Clickjacking（UI redressing）在本节中，我们将解释什么是Clickjacking，描述常见的Clickjacking攻击示例，并讨论如何防范这些攻击。什么是…
前文指路渗透测试高级技巧（一）：分析验签与前端加密渗透测试高级技巧（二）：对抗前端动态密钥与非对称加密防护我们考虑以下登陆场景，在这个场景中，用户界面和服务器之间通信使用浏览器 J…
背景之前一直使用的是BurpSuite 2023版，最近终于升级到了最新版本。升级后，我发现了一个新增加的“Bambdas mode”过滤Tab，这个功能允许用户通过Java代码块…
0x1 前言这次给师傅们分析的是Nacos相关漏洞挖掘的骚技巧，主要是给师傅们打下nday，让师傅们能够从零基础的小白也可以上手打Nacos的nday（主要给小白看的，大佬勿喷）。…
Struts2 介绍Struts2框架是一个用于开发Java EE网络应用程序的开放源代码网页应用程序架构。它利用并延伸了Java Servlet API，鼓励开发者采用MVC架构…
1.序言这篇文章通过对若依系统v4.6.2版本Thymeleaf模板注入的分析,学习SSTI漏洞的形成以及修复。之前有过对若依系统v4.6.0版本漏洞的分析，所以环境搭建，注入点判…
前言书接上文，上面描述了静态扩展缓存的方式进行Web缓存欺骗攻击，这里主要是集中在使用静态目录缓存规则和文件命名缓存规则进行Web缓存欺骗的攻击利用。分隔符解码引发的安全问题分隔符…
间接提示注入提示注入攻击主要包含有两种方式：直接的方式，例如直接同聊天机器人进行对话的方式间接的方式，例如其提示词包含在训练数据或者一个API调用的输出通常来讲，间接的提示词注入使…
应用程序接口测试应用程序接口（API）使软件系统和应用程序能够通信和共享数据。API 测试非常重要，因为 API 中的漏洞可能会破坏网站的保密性、完整性和可用性等核心方面。所有动态…
前言：其实没想去挖src的，可是好兄弟叫我一起，那就一起挖挖看，反正没啥事儿做，提升提升思路（其实我真的是fw）。那我们就开始吧，首先信息收集还是很重要的。前期信息收集：给大家介绍…