2025年2月8日
【防忽悠】DeepSeek很简单，没你想象的那么复杂！
认准唯一官网 Deepseek唯一官方网址：https://www.deepseek.com 手机使用 手机上使用DeepSeek的两种方式 公众号 关注DeepSeek公众号，左下角选择“网页对话”...
白帽故事
2025年2月6日
【$15,000】如何在Azure DevOps中找到3处SSRF
Binary Security（以下简称他们） 向微软报告了Azure DevOps中发现的三处SSRF漏洞。本文概述了他们寻找这些漏洞的方式，并演示了使用DNS重新绑定和CRLF注入的利用技术。 背...
2025年2月3日
Unity游戏开发学习Day1/2
Visual Studio 2022 开启AI智能提示 右上角搜索，输入”intellicode“，然后在“常规”中，勾选“整行完成”即可： 【良好的编码习惯】函数封装 比如选中某一行代码，可以使用快...
2025年1月20日
如何利用 AI 发现 Amazon S3 存储桶接管漏洞
很多漏洞赏金计划都提供了明确定义的范围，其中包括允许安全研究人员测试的多个领域。 本文中方法的关键步骤就是设置一个域监控脚本（以红牛为例），用于跟踪赏金范围内的任何更改。 我们可以要求 ChatGPT...
2025年1月17日
$40,000！如何将路径遍历升级为RCE！
前言 本文将向各位讲一讲国外白帽 I& Orwa Atyat 如何成功将有限的路径遍历升级为 RCE 漏洞 ，从而赢得40,000 美刀赏金的故事。 在对目标进行侦察和端口扫描时，白帽小哥发现...
2025年1月13日
【CVE-2024–54887】TP-Link路由器的逆向、发现与利用
漏洞挖掘 选择目标 选择 TP-Link 有两个原因：他们的固件相对容易模拟，另外就是手中刚好有一台 TP-Link TL-WR940N 路由器。 设置开发环境超出了本文的范畴，为了简单起见，建议使用...
2024年12月30日
意外发现谷歌Slides越权漏洞，获得赏金$3133.70的故事
背景介绍 某一天悠闲的午后，白帽小哥Atikqur坐在办公桌前，在 Google Slides 上准备着一场活动的演讲稿。 幻灯片准备好后，开始点击演示者视图来预览它们，由于白帽小哥想与观众进行现场问...
2024年12月18日
从 Wayback Machine 到 AWS 元数据：5 分钟内发现生产系统中的 SSRF
前言 wayback machine，这是一个获取隐藏 URL 的伟大工具。通过以下URL即可轻松获取 URL： https://web.archive.org/cdx/search/cdx?url=...
2024年12月11日
盲注的艺术：解锁内部秘密
关于盲注 盲注入是攻击者可以在服务器上执行系统命令而不直接看到输出结果的漏洞。 它发生在用户输入未经过适当“过滤”的情况下，允许恶意命令传递到服务器的 shell。 由于攻击者无法看到输出结果，他们只...