ssrf

2024年7月10日

一则SSRF漏洞的故事

背景介绍 该项目为一个云银行平台,使银行提供商能够根据他们的描述快速创建、推出和服务贷款和存款产品。 漏洞发现 白帽小哥正在测试的子域有两个权限Admin&User,他们在这两个权限之中发现了...

进一步了解
2023年12月13日

利用关键 0day XXE 漏洞实现 SSRF 攻击

背景介绍 在安全研究中,发现并利用漏洞往往是一个具有挑战性的过程,需要耐心、毅力和创新思维。在本文中,骨哥将分享安全人员如何在不到 6 小时发现并利用一个关键的 XXE 漏洞,进而实现对第三方软件的全...

进一步了解
2022年12月27日

如何在侦察阶段快速发现SSRF

背景介绍: 今天的分享来自一位名叫S Rahul 的白帽子,他是一位信息安全分析师。今天我们来看看他怎样在侦察阶段能够快速发现服务器端请求伪造(SSRF)漏洞从而实现内网端口扫描。 SSRF: 首先我...

进一步了解
2021年5月28日

SVG对PDF转换时的SSRF攻击

作者在BugCrowd的一个私有项目中进行挖洞活动,在该项目中,有一个功能复杂的应用程序,其中一处亮点是将对象从SVG转换为PDF、JPG、PNG文件。 当作者找到从用户输入的数据创建PDF的功能时,...

进一步了解