天天都在说优化Dockerfile。到底怎么优化，优化后的检验指标又是什么？没有考虑清楚行动目的，隔空放炮，必然徒劳无功。笔者最近准备在CI上增加安全检测，在分析案例样本的时候，找到了比较流行的struts2漏洞，其中S2-052远程代码执行漏洞的利用方式就是在POST请求中添加恶意代码或命令。如Demo片段所示。<command><string>touch</str
分类：
系统相关 时间：
2020-12-25 13:21:15
阅读次数：
0
基于WEB应用扫描测试 被动式扫描 x-ray xray是一款主流的漏洞扫描器，其优势在于可以扫描以上几种漏洞，是其他漏洞扫描工具不常有的，常见漏洞也可以扫描，但是其他工具也可以扫描，特殊需求还是这个方便 https://xray.cool/xray/#/tutorial/introduce Git ...
分类：
其他好文 时间：
2020-12-24 11:38:26
阅读次数：
0
安全检查 流程分析 经分析，很容易知道这里的数组可以进行越界来修改返回地址的值 有后门函数 漏洞利用 通过数组溢出修改返回值，到达后门函数 不过我在本地打通后，远程打得时候发现没有后门函数也就是/bin/bash not found 当时有点懵逼，并且对linux命令不太熟悉的我，想了很久没结果后， ...
分类：
其他好文 时间：
2020-12-24 11:36:51
阅读次数：
0
CTF（Capture The Flag，夺旗赛）包含 Web 网络攻防 、 RE 逆向工程 、 Pwn 二进制漏洞利用 、 Crypto 密码攻击 、 Mobile 移动安全 以及 Misc 安全杂项 这六个类别。 入门博客：CTF WiKi 入门书籍：从0到1：CTFer成长之路 ...
分类：
其他好文 时间：
2020-12-22 12:14:52
阅读次数：
0
图源：unsplashPython可谓是当今世界上最受欢迎的编程语言之一了。它简单易懂，但功能强大，可以处理多种问题。无论处理网站后台，研发新游戏，分析公司数据，或者是创造机器学习模型，都可以通过Python来完成。三分钟热度对于学习Python同样适用，很多新手会在最初几天格外兴奋。他们会咨询与书籍、资源、注册课程、或其他事项相关的问题，他们立志在一两个月内成为一个新“吉多·范罗苏姆”。然而现实
分类：
编程语言 时间：
2020-12-22 11:42:38
阅读次数：
0
漏洞挖掘之SSRF漏洞 SSRF 漏洞原理 SSRF(Server-Side Request Forgery，服务器端请求伪造)。是?种利用服务端发起请求的?个安全漏洞。?般情况下，SSRF攻击的?标是从外网?法访问的内部系统。SSRF 形成的原因?都是由于服务端提供了从其他服务器应用获取数据的功能 ...
分类：
其他好文 时间：
2020-12-21 12:07:50
阅读次数：
0
一、子域名探测方法 1、DNS域传送漏洞 在ksli下直接dnsenum oldboyedu.com 工具说明及用法可参考如下： dnsenum的目的是尽可能收集一个域的信息，它能够通过谷歌或者字典文件猜测可能存在的域名，以及对一个网段进行反向查询。它可以查询网站的主机地址信息、域名服务器、mx r ...
分类：
其他好文 时间：
2020-12-21 11:06:59
阅读次数：
0
Node.js 目录穿越漏洞（CVE-2017-14849） https://blog.csdn.net/xuandao_ahfengren/article/details/106883415 ...
分类：
其他好文 时间：
2020-12-19 12:54:13
阅读次数：
2
简介 宽字节跨站漏洞多发生在GB系统编码。 对于GBK编码，字符是由两个字节构成，在%df遇到%5c时，由于%df的ascii大于128，所以会自动拼接%5c，吃掉反斜线。而%27 %20小于ascii(128)的字符就会保留。通常都会用反斜线来转义恶意字符串，但是如果被吃掉后，转义失败，恶意的xs ...
分类：
其他好文 时间：
2020-12-15 12:09:06
阅读次数：
3
escapeshellarg与escapeshellcmd共伤 前言 环境:buuctf中[BUUCTF 2018]Online Tool 知识点:escapeshellarg与escapeshellcmd共用漏洞 参考:wp 做题 审计 <?php if (isset($_SERVER['HTTP ...
分类：
系统相关 时间：
2020-12-14 12:52:11
阅读次数：
4
