五种用来挖掘API端点的方法
简介 在渗透目标时,最值得测试的部分莫过于 API,API 是动态的,它们比应用程序的其它部分更新的更加频繁,并且负责许多后端繁重的工作。在现代应用程序中,我们通常会看到 REST API,当然也会有...
骨哥说事公众号首发地
简介 在渗透目标时,最值得测试的部分莫过于 API,API 是动态的,它们比应用程序的其它部分更新的更加频繁,并且负责许多后端繁重的工作。在现代应用程序中,我们通常会看到 REST API,当然也会有...
安全工程师因窃取 1200 万美元加密货币被判入狱 3 年 Shakeeb Ahmed, 一名网络安全工程师,被判刑三年,罪名是窃取约1200万美元的加密货币。他被指控攻击了两个加密货币交易所,窃取了...
背景介绍 Rust 编程语言背后的项目声称,对特定 API 的任何调用都是安全的,即使输入的是不安全的内容,但研究人员找到了绕过保护的方法。 一名漏洞研究人员发现,在 Windows 系统上用于执行批...
概述 在挖掘IDOR类漏洞时,经常会遇到站点具有“重置密码”的功能,在重置密码时,我们可以尝试多种绕过方式来检验该功能是否安全。今天分享整理的一系列绕过姿势,你还有哪些奇技淫巧,欢迎在留言区补充~ 基...
概述 近日,安全研究人员披露了多个报废 D-Link 网络存储 (NAS) 设备型号中存在新的任意命令注入和硬编码后门漏洞。 发现该缺陷的安全研究人员“Netsecfish”称,该问题存在于“/cgi...
前言 AI大模型(LLMs) 在很多事情上似乎都特别擅长,为了快速解决传统上需要大量人力才能完成的任务,每天都有人提出该技术的一些‘奇特’用例。 今天的案例来自 Brendan Dolan-Gavit...
什么是ATO? ATO全称Account TakeOver,中文一般翻译为“帐户劫持或帐户接管”,ATO一般有多种方式可以实现,比如: 当攻击者使用以往数据泄露中获取到的用户名、密码尝试未经授权访问其...
背景介绍 首先要明白什么是攻击性扫描行为,在漏洞‘狩猎’过程中,研究人员或白帽通常会使用到自动化工具和扫描器,但是扫描的频次和线程需要保持在目标厂商要求的限定范围内,任何超出这些限制的行为都可能被定义...
背景介绍 今天来分享一位来自叙利亚安全研究员的一个挖洞案例,来看看他是如何将Self-XSS升级为存储型XSS的。 漏洞发现 由于漏洞披露原则,暂将目标网站统称为redacted.com,我们的白帽小...
三月即将过去,积极拥抱四月,希望你一切顺利,以下为你带来3月内容汇总,有错过、漏过的信息记得先马后看哈~ 【🪐星球专享】英文论文:利用GPT实现更好的内核Fuzz 【🪐星球专享】 寻找JS文件泄露的几...