Pages: 4/27 First page Previous page 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 Next page Final page [ View by Articles | List ]

CSRF攻击原理解析

  [阴 September 21, 2008 11:20 | by !4p47hy ]
Author: rayh4c [80sec]
EMail: rayh4c#80sec.com
Site: http://www.80sec.com
Date: 2008-9-21

Session Fixation 攻防实战

  [多云 September 19, 2008 15:36 | by !4p47hy ]
作者:空虚浪子心

最近笔者在网上看到一个新文章《JSESSIONID Regeneration in Struts 2》,讲的是一段代码,在STRUTS 2框架中,防御Session Fixation攻击。笔者比较老土,看不懂英文,还好能看懂代码,发现这是一种平时开发中(至少自己是这样),从来没注意过的攻击。关于这种攻击,刺在自己博客上写了篇文章《关于Session Fixation》。我在邮件列表,和文章后面跟帖讨论了下,但是仍然感觉自己说的不是很清晰,毕竟没有实战,所以实践了一下自己的想法,重新写篇文章补充下。注:为了保证质量,本文假设读者对cookie和session基本概念和特性已经掌握。
作者:Christopher Yang ‘Blog

这段时间确实比较累,总觉得没有多少时间休息。但是有时候稍闲时坐在本子跟前,又惶惶然眼看着时间在消逝。也许我需要出去走走了,下个月带个队进山转转。

     其实过去的这两年,关于无线攻击和破解手头攒了不少研究内容和学习心得,就是有些疲惫暂时不想发。前几天心血来潮到朋友那里坐闲时又测试一下有所得,现在就先讲述一下中国电信的“我的E家”无线加密的破解,这个会具有更多的普遍意义。

看黑客是如何黑了落伍者的

  [多云 September 17, 2008 08:57 | by !4p47hy ]
来源:黑白网络

前天,听说落伍分类信息程序发布了,就想前去看看,什么样子的.一看,真不愧是落伍的产品,风格依然落伍,功能还行,大体一看没什么漏洞.
看看服务器吧.ping demo.im286.com返回IP 58.253.71.241打开是个"Directory Listing Denied",没意思.不喜欢.
再看看开发者的站,www.php.com.cn,域名真不错,ping一下吧.返回Pinging phper.xihuidc.com.cn [58.253.71.241],看出门道来了,CNAME啊.而且一看域名xihuidc,这个IDC有点2.CNAME的确便于管理,但是这样不太好.
ping的同时我也打开了php.com.cn的站点,哟,"Powered by ebcms",先来检测下注入吧.

渗透某知名游戏代理商内网全程

  [晴 September 11, 2008 09:10 | by !4p47hy ]
文章作者:落叶纷飞[J.L.S.T] (http://00day.cn
信息来源:邪恶八进制信息安全团队技术讨论组
注意:本文已发表于《黑客手册》2008年04期,转载请注明出处。

平常入侵只是写个手记给自己看,这篇烂文也是改自我上次和朋友入侵游戏代理商时的手记,这也是我第一次写入侵类的文章,仅为大家提供一条思路,希望大家喜欢。

MySQL数据库安全配置指南

  [晴 September 10, 2008 08:56 | by !4p47hy ]
出处:IT168

1、前言

  MySQL是完全网络化的跨平台关系型数据库系统,同时是具有客户机/服务器体系结构的分布式数据库管理系统。它具有功能强、使用简便、管理方便、运行速度快、安全可靠性强等优点,用户可利用许多语言编写访问MySQL数据库的程序,特别是与PHP更是黄金组合,运用十分广泛。

基于时间差的SQL盲注技巧

  [多云 September 7, 2008 17:10 | by !4p47hy ]
冷漠PS:基于时间差的SQL盲注技巧 2008 DEFCON 16全球黑客大会上发布的论文,和之前发布的盲注工具配合起来使用。

作者提出的技巧的主要思路是:在盲注(blind SQL injection)时,如果不同SQL injection 指令的结果,无法由 HTTP Response 本身得知,那么可以用时间差的方式判断。可以设计一个很耗时的 SQL 指令,这时如果 SQL injection 成功,那么这个SQL injection 指令的执行结果,会影响到 Web server 回复 HTTP response 的速度,这个就可以用来判断 SQL injection 指令执行的结果。
Tags: , , , ,

拿下DVBBS php官网

  [阴 August 30, 2008 11:19 | by !4p47hy ]
文章作者:oldjun[S.U.S]
信息来源:oldjun's blog

注意:文章已经发表在2008第7期《黑客手册》上,转载请注明出处。(最近拿站比较多,没来得及写日志,拿这篇文章凑数!)
几 个月前,DVBBS php2.0暴了一个可以直接读出管理员密码的sql注入漏洞,当时这个漏洞出来的时候,我看的心痒,怎么还会有这么弱智的漏洞,DVBBS php2.0这套代码我还没仔细看过,于是5月中旬我down下来粗略看了下,接着我花了三天的时间,拿下p.dvbbs.net,即动网php的官方网 站,并得到了webshell。总的来说,这次入侵凭的是二分技术加一分运气。

