暂无搜索历史
日常测试的时候遇到的一个case，存在XSS漏洞，但是WAF把 onload,onerror,onstart等常用的on属性都过滤了。
Master节点开启日志审计，API Server配置文件的目录是/etc/kubernetes/manifests/kube-apiserver.yaml
SSRF漏洞在互联网公司中应该是除了越权之外最普遍的漏洞了。关于漏洞的原理，绕过，传统的扫端口、各种探测等利用方式等就不再赘述，这里分享下自己作为企业蓝军中常用...
短链接一般是通过映射关系，将长长的一串网址，映射到几个字符的短链接上，建立好这种映射关系之后保存到数据库里，用户每次访问短链接的时候，需要到数据库里查询这个短链...
该备忘清单可用于漏洞猎人，安全分析，渗透测试人员，根据应用的实际情况,测试不同的payload，并观察响应内容，查找web应用的跨站点脚本漏洞，共计100+条x...
近期在处理接口越权漏洞的问题，在前期漏洞测试、调研的时候发现部分“list”的查询功能的越权漏洞可通过一些特殊技巧来获取更多的数据、扩大漏洞影响。
某次内部渗透测试的时候遇到登录处无图形验证码、频次等限制机制，这种是需要整改的，但是如果没挖到有效的漏洞可能就会被开发小哥哥挑战，让人整改也就没底气，遂进一步利...
某次业务上线常规安全测试，有记录操作的功能，猜测存在存储型XSS漏洞，但由于存在长亭WAF被拦截。遂将之前总结的XSS绕过手段逐一测试了下。
整理下自己之前做的应急响应相关的碎片笔记，太多了，没办法全部列出来，先整理一些常用的。
由于现实的种种原因，我们不可能将所有子域名放到内网中或者绑定白名单IP访问，所以如果灰黑产人员发现不到公司的敏感子域名，那么就该子域名而言，被攻击的可能性就会降...
这周总算是稍微有点自己的空闲时间了，趁下班时间赶紧撸点代码，之前找前端框架的时候找到个自我感觉挺好看、简约的博客模版，所以用Django实现了下。
你想将一个只读属性定义成一个property，并且只在访问的时候才会计算结果。但是一旦被访问后，你希望结果值被缓存起来，不用每次都去计算。
https://portswigger.net/web-security/cross-site-scripting/cheat-sheet
之前学习爬虫的时候一直了解、学习的是基于PhantomJS的，虽然Chrome的headless更加优秀、比PhantomJS更快、占用内存更少，而且还有个强大...
在那篇文章中我突然想到一种检测webshell的方法，就是首先获取到当前文件中的所有变量（不明白的可以先去看下之前的文章），然后再根据正则库进行静态检测。
根据语言、解析漏洞、中间件、系统特性以及一些绕过WAF的方法：黑名单、大小写、ADS流、截断、空格、长度、htaccess等生存文件名字典。
目前，大部分的业务系统需要提供公网域名、IP进行访问，若涉及用户个人信息、支付交易、订单信息等有关接口，那么接口的安全性就相当重要了。
•web为B/S架构，服务端更新后，刷新一下页面就同步更新了•PC、APP为C/S架构，服务端更新后，需要对各个主流版本进行兼容测试及回归测试，客户端更新的话，...
若API形式为： /api/v3/login，那么可尝试 /api/v2/login， /api/v1/login等。
暂未填写公司和职称
暂未填写个人简介
暂未填写技能专长
暂未填写学校和专业
暂未填写所在城市
