Aggregator

PeiQi文库 - Github更新 (7)

“归源·智变” KCon 2023举办时间：2023年8月19日-20日举办地点：北京环球贸易中心·会议中心

环境：windserver2008 + mysql+php

SQL语句拦截图：
http://www.test123.com/article.php?id=1%20union%20select%201,2,3

SQL绕过语句图：
http://www.test123.com/article.php?id=-1/*!36000union*//*!36000distinct*//*!36000select*/1,2,user()

1 个帖子 - 1 位参与者

阅读完整话题

一般XSS点是在留言、新增项等等地方，一般也都需要登录

本文记录的试一次渗透中碰到的非常规的XSS功能点，无需登录

所以也可以说是未授权XSS，并且直取admin

漏洞功能点位于【系统日志】处

此处记录并审计登录行为

发现用户在登录时，用户名、IP等信息会被记录在此处，用户名可以根据POST请求包中的【username】字段进行改动，但是在测试过程中发现系统对该字段有进行特殊字符的限制，所以无法实现XSS

但是后面发现对IP字段的输入却没有进行限制，在POST请求头中加入【x-forwarded-for】就可以任意自定义修改此处对应的【操作IP】

插入成功，管理员来到审核页面的时候就会触发XSS

这个系统对所有插入的数据几乎都做了编码、限制、替换，找了好久才找到这个位置

所以测试或者说漏洞修复过程中，除了注意用户GET、POST的数据外，还需注意请求Header头里面的参数

1 个帖子 - 1 位参与者

阅读完整话题

使用ChatGPT对blackhat 2023 USA每个议题做了内容摘要提取，可访问https://www

bt不想rt活啊，钓鱼下这猛料。今天兄弟又给了个小项目，直接奇xxvpn利用？？？怕了啊，公司瑟瑟发抖htt

Bot traffic for the first half of 2023 was fairly typical, some rapid change in a few industries notwithstanding. Learn who got hit hard and who got off easy.

OSC&R：针对软件供应链的 ATT&CK 框架

刚刚嫖到新鲜哨兵eset安装包，现在分享给大家，想测免杀朋友可以踊跃来拿。转发朋友圈或群聊，凭截图来取！！！

中孚信息元亨实验室编写的2023年《全网深度透视·APT威胁与网空态势半年报》正式和大家见面了，快来抽奖吧～

As we roll through the summer, GreyNoise is back from its July two-week shutdown with a bunch of fresh new improvements, including 63 new tags and a bunch of exciting new data insights for our customers to explore in our Labs API. We’ve also updated our integrations to add support for our IP Similarity and Timeline for our Palo Alto customers. Check out all our product updates for June and July.

测试一下微信公众号文章的标题是不是真的能写64个字，消费降级了，所以需要写多更的字？

Marshal-执法官

论网安攻防，迎数智蜕变！“归源·智变”第12届KCon大会期待你的到来！

PeiQi文库 - Github更新 (5)

8.13HVV情报速递 关注公众号回复“813"即可获取当日IP列表

0.One-API:.. 阅读更多