Windows与Linux本地用户提权体验

  [雷阵雨 August 23, 2008 11:39 | by !4p47hy ]
作者: 甘肃老五

无论是Windows系统还是Linux系统都是基于权限控制的,其严格的用户等级和权限是系统安全的有力保证。这么严密的用户权限是否不可逾越呢?下面笔者反其道而行之进行Windows及Linux下的提权测试。

解析蜜罐技术要点及其潜的在问题

  [多云 August 21, 2008 16:24 | by !4p47hy ]
来源:51CTO

蜜罐可以这样来定义:它是一种其价值在于被探测、攻击、破坏的系统。也就是说蜜罐是一种我们可以监视观察攻击者行为的系统,其设计目的是为了将攻击者的注意从更价值的系统引开,或者说是为了提供对网络入侵的及时预警。

  本文将讨论现有的蜜罐技术及相关技术的关键不同要点。

入侵的艺术(无线渗透)

  [多云 August 19, 2008 22:15 | by !4p47hy ]
本文作者:OrphousV
原文请访问:http://blog.orphousv.cn

  Bacchus昨晚一宿都没睡好,一是因为昨天深夜下了场大暴雨,电闪雷鸣的,二是内心空虚。他已经好长时间没有练手的机会了,以致他曾一度怀疑自己是不是被遗忘了。这天一大早,电话就叫嚷起来,把他从睡梦中猛地拉了出来。当他晕晕地接听电话时,他竟然从床上蹦了下来。事实说明,他并未被遗忘。

XSS攻击防御技术白皮书

  [多云 August 19, 2008 11:04 | by !4p47hy ]
作者: 独自等待

XSS攻击:跨站脚本攻击(Cross Site Scripting),为不和层叠样式表(Cascading Style Sheets, CSS)的缩写混淆。故将跨站脚本攻击缩写为XSS。XSS是一种经常出现在web应用中的计算机安全漏洞,它允许恶意web用户将代码植入到提供给其它用户使用的页面中。比如这些代码包括HTML代码和客户端脚本。攻击者利用XSS漏洞旁路掉访问控制——例如同源策略(same origin policy)。这种类型的漏洞由于被骇客用来编写危害性更大的phishing攻击而变得广为人知。对于跨站脚本攻击,黑客界共识是:跨站脚本攻击是新型的“缓冲区溢出攻击“,而JavaScript是新型的“ShellCode”。

Tomcat 从入侵检测到防范

  [多云 August 12, 2008 14:51 | by !4p47hy ]
作者: 甘肃老五,  出处:IT专家网

Tomcat是一款开源的Web服务器系统,用其搭建的Web站点系统开销小、扩展性好,并且支持负载平衡与邮件服务等,因此颇受站长们的欢迎。值得一提的是Tomcat在Linux系统平台上优势明显,不少用户利用它搭建Web站点。最近,关于Tomcat的入侵非常火,有不少Web站点甚至服务器沦陷。让人不安的是,实施Tomcat入侵技术门槛比较低,因此危害极大。下面笔者揭秘入侵过程,以便站长知己知彼,采取相应的措施,加固站点安全。

Java applet 安全性探究

  [不指定 August 8, 2008 10:32 | by !4p47hy ]
作者:空虚浪子心[XGC]

因为一个0day,让作者对java applet心血来潮,随着不断的失败,发现了一个又一个安全特性。本文提醒大家,除了activeX,还有这么一种东西,一旦出现了安全隐患,也会帮大家做些什么。如果你要找“0DAY”,请掠过;如果你要找“如何使用APPLET下载木马”,请看下集;如果你喜欢研究“applet可能存在的安全隐患 ”,请从这里开始。

WEB Checklist

  [多云 August 4, 2008 19:45 | by !4p47hy ]
冷漠PS:应客户需求,整理的一份 CheckList ,只要根据网络上搜集的信息整理,排版下。

1、概述

网站程序的安全是系统开发人员必须考虑的重要因数之一,因为这涉及到网站的建设者、网站用户的诸多安全问题,如果不处理好,可能会给系统的使用者和管理者带来严重问题。同时Web应用程序的安全解决方案不仅是技术问题,还涉及到管理等多个方面。本规范仅从以下几个方面来阐述最常见的、基本的安全问题。
Pages: 4/27 First page Previous page 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 Next page Final page [ View by Articles | List ]