简介Nuxeo Platform是一款跨平台开源的企业级内容管理系统(CMS)。nuxeo-jsf-ui组件处理facelet模板不当，当访问的facelet模板不存在时，相关的文件名会输出到错误页面上，而错误页面会当成模板被解析，文件名包含表达式也会被输出同时被解析执行，从而导致远程代码执行漏洞。在漏洞挖掘过程中发现nuxeo-jsf组件默认在10.2没有安装，历史版本是默认就安装的。可以通过n
Nacos 介绍 Nacos 致力于帮助您发现、配置和管理微服务。Nacos 提供了一组简单易用的特性集，帮助您快速实现动态服务发现、服务配置、服务元数据及流量管理。Nacos 帮助您更敏捷和容易地构建、交付和管理微服务平台。 Nacos 是构建以“服务”为中心的现代应用架构 (例如微服务范式、云 ...
转载
2021-04-24 16:31:00
768阅读
2评论
使用 cookie 绕过验证码这种方式前提是必须要有长时间保存 cookie 的功能，比如登录时会有勾选项"保存本次登录信息"，“下次自动登录”，"记住我"等。当你勾选类似的选项后，登录成功后服务器会要求浏览器将登录信息存储你到 cookie。我们就可以从浏览器 cookie 中获取储存的信息，添加到测试过程中的浏览器中，以达到绕过登录的目的。还是以 showdoc 为例，sh
# Kubernetes 认证绕过
在 Kubernetes 中，认证是确保用户和服务身份的一种机制。它使用令牌和证书来验证用户的身份并授权其访问资源。然而，有时候我们可能需要绕过 Kubernetes 的认证机制，比如在测试环境中快速验证一些功能。本文将介绍如何绕过 Kubernetes 的认证机制，并提供相应的代码示例。
## Kubernetes 认证机制简介
在深入探讨如何绕过 Ku
原创
2023-09-14 16:49:17
272阅读
前言 Nacos动态域名和配置服务，英文缩写是Dynamic Naming and Configuration Service， 取的Naming的前两个字母，Configuration的前2个字母，以及Service的首字母组成的。 Fofa title="Nacos" 漏洞复现 POC1：查看用 ...
转载
2021-04-24 23:50:00
748阅读
2评论
前言近排因为项目原因，承接了甲方大佬的系统，其它的还好，熊某还是比较注重权限的部分，毕竟我这方面还是毕竟薄弱，发现用的是JWT+SpringSecurity的认证方式，就好好学习下，顺便写下自己的笔记！SpringSecurity官方文档:https://www.springcloud.cc/spring-security-zhcn.html#jc认证流程开始前我们还是要了解下总体流程是什么样的：
转载
2024-09-26 15:23:27
140阅读
# Python 绕过 JWT 认证的科普文章
## 背景介绍
JSON Web Token（JWT）是一种用于在网络应用环境中安全传递声明的基于 JSON 的开放标准（RFC 7519）。JWT 的主要用途是验证用户身份并在用户和服务器之间传递信息。它由三部分组成：头部、载荷和签名。由于 JWT 是可以被伪造的，了解如何安全地实现和使用 JWT 认证至关重要。
在本篇文章中，我们将探讨如何
原创
2024-08-20 11:07:54
113阅读
# 如何在Java中绕过SSL认证
在开发过程中，我们常常会遇到SSL协议的认证问题。SSL（Secure Sockets Layer）是一种网络传输协议，用于加密在网络中传输的数据，以保护信息的安全。然而，在某些开发和测试环境中，可能会需要“绕过”SSL认证，尤其是在使用自签名证书时。
本文将简单介绍如何在Java中绕过SSL认证，并提供代码示例。
## 背景知识
在Java中，SSL认
前面讲过 python 爬虫的常用技巧，今天补上一篇实战指南，爬取知识星球里某个星球的所有数据，对，你没有听错，是所有数据，包括了内容、问答、评论、图片、文件、甚至是谁点了赞！心动了吧，赶快行动吧。当然，本篇文章需要你有一点 python 基础，如果没有的话，建议你先收藏，去找一些教程学习一下这门工具人语言。好了，废话不多说，马上开始。首先，导入所需要的包：import queue
import
转载
2024-10-11 10:45:31
173阅读
# Java绕过SSL认证的科普
在Java编程中，HTTPS使用SSL/TLS协议保护数据传输的安全。然而，在一些特定场景下，例如开发和测试环境，开发人员可能需要绕过SSL认证。这篇文章将介绍Java中如何实现这一目的，并附带代码示例，以帮助理解相关概念。
