之前的破解的原理：伪造图片Map点击欺骗商务通识别来实现更换图片和点击，这种方法代码使用很少效果也好，但是必须要付费400修改过的用户才能使用。破解后商务通所有功能仍可以继续使用，如：邀请、强制邀请现在的破解原理：重构弹窗JS调用来进行破解弹窗，经过分析，商务通在弹出邀请对话框时会调用一个funct...
分类：
其他好文 时间：
2014-11-19 00:24:56
阅读次数：
308
跟跨网站脚本（XSS）相比，XSS利用的是用户对指定网站的信任，CSRF 利用的是网站对用户网页浏览器的信任。
分类：
其他好文 时间：
2014-11-18 23:17:15
阅读次数：
174
用途：防止CSRF（跨网站请求伪造）。用法：在View->Form表单中:在Controller->Action动作上：[ValidateAntiForgeryToken]原理：1、这个方法会生成一个隐藏域：并且会将一个以"__RequestVerificationToken“为KEY的COOKIE...
分类：
Web程序 时间：
2014-11-16 21:28:10
阅读次数：
187
---恢复内容开始---1）.登陆时的【记住我】怎么实现？ 1.在【cookie】中只放【用户名】----已知Cookie在本地的临时文件夹存在，假如已知一个论坛的登录名是“admin”，我就可以在我的本地伪造一个Cookie，这样登陆后台时，就会被系统误认为，已经登陆过，导致BUG产生。 2......
分类：
Web程序 时间：
2014-11-14 06:57:14
阅读次数：
195
客户端IP相关的变量1. $_SERVER['REMOTE_ADDR']; 客户端IP，有可能是用户的IP，也有可能是代理的IP。2. $_SERVER['HTTP_CLIENT_IP']; 代理端的IP，可能存在，可伪造。3. $_SERVER['HTTP_X_FORWARDED_FOR']; 用...
分类：
Web程序 时间：
2014-11-13 00:29:03
阅读次数：
272
先总结一下，一个进程的名字有可能从以下部位获取（参考小伟同学的《伪造进程初探》一文）：一、EPROCESS中： 1、EPROCESS-->ImageFileName（很常用，冰刃获取进程名的地方） 2、EPROCESS-->SeAuditProcessCreationInfo->ImageFil.....
分类：
系统相关 时间：
2014-11-12 22:49:28
阅读次数：
511
动态数据认证：
一，什么是动态数据认证(DDA)
由于上篇
PBOC2.0安全系列之—脱机认证之静态数据认证(SDA)>>已经对静态数据认证部分做了详细的分析，一些基本知识本章不重复说明，需要明确指出的是：无论SDA和DDA，两者都是属于脱机认证的范围。
在上一篇中，我们知道静态数据认证(SDA)的目标是解决发卡行静态数据的防篡改，但局限是无法防止复制卡或者伪造卡的情况，而这种复制卡和伪...
分类：
其他好文 时间：
2014-11-12 16:30:07
阅读次数：
402
转载来自于：http://blog.csdn.net/cpytiger/article/details/8781457一.CSRF是什么？ CSRF（Cross-site request forgery），中文名称：跨站请求伪造，也被称为：one click attack/session ridi....
分类：
Web程序 时间：
2014-11-10 17:12:24
阅读次数：
594
通过前面的分析，我们已经可以unsquashsquashfs.img文件获得ext3fs.img通过直接挂载就是一个完整的根文件系统，一般情况下，我们只需要直接chroot就可以安装rpm包等等操作如果我们想运行什么程序或者干点别的，例如df-Th，发现输出错误，ifconfig也没有任何的显示这个时候我们..
分类：
其他好文 时间：
2014-11-02 00:41:37
阅读次数：
608
CSRF——攻击与防御author: lake20x01 什么是CSRF攻击 CSRF是Cross Site Request Forgery的缩写（也缩写为XSRF），直译过来就是跨站请求伪造的意思，也就是在用户会话下对某个CGI做一些GET/POST的事情——这些事情用户未必知道和愿意做，你能够把...
分类：
其他好文 时间：
2014-10-31 20:31:23
阅读次数：
203
