文章授权转载自FreeBuf（ID:FreeBuf.COM） 作者 | secist 美国 DNS 域名服务提供商 Dyn 曾遭遇大规模DDoS攻击，导致美国东海岸地区大量网站下线。随后，新世界黑彩色文字客组织公开宣称，此次 Dyn 僵尸网络攻击事件由他们负责。甚至，还派出了小组的一位数据库专家，对外公开解释了部分的攻击细节。Kapustkiy 正是该组织的一员。 去年年底，美国 DNS 域名服务提供商 Dyn 遭到了大规模的DDoS攻击。此次攻击，成功导致了美国东海岸地区的大量网站下线。随后，新世界黑彩色
最近要上线新平台，本来是群里测试功能性的东西是否有问题，测到问题有红包，结果到我这里，变成挖漏洞来着。顺手抓抓包，结果还真找到了两个小漏洞 1 短信验证码爆破 抓包嘛，当然是祭出burp神器，下面直接
2019 年 11 月 26 日，本来应该是无比平静的一天，开开会，改改bug，摸摸鱼之后等着下班。刷着新闻的间隙，手机的消息提示音响了起来，收到了一条邮件，平时收到邮件我都会选择稍后处理模式继续摸鱼，但是看到邮件标题后，我感觉摸鱼是摸不得了，怕不是捅了什么篓子，邮件的标题是这样的：
有一段时间没有写文章了，也不知写什么，毕竟从攻击方换成防守方，乙方换到甲方，还有些许不适应。。。但还是决定把自己接触渗透所积累的东西也拿出分享，不管糟粕，还是大伙觉得我分享的有用（那阿鑫自然是很开心），希望能帮到还在学习路上的朋友，文章若有错误，请及时联系我指出，我也不想误导才学习的朋友。此外，本文为口嗨文，基本在说思路，没有实操。
本篇文章是4月份活动的投稿文章 来自M78团队的伊电童姐姐 以下是M78团队的公众号
一个项目团队，一个技术公司，能否有好的表现、做出好的项目，往往先要看项目负责人有多少斤两、有多少水分。
乌鸦安全的技术文章仅供参考，此文所提供的信息只为网络安全人员对自己所负责的网站、服务器等（包括但不限于）进行检测或维护参考，未经授权请勿利用文章中的技术资料对任何计算机系统进行入侵操作。利用此文所提供的信息而造成的直接或间接后果和损失，均由使用者本人负责。
我们收到的验证码是六位数。如果网站没有设置频率限制，或者最大尝试次数限制的话，那我们自然就会想到可以爆破它。
一栏，只填1433端口。然后就可以开始扫描了。扫描完成后会找点工具就OK了端口抓肉鸡的几种方法 肉鸡大家都应该清楚是什么东西吧！呵呵这点就不用说了.............慢慢学
为了方便即将到来的HVV行动，为大家提供更好的掌握渗透攻击技能，特意收集了一些关于HVV常见的面试题给大家参考。
首先声明，我并没有学过HTML的语言，也没学过VBA，所以自己解释的逻辑应该是非常容易理解的，保证没有任何编程基础的都能学会。当然前提是你有Excel，没有的话出门右转有盗版。
我拖着疲惫的身躯，努力打开眼皮在写...... 昨晚弄到12点，我感觉应该弄好了。
你有没有想过，当你在深夜访问XXXHub网站的时候，你电脑/手机发出的网络数据包被人在网络中间某个节点捕获，从而知道了你访问了XXXHub。
无聊寂寞（这不是重点），去应用市场上下载了某个同城约x软件，点开软件，首先不需要登录/注册就可以进来。。就感觉发现有问题了。
其实也不算0day了。算是Nday 。不知过了几手了。这个0day Nday是以前就有的，也有人出过了详细的教程。我这里也实际操作复现了一下。
这些工具各有特定的应用场景，但都是用来控制网站内部结构的，容易混淆，经常需要配合使用。SEO必须准确理解这些工具的机制和原理，否则容易出错。
控制软件有一个功能,就是上传作业,很幸运的是教师机和学生机一样,全部使用windows默认设置:不显示已知文件的后缀 提交作业时的标准是提交doc或xls文件,对msf的载荷名进行修改 例如:“作业.doc.exe”
