接上篇文章，继过年前发现宝塔 WAF 后台的命令注入漏洞后，寒假期间闲着无事，过年又不想跑亲戚，又翻了翻宝塔的代码，再一次发现了重大漏洞。 大过年还在看代码真是不容易，宝塔请给我广告费+...

WebSocket Turbo 入侵者 https://github.com/xsxtw/websocket-turbo-intruder 使用自定义 Python 代码扩展模糊 WebSocket 消息 用法 右键单击 WebSockets 消息并转到Extensions > WebSocket Tur...

漏洞关键字 SQL 注入：select insert update mysql_query mysqli 等 文件上传：$_FILES，type=”file”，上传，move_uploaded_file() 等 XSS 跨站：print print_r echo sprintf die var_dump va...

1 Cknife 一款 webshell 连接工具，项目地址：https://github.com/Chora10/Cknife 工具启动： /usr/lib/jvm/jdk1.8.0_281/bin/java -jar Cknife.jar & 工具的使用： 常见的一句话后门样例：...

/${(#[email protected]@toString(@java.lang.Runtime@getRuntime().exec('COMMAND').getInputStream(),'utf-8')).(@com.opensymphony.webwork.ServletActionContext@getRespons...

大家好，自从我上次写博客以来已经有一段时间了。我的工作一直很忙，但现在我很高兴与大家分享我在 iOS 渗透测试方面的知识。该博客涵盖了从设置笔测试环境到使用静态和动态测试识别 iOS 应用程...

前言 Windows下使用cs加载各种插件遇到乱码，可以用下面命令指定编码打开客户端解决。 java -Dfile.encoding=utf-8 -XX:ParallelGCThreads=4 -XX:+AggressiveHeap -XX:+UseParallelGC -Xms512M ...

前言 此次共涉及5个不同版本的x86架构的主机： Windows 7 家庭高级版6.1(7600)- -- 192.168.50.165Windows 7 家庭高级版6.1(7601)- -- 192.168.50.38Windows 7 企业版6.1(7600)--- 192.168.50.1...

这一套源码与网上那些X站cms都是一致，那么在奇安信社区上看到了这款，那么也来玩玩，这一套源码的话基本的都是存在后台提权、存储xss、反射XSS、弱口令（至于弱口令这块一般安装后直接使用admi...

easy_login 简单介绍一下什么是JWT Json web token (JWT), 是为了在网络应用环境间传递声明而执行的一种基于JSON的开放标准（(RFC 7519).该token被设计为紧凑且安全的，特别适用于分布式站点的...