2024年5月26日
AI黑客：ChatGPT中的高级API攻击
背景介绍 许多影响最大的漏洞是无法通过 Burp Suite 的默认规则集捕获，而需要手动测试，本文就是讲述了这样一个的案例。 发现异常 与往常一样，研究人员的调查首先在 Burp Suite 中捕获...
99 搜索结果
搜索关键字 "API".
2024年4月14日
五种用来挖掘API端点的方法
简介 在渗透目标时，最值得测试的部分莫过于 API，API 是动态的，它们比应用程序的其它部分更新的更加频繁，并且负责许多后端繁重的工作。在现代应用程序中，我们通常会看到 REST API，当然也会有...
2023年11月7日
一次通过Fuzz API发现漏洞的旅程
背景介绍 由于漏洞披露原因，暂将目标网站称为“target.com”。在对目标网站进行漏洞挖掘时，首先的一些必要动作包括： 重置电子邮件获取密码尝试登录，发现是否存在一些逻辑漏洞 在Burp中选择Ta...
2023年10月17日
CVE-2022-4908：使用导航 API 绕过 Chrome SOP
背景介绍 去年，国外一位白帽子在 Chrome 中发现了同源策略 (SOP) 绕过，该漏洞允许攻击者泄露另一个窗口导航历史记录的完整 URL。 虽然可以进行 cross-origin 攻击，但只有当两...
2025年1月20日
如何利用 AI 发现 Amazon S3 存储桶接管漏洞
很多漏洞赏金计划都提供了明确定义的范围，其中包括允许安全研究人员测试的多个领域。 本文中方法的关键步骤就是设置一个域监控脚本（以红牛为例），用于跟踪赏金范围内的任何更改。 我们可以要求 ChatGPT...
2025年1月17日
$40,000！如何将路径遍历升级为RCE！
前言 本文将向各位讲一讲国外白帽 I& Orwa Atyat 如何成功将有限的路径遍历升级为 RCE 漏洞 ，从而赢得40,000 美刀赏金的故事。 在对目标进行侦察和端口扫描时，白帽小哥发现...
2024年12月18日
从 Wayback Machine 到 AWS 元数据：5 分钟内发现生产系统中的 SSRF
前言 wayback machine，这是一个获取隐藏 URL 的伟大工具。通过以下URL即可轻松获取 URL： https://web.archive.org/cdx/search/cdx?url=...
2024年12月11日
盲注的艺术：解锁内部秘密
关于盲注 盲注入是攻击者可以在服务器上执行系统命令而不直接看到输出结果的漏洞。 它发生在用户输入未经过适当“过滤”的情况下，允许恶意命令传递到服务器的 shell。 由于攻击者无法看到输出结果，他们只...