最近的IT公司违法案件越来越多，看了很多因为爬虫，数字货币，博彩网站外包等被抓的事情，给大家提个醒，打工注意不能违法，写代码背后也有法律风险。
我不知道，因为我的电脑还没被入侵。但为了以后我知道自己电脑被谁入侵了，所以接下来我还是带大家去了解一下吧
近来，利用sql注入、xss和文件上传漏洞，成功getshell的一个客户网站（必须要拿到客户授权渗透测试许可证明才可以，不得违法入侵），这里简单记录一下整个过程，与大家分享。收集信息，查找漏洞。第一步就是进行信息收集，经过一轮的收集，发现这个网站租的是香港的服务器，没有waf文件；从网站的界面看，这个网站是用cms搭建的，搭建的环境是Iis10.0+php，同时通过目录扫描工具发现了一些网站的目录，但没有找到后台登录地址(这肯定是网站管理员隐藏了后台的地址)。
在被问到抓包时的一些问题：证书、单向认证、双向认证怎么处理，以及绕过背后的原理时，一时很难说清个大概，于是整理了下思绪，将这些知识进行总结和整理，末尾再对一个某社交APP进行实战突破HTTPS双向认证进行抓包。--团队新加入成员：miniboom
*本文原创作者：fish1983，本文属FreeBuf原创奖励计划，未经许可禁止转载
Robots协议，也称为爬虫协议、机器人协议等，其全称为“网络爬虫排除标准（Robots Exclusion Protocol）”。网站通过Robots协议告诉搜索引擎哪些页面可以抓取，哪些页面不能抓取。也既是Robots的用法有两种，一种是告诉搜索引擎哪些页面你不能抓（默认其他的就可以抓）；一种是告诉搜索引擎你只能抓取哪些页面（默认其他的不可以抓）。
该目标起源于，通过fofa搜索“xx网络”，然后通过弱口令拿到了该后台权限，在后台发现这套系统为phpcms 9.5.9。
就是一个网站根目录的txt文本，需要自己建立的，目的就是告诉搜索引擎哪些页面可以抓取，哪些页面不准抓取。
今天有个小目标：用一个网站实例来做展示，给大家科普下数据爬虫工作的过程。不知道最终效果如何，如果你能看到最后，不妨评论下你的感受。
我接到单子之后开始整活~打开系统，首先看看有没有上传点，兴冲冲找了一圈，失望而归。不过好歹有一个文件下载的地方，抓个包看看情况。
文章来源：云头条 新粉请关注我的公众号 被告人：凌某1，男，1988年出生，小学文化 被告人：凌某2，男，1988年出生，小学文化 2020年10月，凌某1、凌某2在广东省云浮市云城区暂住地内，利用信息技术非法侵入北京XX信息技术有限公司服务维护的XX数字资产交易平台系统，通过非法修改网络请求包方式，虚增凌某2等人账户内虚拟货币数量后进行提现，盗取泰达币620000个，以太币12687．9956个、比特币149.99627927个，平台交易价值共计人民币5000余万元。后二人在虚拟货币交易平台出售部分虚拟
不重复抓取？有很多初学者可能会觉得。爬虫不是有深度优先和广度优先两种抓取策略吗？你这怎么又多出来一个不重复抓取策略呢？其实我这几天有不止一次听到了有人说要在不同页面增加同一页面链接，才能保证收录。我想真能保证吗？涉及收录问题的不止是抓没抓吧？也从而延伸出今天的这篇文章，不重复抓取策略，以说明在一定时间内的爬虫抓取是有这样规则的。
随着现在企业安全水平的提高，单独依赖常规主动扫描器AWVS、APPscan进行企业漏洞扫描越来越难挖掘有效漏洞，越权漏洞在大多数企业中比较常见，主动扫描器也难以挖掘越权等逻辑漏洞，这里给大家提供一种思路，依赖fiddler插件的方式进行针对越权的被动漏洞扫描。
