Aug282021
截至目前,区块链到底给我们带来了什么?
在中国,说实话是在一种奢侈品。
区块链截止到目前,到底给我们带来了什么?除了ICO和交易属性,还能给我们带来什么?
现状就是:
先攒几个人,稍微有头有脸的或者有互联网从业经验的人,然后一通包装,写个白皮书,能不能实现不重要,先把钱弄到手再说。然后在在新加坡成立个基金会,又或者在日本成立个株式会社,为什么要在这两个地方?因为这两个地方不管,甚至是合法的。雇个设计,做个官网,租个服务器...阅读全文
抢沙发
Aug262021
Git配置和上传方法
简介
Git是一款分布式版本控制系统，被广泛用于软件开发中的代码管理。本文将介绍如何配置Git并上传代码到远程仓库。
安装Git
首先，你需要安装Git。可以从官方网站（https://git-scm.com/）下载适合你操作系统的版本，并按照提示进行安装。
配置Git
安装完成后，打开命令行工具（Windows用户可以使用Git Bash），输入以下命令配置用户名和邮箱：
$ git config --global user.name "Your ...阅读全文
Aug262021
54：代码审计-TP5框架审计写法分析及代码追踪
思维导图
案例1：demo代码段自写和规则写分析
具体见上一篇文章
案例2：hsycms-TP框架-不安全写法-未过滤
<1>分析程序源码，首先找到入口文件
<2>然后修改config.php文件，使app_debug=true,app_trace=true，打开调试模式。
<3>寻找网址对应的程序文件。
方法1：使用phpstorm或者seay系统打开程序源码，寻找路由，查看路由规则，找到各url访问地址对应的程序文件。比...阅读全文
Aug262021
53：代码审计-TP5框架及无框架变量覆盖反序列化
案例1：metinfo-无框架-变量覆盖-自动审计或搜索
变量覆盖配合文件包含实现任意文件包含
<1>自动审计或搜索关键字找到文件及代码块，全局配置文件
变量覆盖漏洞关键字：extract()、parse_str()、importrequestvariables()、$$等
如下代码，表示从get post cookie接收数据，进行变量覆盖
<2>搜索或访问触发全局变量配置文件配合手写代码测试变量覆盖
原理如下图所示
<3&g...阅读全文
Aug262021
52：代码审计-PHP项目类RCE及文件包含下载删除
漏洞关键字
SQL注入：select insert update mysql_query mysqli等
文件上传：$_FILES，type="file"，上传，move_uploaded_file()等
XSS跨站：print print_r echo sprintf die var_dump var_export等
文件包含：Include include_once require require_once等
代码执行：eval,preg_replace+/e,assert,call_user_func,call_user_func_array,create_function等
命令执行：system exec shell_e...阅读全文
Aug262021
50：代码审计-PHP无框架项目SQL注入挖掘技巧
代码审计思维导图
代码审计
教学计划：审计项目漏洞Demo->审计思路->完整源码框架->验证并利用漏洞
教学内容：PHP，JAVA网站应用，引入框架类开发源码，相关审计工具及插件使用
必备知识点：环境安装搭建使用，相关工具插件安装使用，掌握前期各种漏洞原理及利用
开始前准备：审计目标的程序名，版本，当前环境(系统,中间件,脚本语言等信息),各种插件等
挖掘漏洞根本：可控变量...阅读全文
Aug202021
Push.js-Javascript桌面通知库
Push.js是一个可以快速运行和接收的Javascript桌面通知库，它支持IE9+，以及现代浏览器如：Chrome, Safari, Firefox。它可以应用在网页消息推送方面，而且简单易用。
安装
我们可以使用npm快速安装。
npm install push.js --save
使用
运行push接收通知非常简单，以下代码就可以创建一个新的通知：
Push.create('Hello World!');
我们还可以传入参数对象，定制通知效果，
Push.create("H...阅读全文
Aug192021
79：Python开发-sqlmapapi&Tamper&Pocsuite
本课知识点：
Request爬虫技术，sqlmap深入分析，Pocsuite分析，框架代码二次修改等
本课目的：
掌握安全工具的API接口开发利用，掌握优秀框架的二次开发插件引用等
案例1：sqlmap Tamper模块脚本编写绕过滤
案例2：sqlmapAPI调用实现自动化SQL注入安全检测
参考：https://www.freebuf.com/articles/web/204875.html
应用案例：前期通过信息收集拿到大量的URL地址，然后配合sqlm...阅读全文
Aug192021
78：Python开发-多线程Fuzz&Waf异或免杀&爆破
本课知识点：
协议模块使用，Request爬虫技术，简易多线程技术，编码技术，Bypass后门技术
学习目的：
掌握利用强大的模块实现各种协议连接操作（爆破或利用等），配合Fuzz吊打WAF等
案例1：简单多线程技术实现脚本
queue,threading模块使用
案例2：利用FTP模块实现协议爆破脚本
1.ftplib模块使用
2.遍历用户及密码字典
3.尝试连接执行命令判断
# Author:Serena
import ...阅读全文
Aug192021
48：WAF绕过-权限控制之代码混淆及行为造轮子
思维导图
Safedog代码层手写及脚本绕过
变量覆盖，加密混淆，异或生成
BT Aliyun代码层手写及脚本绕过
编码解码(变量覆盖，加密混淆，异或生成)
ASP,PHP,ASPX,JSP,PY等后门免杀同理
先绕安全狗–>安全狗加BT–>安全狗加BT加Aliyun，三者依次测试
案例1：Safedog-手写覆盖变量简易代码绕过-代码层
一句话木马：<?php assert($_POST['chopper']);?>
变量覆盖：...阅读全文