SQL 注入原理与防御:从一行拼接说起
一、什么是 SQL 注入 SQL 注入(SQL Injection)是最经典、危害最广的 Web 漏洞之一。它的本质只有一句话:程序把用户输入当成了 SQL 代码,而不是数据。 当应用用字符串拼接的方式构造 SQL 语句时,如果没有对用户输入做严格处理,攻击者就能让自己输入的内容…
XSS 跨站脚本:三种类型与现代防御体系
一、XSS 的本质 跨站脚本攻击(Cross-Site Scripting, XSS)的本质是:攻击者让浏览器执行了本不该执行的脚本。 当应用把用户提供的内容,未经处理就输出到页面 HTML 中时,如果这段内容里夹带了脚本,浏览器无法分辨它是"页面的正常部分"还是"恶意注入",于…
Ghost_Bits_Cast_Attack_深度解读
原文PDF文件： Asia-26-Bai-Cast-Attack-Ghost-Bits-4.23.pdf Cast Attack 技术全解：Ghost Bits 如何撕裂 Java 安全边界 从底层位运算到企业级防御体系——基于 Asia-26-Bai-Cast-Attack-G…
从外网小程序突破到内网全域漫游
前言 某年某月的某一天，本该是牵手逛街的美好周末，但是老板安排我们安服仔去某交通公司。该公司刚刚上线一批信息化项目需要渗透测试，目标范围为公司对外业务系统及关联资产，重点验证从外网到核心区的纵深防御能力。飞机飞了3个小时后又整了2小时汽车，我都没有来得及休息就开始了长达7天的探宝…
银狐新变种样本深度分析|逆向 + 沙箱 + 动态运行，拆解 IAT-less 攻击逻辑
前言 近期银狐木马持续迭代变种，以 “税务稽查”“内部违纪名单” 等社会工程学诱饵精准攻击企业办公人员，隐蔽性与危害性显著提升。本文通过 静态逆向、沙箱分析、动态运行 三位一体的方式，深度拆解该样本的环境检测、自定义哈希 API 调用、进程注入与持久化机制，还原完整攻击链路，为应…
高校大模型安全测试AI 魅魔漏洞挖掘与绕过
免责声明 本报告仅用于安全研究和授权测试，未经授权的渗透测试行为是违法的，切勿用于其他用途，请确保在合法授权的情况下进行安全测试，出现任何后果与本人无关。 另外提供的测试语句可测出大部分高校的大模型漏洞，及时上报 edusrc 平台为高校网络安全事业添砖加瓦。 AI 越狱漏洞 这…
代码审计实战：若依 RuoYi4.6.0 8 类漏洞（反序列化 + SQL 注入 + SSTI）全解析
一.环境搭建 RuoYi 是一个 Java EE 企业级快速开发平台，基于经典技术组合（Spring Boot、Apache Shiro、MyBatis、Thymeleaf、Bootstrap），内置模块如：部门管理、角色用户、菜单及按钮授权、数据权限、系统参数、日志管理、通知公…
Linux 应急响应【暴力破解】
0x00 整体流程 0x01 梳理现场情况 确认攻击信息准确性 安全设备、人、上级/行业/监管单位的通报都不见得是准确的，做二次研判是必要的，能够帮我应急响应人员确定整体排查思路 询问历史被攻击情况、历史通报、历史误报 历史攻击可能会留下攻击遗产，成为未来新一轮攻击事件的发起点，…
Java 代码审计从 0 到 1：starsea-mall + 学生系统漏洞挖掘全记录
1.审计-starsea-mall电商系统 下载地址 https://github.com/StarSea99/starsea-mall 然后根据要求配置环境，配置Maven 数据库 配置完成好可以启动页面 开始审计，经典的一个目录 在interceptor是一个拦截器，下面是后…
青龙面板鉴权绕过从路径大小写到 RCE【漏洞复现】
深度剖析青龙面板最新版鉴权绕过漏洞，利用路径大小写特性绕过 JWT 校验，最终实现未授权远程命令执行。 ![图片[1]-HackTwoHub社区](/images/45f63be9807ca031.png) ? 漏洞摘要 项目详情漏洞名称青龙面板鉴权绕过导致 RCE影响版本Qin…