被告人：凌某1，男，1988年出生，小学文化 被告人：凌某2，男，1988年出生，小学文化 2020年10月，凌某1、凌某2在广东省云浮市云城区暂住地内，利用信息技术非法侵入北京XX信息技术有限公司服务维护的XX数字资产交易平台系统，通过非法修改网络请求包方式，虚增凌某2等人账户内虚拟货币数量后进行提现，盗取泰达币620000个，以太币12687．9956个、比特币149.99627927个，平台交易价值共计人民币5000余万元。后二人在虚拟货币交易平台出售部分虚拟货币，实际获利共计人民币200余万元，用
(这种针对参数的工具，不知道是不是扫描方式有问题，还是怎么着，怎么才能抓几个包，或者把常用点的包抓出来)
关键词可以根据实际情况进行调整，推荐Google、Bing，搜索内容如果被删除，网页快照一般仍会有记录。
最近开始学习网络安全和系统安全，接触到了很多新术语、新方法和新工具，作为一名初学者，感觉安全领域涉及的知识好广、好杂，但同时也非常有意思。所以我希望通过这100多篇网络安全文章，将Web渗透的相关工作、知识体系、学习路径和探索过程分享给大家，我们一起去躺过那些坑、跨过那些洞、守住那些站。未知攻，焉知防，且看且珍惜，也希望您能推荐和支持作者的公众号。
最近开始学习网络安全和系统安全，接触到了很多新术语、新方法和新工具，作为一名初学者，感觉安全领域涉及的知识好广、好杂，但同时也非常有意思。所以我希望通过这100多篇网络安全文章，将Web渗透的相关工作、知识体系、学习路径和探索过程分享给大家，我们一起去躺过那些坑、跨过那些洞、守住那些站。未知攻，焉知防，且看且珍惜。
现在我国的法律是非常全面的，无论是各行各业都有具体的法律规定，能够让大家的日常生活拥有更加高的安全保障，毕竟社会中坏人还是很多的，很多人都想着不劳而获，随着互联网行业的不断发展，渐渐衍生出很多抓漏洞的人，如果想要保护好自己的虚拟财产的话很多时候都是需要进行备案的，其中就包括互联网中的网站备案，网站的域名也是可以备案的，但是大家都不知道怎么查看域名是否备案，下面小编就为大家来详细介绍一下。
上半年就说要写怎么挖csrf漏洞了，主要是懒....后面就忘记写了。今天正好有人问到，索性就写一篇文章出来
Robots协议(又称爬虫协议、机器人协议等)全称为网络爬虫排除标准（Robots Exclusion Protocol），是国际互联网界通行的道德规范，Robots是站点与spider重要的沟通渠道，网站通过robots告诉搜索引擎哪些页面可以捕获，哪些页面不能捕获。其目的是保护网站数据和敏感信息，确保用户的个人信息和隐私不受侵犯。搜索引擎需要自觉遵守，因为它不是命令。
前言 这次渗透测试是从一个CVE开始的，从阿三外网的Jboss打点到内网然后到域控,手法很简单常规,主要还是要扩展一下思路吧哈哈哈!
http://***.test.com.cn/*/forgetPassword.html
这篇文章从去年很早就想写，一直没时间，刚好过段时间有沙龙是讲这方面的东西，整理了下就有了下文。 以往安全爱好者研究的往往是app的本地安全，比如远控、应用破解、信息窃取等等，大多人还没有关注到app服务端的安全问题，于是在这块的安全漏洞非常多。 移动app大多通过web api服务的方式跟服务端交互，这种模式把移动安全跟web安全绑在一起。移动app以web服务的方式跟服务端交互，服务器端也是一个展示信息的网站，常见的web漏洞在这也存在,比如说SQL注入、文件上传、中间件/server漏洞等，但是由于部分
实际上在某些特殊行业，买卖整个网站才是最有效的方法。就是把整个网站买下来，域名注册信息不改，主机提供商也不改，网站内容也不改，一切看起来没什么变化。然后再去操作自己的黑帽SEO程序，配合买到的网站去排名。
好久没写文章了，今天准备给大家分享一篇晚上做梦时候梦到的渗透测试文章(梦境具象化，嘿嘿嘿)
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
实时音视频
对象存储
即时通信 IM
