2024年5月8日
18 岁少年如何发现虚拟机逃逸漏洞
背景介绍 今天分享国外一位18岁白帽小哥如何在 VirtualBox 中发现一个相当古老（2019 年）的漏洞，该漏洞允许虚拟机到宿主机的逃逸，漏洞编号为CVE-2019-2703。本文将带你了解这位...
白帽故事
2024年5月7日
10秒以内窃取你的Telegram帐户
背景介绍 假设你把手机递给我，10 秒钟以内能做出最糟糕的事情是什么？ 某天，国外白帽小哥收到一条有趣的消息，其中包含了 Telegram 的链接，单击该链接后，会发现自己的帐户已经登录了，出于好奇，...
2024年5月6日
2K+ Star的漏洞检查表
该存储库为 Web 与 API 漏洞检查表，包含大量漏洞想法以及来自 Twitter 的提示，目前包含27个漏洞类型： AEM misconfiguration (Adobe Experience M...
2024年5月5日
端口扫描，你真的会用了吗？
背景介绍 你是否使用与别人相同的端口扫描却没有得到理想的结果？深入了解端口扫描策略，将使你从初学者转变为’高手’。端口扫描器有很多，比如 naabu、rustscan、mass...
2024年4月29日
最新H1越权漏洞披露，获得15000美元奖励
背景介绍 HackerOne （以下简称H1）平台今日披露了自己平台的一个严重级漏洞，该漏洞允许攻击者通过摘要编辑功能未授权访问他人附件。该漏洞于今年3月30日上报，于今日被H1公开披露，H1为该漏洞...
2024年4月23日
CVE-2024-0333，针对Chrome扩展的ZIP嵌入攻击
背景介绍 近期，安全研究人员 Malcolm Stagg 讲述了他发现的 CVE-2024-0333漏洞，该漏洞可能会被用来安装Chrome恶意扩展程序。 众所周知，Google Chrome 是世界...
2024年4月22日
利用Auth0错误配置，获得$1600赏金奖励
背景介绍 今天分享一位来自印度的独立安全研究员 Nauman Khan 的故事，他通过Auth0的错误配置，顺利获得1600美元赏金奖励。 关于Auth0 Auth0 是网站和应用程序广泛使用的身份验...
2024年4月19日
凭借一手Apple 存储XSS赚取5000美元的故事
背景介绍 今天分享国外一个白帽小哥Crypto通过发现Apple某网站XSS而获得5000美元赏金的故事。废话不多说，让我们开始吧～ 狩猎过程 易受攻击的 Apple 服务网站是：https://di...
2024年4月18日
如何将 DOM XSS升级为一键帐户接管（下集）
DOM XSS 一键帐户接管 寻找 DOM XSS 在登录流程的第 8 步， next 参数的值将放置在目标属性中，然后客户端 JavaScript 将使用该属性来重定向网页。 正如上图所看到的，目标...