2025年3月15日
如何通过搜索JS文件找到存储XSS的故事
前言 一次渗透测试中，白帽小哥发现了 2 处 CSRF 漏洞，但不幸的是 CSRF 不在赏金范围内。 于是小哥开始尝试搜索JS文件，白帽小哥通常的做法是利用Chrome的开发者工具搜索特定的关键字或A...
骨哥
2025年3月14日
Tomcat CVE-2025-24813 从计算器到GetShell
漏洞原理： Content-Range 在 Tomcat 的HTTP PUT请求中主要用于实现大文件的分块传输。在文件上传未完成的情况下，内容会被临时存储在Tomcat的工作目录：$CATALINA_...
2025年3月12日
XXE漏洞利用完全指南
前言 XML 外部实体（XXE）漏洞是现代网络应用程序中最常被忽视但影响最大的漏洞之一。尽管它们似乎变得更难检测和利用，但其影响仍然严重，往往允许攻击者读取内部文件、访问内部网络，并在严重情况下甚至执...
2025年3月11日
acme SSL 证书自动续证设置
话说现在国内的阿里云、腾讯云的免费SSL都从1年期缩短至了3个月，这一季度一次的更新证书属实够烦的，于是乎索性直接用acme实现对SSL证书的自动更新，废话不多说，开整！ 首先上godaddy申请AP...
2025年3月10日
【CVE-2024–31317】利用 Android Zygote 的注入攻击
引言 Android 的 Zygote 进程在操作系统中扮演着至关重要的角色，负责fork新的应用程序和系统进程。 然而，CVE-2024–31317 暴露出一个关键漏洞，允许攻击者利用 Zygote...
2025年3月9日
ESP32 芯片被发现隐藏“命令“，或影响数十亿台物联网设备
前言 国际安全团队爆出惊天漏洞，支撑全球数10亿台物联网设备中广泛使用的ESP32芯片存在安全漏洞，这些设备可能被黑客控制？！ 什么是ESP32芯片？ ESP32是一款低成本、低功耗的微控制器芯片，由...
2025年3月5日
CVE-2024-50379 漏洞复现
漏洞描述 Apache Tomcat是由Apache软件基金会下属的Jakarta项目开发的Servlet容器。2024年12月，官方披露 CVE-2024-50379 Apache Tomcat 条...
2025年3月3日
Cursor平替：Cline+DeepSeek保姆级教程
前言 最近AI编程工具大火，但动辄每月$20的订阅费劝退了不少开发者。 今天我们用开源组合Cline + DeepSeek，零成本打造比Cursor更懂中文的AI编程助手！实测代码生成速度快3倍，关键...
2025年2月28日
2025年2月星球内容一览
【🪐工具分享】 免费 Ollama 服务器在线检测工具 【🪐资料分享】安全方面的笔记/工具/漏洞合集 【🪐资料分享】岗位招聘/内推 【🪐工具分享】 又一款基于AI的Burp插件 【🪐工具分享】 一款基...
2025年2月28日
