SoftNight

微信:s0ftn1ght

发私信
  • 他的文章(98)
  • 他的评论(3)
  • Web安全

    nodejs反序列化漏洞利用getshell

    node.js的序列化过程中存在远程代码执行漏洞。更直白的说,其实是node.js的node-serialize库存在漏洞。通过传输JavaScript IIFE(立即执行函数表达式),攻击者可以利用恶意代码(不受信任的数据),在反序列化过程中远程执行任意代码。

    2018年08月13日

    79,902
    0
  • 安全工具

    Burp Extractor扩展工具介绍

    Burp的cookie jar是一个非常趁手的工具,在很多情况下让渗透测试变得更加容易。有了这个工具,不同的用户在repeater中重放请求或者扫描上一个会话中发出的请求就不再那么麻烦。

    2018年08月12日

    46,426
    0
  • 漏洞

    metasploit模块可以利用shellshock漏洞getshell

    ​过去5年中出现的最严重的漏洞之一就是shellshock漏洞,此漏洞允许攻击者通过Unix bash shell远程执行任意代码。此漏洞出现有一段时间了,不过由于连接到web的Unix主机普遍存在,所以这个漏洞还是有很大威胁的,尤其是那些没有打补丁的系

    2018年08月10日

    66,103
    3
  • Web安全

    利用xxe漏洞获取ntlm-domain-hashes

    我们的目标是互联网上运行在Windows服务器上的ASP.NET API。经过一些测试后,我们发现该服务容易遭受XXE攻击,原因是当使用XML外部实体提供服务时会发生DNS交互。

    2018年08月08日

    51,669
    9
  • 系统安全

    检测隐藏在证书文件中的恶意代码(一)

    借助NVISO分析师开发的YARA工具,这是一款识别和分类恶意软件样本的开源工具,利用其精妙的匹配规则,我们发现很多证书文件中并没有包含有效的证书,而是一个PowerShell脚本。本篇文章,我们将解释如何构造精妙的YARA规则。

    2018年08月07日

    54,709
    5
  • 技术

    HTTP PUT方法利用的几种方式

    在本文中,我们将会利用metasploitable2靶机上的HTTP PUT漏洞。通过此漏洞你可以轻而易举的向服务器上传恶意文件,并可以在meterpreter shell中获得整个服务器的访问权限。

    2018年08月06日

    84,739
    5
  • Web安全

    错误页面中隐藏webshell的骚思路

    ​恶意软件发布者、黑客和钓鱼诈骗犯现在都喜欢把webshell隐藏在虚假HTTP错误页面中。这些页面常常伪装为错误页面,比如404未找到页面或者403禁止页面,然而它们实际上是webshell登录表单页,攻击者能够获得webshell并且在服务器上执行系

    2018年07月31日

    125,303
    4