JFinalcms代码审计(代码检查工具sonar和代码审计)
JFinalCms是开源免费的JAVA企业网站开发建设管理系统，极速开发，动态添加字段，自定义标签，动态创建数据库表并crud数据，数据库备份、还原，动态添加站点(多站点功能)，一键生成模板代码。环...
Fastjson 1.2.24远程代码执行漏洞（com.sun.org.apache.xalan.internal.xsltc.trax.TemplatesImpl）
1.漏洞信息1.1 漏洞简介漏洞名称：Fastjson 1.2.24远程代码执行漏洞（com.sun.org.apache.xalan.internal.xsltc.trax.TemplatesImpl）漏洞编号：无漏洞类型：远程代码执行CVSS评分：无漏洞危害...
机缘巧合之下拿下个发卡网还撸了把羊毛(发卡网百度百科)
0x01 事情经过家乡群有个不是我们老家的广告狗天天发“出售微信抢红包软件”广告，发一次两次就算了，每天都发。最讨厌的是我在群里吹牛逼的时候他出来发广告？严重影响群内人员吹逼，十分可恶~...
加密威胁原理篇——恶意程序基础知识(什么是恶意的威胁代理)
加密恶意加密流量的检测始终是行业的一个难点和痛点。病毒病毒我们通常称为感染式的恶意程序，它最大的特点就是通过感染其他正常文件的方式来进行传播。感染正常文件有很多种不同的情况，比如说...
记一次授权测试到顺手挖一个0day
这是 酒仙桥六号部队 的第 93 篇文章。全文共计2986个字，预计阅读时长11分钟。前言记在一次授权的渗透测试过程中遇到了这样一个项目，开始对前台一顿fuzz，端口一顿扫描也...
【实战】文件加密器进行逆向(文件加密解密器)
前言实战可以大大提高自己，学习技术的目的就是能够在实战中运用。本次实战与实际息息相关，该软件具有加密某文件的功能。界面还挺好看的，功能很简单，输入文件和PIN(4位）进加解密。这是被加...
内网渗透 | 记录一次简单的域渗透
环境搭建三台虚拟机，拓扑如下：看一下网络配置。VM1双网卡，第一个桥接一个VMnet2，桥接的作用是模拟将其web服务暴露在外网。攻击机是在桥接网卡的网络中。VM2、VM3全部是VMnet2，测试后是可以...
比lcx更好使的内网打洞工具
背景介绍经常有朋友使用lcx，但是由于很多原因可能lcx都不好使，例如下面几点：1、linux下不支持lcx，这时只能拿msf出来；2、不免杀；3、每次内网要重新连接其他主机的时候，都必须重新进去并重...
记一次某CMS代码审计
作者：ddwGeGe本文转自先知社区：https://xz.aliyun.com/t/11774前言无意中浏览到某小众OA官网且可以下载到源码，随机审计一波，最后成功Getshell，大佬勿喷目录结构环境搭建WIN11 + PhpStudy(M...
渗透测试之黑白无常“续”
这是 酒仙桥六号部队 的第 41 篇文章。全文共计3867个字，预计阅读时长12分钟。背景继上一篇《渗透测试之黑白无常》之后，当时的目标中还有个WordPress网站，虽然为一批目...
