooKeeper 上处理其协调状态 不安全的 ACLs。任何人都可以通过远程访问登录 ZooKeeper，与此相关的有 HBas ...
HTML5安全分析：本地存储
在上一篇文章《HTML5跨域消息发送安全性分析》中，我们讨论了在HTML5下的跨域消息传递。本文将带你去了解另外一个特性——本地存储。
本地存储
本地存储也是HTML5的新特性之一，最开始是在Mozilla 1.5上的，后来渐渐被HTML5规范接受。通过JavaScript的localStorage和sessionStorage对象，我们可以使用HTML5的这个新特性。基 ...
超轻量级反爬虫方案
前言
爬虫和反爬虫日益成为每家公司的标配系统。爬虫在情报获取、虚假流量、动态定价、恶意攻击、薅羊毛等方面都能起到很关键的作用，所以每家公司都或多或少的需要开发一些爬虫程序，业界在这方面的成熟的方案也非常多;有矛就有盾，每家公司也相应的需要反爬虫系统来达到数据保护、系统稳定性保障、竞争优势保持的目的。
...
SSL采购季：企业如何选择最佳的SSL
如果你的企业有意采购SSL，那么本文可以给一个很好的方向。在本文中，我们将先简要介绍SSL定义及其工作原理，并探讨目前各种可用的SSL证书类型以及企业如何选择最佳的SSL。
SSL定义
SSL及传输层安全协议(TLS)是在服务器和互联网客户端之间创建加密链接的安全协议，通常是在Web服务器和Web浏览器之间。它们还用在电子邮件服 ...
Web安全之Cookie劫持
1.Cookie是什么?
2.窃取的原理是什么?
3.系统如何防Cookie劫持呢?
看完这三个回答，你就明白哪位传奇大侠是如何成功的!!!
Cookie:
HTTP天然是无状态的协议，为了维持和跟踪用户的状态，引入了Cookie和Session。Cookie包含了浏览器客户端的用户凭证，相对较小。Session则维护在服务器，用于维护相对较大的用户信息。
用通俗 ...
网络安全之PHP安全编程建议
简介
要提供互联网服务，当你在开发代码的时候必须时刻保持安全意识。可能大部分 PHP 脚本都对安全问题都不在意，这很大程度上是因为有大量的 无经验程序员 在使用这门语言。但是，没有理由让你因为对你的代码的不确定性而导致不一致的安全策略。当你在服务器上放任何涉及到钱的东西时，就有可能会有人尝试破解它。创建一 ...
关注公众号
