首页
学习
活动
专区
工具
TVP
发布
精选内容/技术社群/优惠产品,尽在小程序
立即前往
  • 您找到你想要的搜索结果了吗?
    是的
    没有找到

    记一次有趣的逻辑漏洞挖洞经历

    前几天在网上冲浪的时候无意间看到了一个Edu的站点,是一个很常见的类似MOOC的那种在线学习系统,对外开放,同时有注册和登录功能。对于我这种常年低危的菜鸡来说,这是最愿意看到的,因为一个Web网站有了登录功能,就代表其网站必须要有权限划分,而有了权限划分,在这里的开发就容易出现很多问题,越权便是一种常见的问题。经过测试,发现这个站点就存在越权的问题,例如A账号可以通过发包更改B账号内的数据,但这些数据不是密码,个人信息等数据,而是平台上的评论,收藏,和点赞的数据。尽管这些数据或许不是那么敏感,危害听起来不大,但是也算是水平越权的一种了,因此最终这个漏洞提交EduSRC后被评为中危。接下来我将回到当初的视角,与大家一起复盘,分析这次挖洞经历。

    01

    记一次有趣的逻辑漏洞挖洞经历

    前几天在网上冲浪的时候无意间看到了一个Edu的站点,是一个很常见的类似MOOC的那种在线学习系统,对外开放,同时有注册和登录功能。对于我这种常年低危的菜鸡来说,这是最愿意看到的,因为一个Web网站有了登录功能,就代表其网站必须要有权限划分,而有了权限划分,在这里的开发就容易出现很多问题,越权便是一种常见的问题。经过测试,发现这个站点就存在越权的问题,例如A账号可以通过发包更改B账号内的数据,但这些数据不是密码,个人信息等数据,而是平台上的评论,收藏,和点赞的数据。尽管这些数据或许不是那么敏感,危害听起来不大,但是也算是水平越权的一种了,因此最终这个漏洞提交EduSRC后被评为中危。接下来我将回到当初的视角,与大家一起复盘,分析这次挖洞经历。

    01

    个人家庭电信宽带开启IPV6网络,TL-WDR7660千兆易展版路由器开启IPV6。

    答:根据《工业和信息化部等八部门关于推进IPv6技术演进和应用创新发展的实施意见》官方文件描述,主动的任务目标是到2025年底,IPv6技术演进和应用创新取得显著成效,网络技术创新能力明显增强,“IPv6+”等创新技术应用范围进一步扩大,重点行业“IPv6+”融合应用水平大幅提升。国家也在积极推动中国IPV6网络协议支持的脚步,因为ipv4地址资源已经枯竭,已无法满足越来越多用户各式各样的终端设备的接入,一个人或一个家庭不可能只有一部终端设备,随着现在物联网和AI的发展,越来越多的智能终端设备都接入到家庭网络内,依靠使用NAT地址转换技术是可以解决一家人的上网问题,但是通过运营商再次转换出公网,可能还会进过NAT转换,深圳一栋楼住户,或一小区住户在共用一个公网IP地址,对于运营商网络管理、维护会比较困难,安全隐患也会相对的增加,并且经过NAT技术转换将数据包转发至互联网会存在损耗,导致影响用户使用网络的速度会有延迟,等带宽上不去的情况,所以国家开始大力推行IPv6改造。

    08
    领券