CVE-2024-0333,针对Chrome扩展的ZIP嵌入攻击
背景介绍 近期,安全研究人员 Malcolm Stagg 讲述了他发现的 CVE-2024-0333漏洞,该漏洞可能会被用来安装Chrome恶意扩展程序。 众所周知,Google Chrome 是世界...
骨哥说事公众号首发地
背景介绍 近期,安全研究人员 Malcolm Stagg 讲述了他发现的 CVE-2024-0333漏洞,该漏洞可能会被用来安装Chrome恶意扩展程序。 众所周知,Google Chrome 是世界...
背景介绍 今天分享一位来自印度的独立安全研究员 Nauman Khan 的故事,他通过Auth0的错误配置,顺利获得1600美元赏金奖励。 关于Auth0 Auth0 是网站和应用程序广泛使用的身份验...
背景介绍 今天分享国外一个白帽小哥Crypto通过发现Apple某网站XSS而获得5000美元赏金的故事。废话不多说,让我们开始吧~ 狩猎过程 易受攻击的 Apple 服务网站是:https://di...
DOM XSS 一键帐户接管 寻找 DOM XSS 在登录流程的第 8 步, next 参数的值将放置在目标属性中,然后客户端 JavaScript 将使用该属性来重定向网页。 正如上图所看到的,目标...
背景介绍 今天,分享国外 Frog Sec 安全团队研究的一个案例,将看似简单的 DOM XSS 升级为复杂的一键式帐户接管,该攻击允许攻击者从应用程序的电子邮件发送合法的登录链接,当(无论是未经身份...
德国波鸿鲁尔大学的两名安全研究人员发现,PuTTY客户端和相关组件“在 NIST P-521 (椭圆曲线数字签名算法)的情况下会生成严重偏差的 ECDSA 随机数”,从而实现密钥完全恢复。该漏洞目前被...
简介 国外研究人员在 ICON 上发现了一处 RCE 漏洞,但漏洞超出了漏洞赏金计划的范围,但是随后的一次偶然机会,他们发现了 DoS 漏洞,该漏洞可被用来阻止区块链处理交易和创建新块,最终他们获得了...
前言 最近一直在看国外的赏金平台,绕waf是真的难受, 记录一下绕过的场景。 初步测试 一开始尝试XSS,发现用户的输入在title中展示,那么一般来说就是看能否闭合,我们从下面图中可以看到,输入尖括...
简介 在渗透目标时,最值得测试的部分莫过于 API,API 是动态的,它们比应用程序的其它部分更新的更加频繁,并且负责许多后端繁重的工作。在现代应用程序中,我们通常会看到 REST API,当然也会有...
背景介绍 Rust 编程语言背后的项目声称,对特定 API 的任何调用都是安全的,即使输入的是不安全的内容,但研究人员找到了绕过保护的方法。 一名漏洞研究人员发现,在 Windows 系统上用于执行批...