XXE 漏洞全解析：XML 原理 + Java 审计案例 + JavaMelody 实战复现
1\. 相关介绍 1.1. XML介绍 XML (Extensible Markup Language) 是一种 可扩展的标记语言，用于标记电子文件中的各种元素。它是用来 传输和存储数据 的一种常用方式，并且可以被很多不同的应用程序所使用。 XML 的一个主要优点是它允许不同的应…
SQL 注入入门：从原理到实战，一文搞懂如何 “欺骗” 数据库
说明 该文中使用的数据库为本地测试数据库，数据内容无任何实际意义！ 引言 学习SQL注入技术，不是为了成为攻击者，而是为了理解：在这个数据即权力的时代，保护数据库的安全，就是在保护数字世界的基石。每一次的防止注入攻击，你可能保护的是某个人的隐私、某个家庭的财务安全、某个企业的商业…
应急响应方法论:失陷之后的黄金一小时
一、应急响应是什么 应急响应(Incident Response)是指在安全事件发生后,组织为了控制损失、消除威胁、恢复业务、总结教训而采取的一系列有计划的行动。 它不是"出事了手忙脚乱地救火",而是一套有章法的流程。一个成熟的团队,靠的是预案和方法论,而不是临场发挥。业界广泛参…
登录防护绕过 ddddocr 配合 Yakit 热加载实现验证码
前言 在渗透测试工作中，登录模块是系统安全校验的核心环节，验证码则是抵御自动化账号密码爆破最常见的防护手段。随着防护策略的升级，除基础的验证码校验外，多数系统还会增加 UUID、Key 等额外参数校验，仅依靠 BurpSuite 常规插件已无法满足自动化爆破需求。 ddddocr…
魔众一物一码溯源防伪系统
简介 魔众一物一码溯源防伪系统支持批量生成、管理防伪码、溯源码，帮助您更好的管理商品防伪码。 魔众一物一码溯源防伪系统，溯源、防伪、一物一码，一套搞定。 免责声明 1. 本站所有资源来源于用户上传和网络收集，仅为学习交流使用，若该源码侵犯了你的合法权益，请邮件联系站长（邮箱：ad…
一物一码全搞定魔众溯源防伪系统v2.1.0
追格商城小程序(开源版) v1.2.5于2025年5月9日重磅发布，适配小程序、公众号双端，是轻量化微信商城系统。依托WordPress与Uniapp开发，代码无加密无后门，简单配置即可上线，部署便捷、开源易用，助力开发者与中小商户快速搭建线上商城，满足基础商城运营全需求，落地线…
微信 PC 版 WeChat v4.1.9.55 优化增强版｜多开 + 防撤回 + 禁止更新
简介 基于官方正式版精心修改制作，适配 Win10、Win11 全系列电脑系统，在原版完整社交、办公、支付、小程序等基础功能之上，新增多款实用增强功能，屏蔽自动更新弹窗，告别强制升级困扰，日常办公社交、多账号运营使用体验大幅提升，是电脑端微信实用增强神器。 核心实用功能 无限多开…
Ai智能客服系统在线客服系统
简介 安全防护：系统强力加固，有效防止黑客入侵 国际化多语言：中文简体、繁体、英文、越南语、印尼语、俄语、泰语、日语、韩语、西班牙语、法语、 德语、意大利语、阿拉伯语、葡萄牙语、丹麦语等二十种语言。支持一键翻译，让外贸沟通更简单，助力外贸新机遇。 框架：Thinkphp5+wor…
简单、高效的内网穿透工具frp
一、简介 frp（Fast Reverse Proxy） 是一款开源的高性能反向代理应用，主要用于实现 内网穿透。 它可以帮助用户将位于 NAT 或防火墙后的本地服务安全地暴露到公网，使外部用户能够访问内网中的服务。 frp 采用 C/S（客户端 / 服务端）架构： - frps…
java开发的智能微信停车场小程序源码
简介 1.本停车场系统兼容市面上主流的多家相机，理论上兼容所有硬件，可灵活扩展， 2.相机识别后数据自动上传到云端并记录，校验相机唯一id和硬件序列号，防止非法数据录入， 3.用户手机查询停车记录详情可自主缴费(支持微信，支付宝，银行接口支付， 支持每个停车场指定不同的商户进行收…