Stardustsky个人博客

网络安全    总计4页,当前第1页

网络安全

vhosts.conf配置不当引发的血案

6

说起来这个问题比较有意思,是一次偶然的意外发现,经过一系列追踪,最后发现vhosts.conf配置的锅,所以分享一波给大家,相信不少的人也会遇到和我同样的问题。起因本文源于一日我测试公司的安全产品,便对自己的网站做了一个反向代理,大概就是下图的样子。proxyip:172.12.16.118mywebip:www.stardustsky.net...

4个月前 (10-24) 阅读(244) 评论()

网络安全

SaiFD指纹识别工具

2

    碍于各种琐碎和杂事,好久没写文章了,最近完成了一个简单的网站指纹识别工具demo,分享一下。    采用的是执行脚本+cms.json的格式,脚本调用cms.json文件中的cms指纹特征来进行识别,然后返回对当前网站判断的结果,列出是某种cms的可能性,概率从高到低排列...

1年前 (2017-01-19) 阅读(690) 评论()

网络安全

跨过浏览器同源策略

1

0x01 前言同源策略这玩意一直是玩web安全的朋友头疼的问题,如今的浏览器沙盒对这方面的限制越来越严格,可利用的场景也愈加有限,但仍旧存在绕过同源策略一些tips。其实很早就想写这篇文章了,最近看到一些关于这方面的话题,刚好做一个总结。0x02 同源策略简介简单来说:同源策略就是域名、协议或端口不同的两个页面在未授权的情况下,无法读取...

2年前 (2016-05-04) 阅读(876) 评论()

网络安全

一种新的攻击方法——Java-Web-Expression-Language-Injection

2

0×00引言在2014年6月18日@终极修炼师曾发布这样一条微博:链接的内容是一个名为Jenkins的服务,可以在没有password的情况下受到攻击。而攻击方法比较有趣,Jenkins提供了一个ScriptConsole功能,可以执行Groovy脚本语言。下面我们来看下维基百科对于这个脚本语言的解释:Groovy是Java平台上设计的面向对象编程语言...

2年前 (2016-04-15) 阅读(918) 评论()

网络安全

ElasticSearch 简单入门

7

简介ElasticSearch是一个开源的分布式搜索引擎,具备高可靠性,支持非常多的企业级搜索用例。像Solr4一样,是基于Lucene构建的。支持时间时间索引和全文检索。官网:http://www.elasticsearch.org它对外提供一系列基于java和http的api,用于索引、检索、修改大多数配置。写这篇博客的的主要原因是ElasticSear...

2年前 (2016-03-04) 阅读(1095) 评论()

网络安全

放心的留下你的webshell

3

一、文章目的    前一阵子看了一篇碳基体妹子的关于webshell检测相关的文章,感觉很有意思,所以又去搜索了下对于webshell检测相关的文章,还真发现了不少,其中很多都对webshell建立了识别模型,根据一些特征进行检测,因此,传统的webshell已经很难逃过如今这些百花齐放的webshell检测系统了。不...

2年前 (2016-01-13) 阅读(1438) 评论()