## 什么是SSL/TLS？
SSL（安全套接字层）和TLS（传输层安全性）是用于提供网络通信安全的协议。它们通过加密数据来保证数据的
第一种方法：先处理掉那些占着连接但是不工作的线程。第二种方法：尽量减少短链接消耗，一种可能的做法，是让数据库跳过权限验证阶段：解决办法：跳过权限验证的方法是：重启数据库，并使用–skip-grant-tables 参数启动。这样，整个 MySQL 会跳过所有的权限验证阶段，包括连接过程和语句执行过程在内。风险极高，是我特别不建议使用的方案。尤其你的库外网可访问的话，就更不能这么做了。在 MySQL
转载
2023-08-09 13:20:33
114阅读
认证和授权学习1基于session的认证授权流程一、什么是认证用户认证就是判断一个用户的身份是否合法的过程，用户去访问系统资源时系统要求验证用户的身份信 息，身份合法方可继续访问，不合法则拒绝访问二、什么是授权授权是用户认证通过后，根据用户的权限来控制用户对访问资源的过程，拥有资源的访问权限则正常访问，没有 权限则拒绝访问。授权可以理解为主体(用户)对资源的受限操作三、基于session的认证授权
转载
2024-03-03 08:40:51
191阅读
# 防止绕过登录认证的实现方法
在现代web应用中，用户身份验证是确保用户安全的重要环节。尤为重要的是要防止用户绕过登录认证。这篇文章将帮助你理解如何有效地实现这一目标。
## 整体流程
我们可以将实现防止绕过登录认证的流程分为以下几个步骤：
| 步骤 | 描述 |
|-------------|---------
原创
2024-10-15 04:14:19
99阅读
因为自己搭建的环境存在一些问题，可能是版本过高的原因，(奇奇怪怪的问题，用户没有权限)，所以目前仅仅做概念性验证，对漏洞的原理进行分析。
原创
2023-07-25 16:37:13
235阅读
# Android 启动绕过安全认证的实现指南
在Android开发中，有时候我们可能需要绕过某些安全认证（如PIN码、密码、指纹等）进行测试或其他目的。以下是实现这一目标的流程、步骤及代码示例。
## 流程概述
为了实现绕过安全认证，我们可以遵循以下步骤：
| 步骤 | 描述
原创
2024-08-17 03:44:51
96阅读
因为自己搭建的环境存在一些问题，可能是版本过高的原因，(奇奇怪怪的问题，用户没有权限)，所以目前仅仅做概念性验证，对漏洞的原理进行分析。
原创
2023-07-29 19:22:06
129阅读
Mysql 身份认证绕过漏洞（CVE-2012-2122）当连接MariaDB/MySQL时，输入的密码会与期望的正确密码比较，由于不正确的处理，会导致即便是memcmp()返回一个非零值，也会使MySQL认为两个密码是相同的。也就是说只要知道用户名，不断尝试就能够直接登入SQL数据库。受影响版本：MariaDB versions from 5.1.62, 5.2.12, 5.3.6, 5.5.2
转载
2023-08-03 20:02:32
0阅读
输入内容过滤 1.空格 通过fuzz或延时来辅助判断 select * from news where id=(select*from(select(sleep(5)))a)# (1)两个空格代替一个空格，用Tab代替空格，%a0=空格 %20 %09 %0a %0b %0c %0d %a0 %00 ...
转载
2021-10-24 14:38:00
586阅读
2评论
简介Apache Shiro 是 Java 的一个安全（权限）框架。目前，使用Apache Shiro的人越来越多，因为它相当简单，对比Spring Security，可能没有Spring Security做的功能强大，但是在实际工作时可能并不需要那么复杂的东西，所以使用小而简单的Shiro就足够了。对于它俩到底哪个好，这个不必纠结，能更简单的解决项目问题就好了。Shiro 可以非常容易的开发出足
转载
2024-04-08 21:52:00
77阅读
简介文件上传漏洞是web安全中经常利用到的一种漏洞形式。一些web应用程序中允许上传图片，文本或者其他资源到指定的位置，文件上传漏洞就是利用这些可以上传的地方将恶意代码植入到服务器中，再通过url去访问以执行代码。但在一些安全性较高的web应用中，往往会有各种上传限制和过滤，导致我们无法上传特定的文件。 绕过验证方式一、客户端验证绕过这种类型的绕过也非常简单，我们可以关闭浏览器上
