hack_man的博客_网络安全

2023世界互联网大会：建设包容、普惠、有韧性的数字世界——携手构建网络空间命运共同体

2023年的世界互联网大会如期而至，这一盛会再次汇聚了全球互联网行业的领袖和精英。本届大会主题为“数字化驱动未来，共创全球互联网新篇章”，凸显了数字化在推动互联网发展中的核心地位，同时也强调了全球合作的重要性。一、亮点纷呈：数字化创新引领互联网发展新潮流作为本届大会的核心理念，数字化贯穿了大会的各个环节。与会者们共同见证了数字化技术如何引领互联网行业的创新与发展。在大会上，人工智能、大数据、云计算

互联网大会

大数据

信息技术

原创 9月前 207 阅读

chatGPT帮我做代码审计--要失业了

chatGPT火不火就不用说了，特别是在it行业应该早就火爆了，不管是开发还是测试用该用着都很爽，作为安全圈里的一员，其实我用着也很爽，今天小试牛刀，让chatGPT帮我审计一下代码，好上步骤了这个是我自己做的代码审计课程，欢迎大佬们捧场，另外后续也会更新chatgpt如何进行审计java系统性代码审计使用java security平台，选择sql注入漏洞，将标红的漏洞代码复制出来，并丢给chat

代码审计

java

开发人员

chatgpt

gpt

置顶原创 2023-04-20 17:43:08 463 阅读

渗透测试工程师的职业发展

前段时间看了一个大哥写的程序员的职业发展，感触很深，这几天晚上就参考大哥的思路结合自身的经历写一下渗透工程师的职业发展之路，顺便也让迷茫中的小伙伴们有个参考。很多干渗透、安全服务、安全运维的人在干了3-5年后面对迷茫期，最近也是很多小伙伴在讨论这个事情，下面我就来写一下我认为一个职业发展，这里只讨论在本专业内的发展，不讨论（抬杠）干了两年回家继承家业，干了两年去创业（卖红薯）了等。如果是在一

工程经验

运维

职业发展

原创推荐 2023-01-05 11:31:56 1193 阅读 3点赞 3收藏 指尖人生

Javaweb中jar包等第三方框架自动化审计

购物网站代码审计开发框架的审计无非是对代码中引入的jar包进行审计，其实这个审计可以认为是一种静态的审计方法，也就是对jar包版本号的审计，这里分两种情况1、直接对jar包扫描 2、maven框架下的审计1、直接对jar包扫描说到扫描，就不得不说工具，对jar包直接的扫描推荐大家使用Dependency-Check工具，他是一个开源的程序，主要用于识别项目依赖项并检查是否存在已知的，公

java代码审计

漏洞挖掘

框架审计

置顶原创 2022-10-19 18:29:32 470 阅读

Fastjson反序列化审计及验证

java代码审计Fastjson反序列化代码审计本项目引入的Fastjson版本为1.2.58，该版本存在反序列化漏洞。已确定了Fastjson版本存在问题，进一步寻找触发Fastjson的漏洞点。我们关注两个函数JSON.parse()和JSON.parseObject(),并且执行函数内参数用户可控Edit-Find->Find in path全局搜索两个关键

json

反序列化

java代码审计

原创 2022-04-02 21:20:46 2478 阅读 yyds干货盘点

Java代码审计之RCE（远程命令执行）

Java代码审计系列课程（点我看看哦）漏洞原理：RCE漏洞，可让攻击者直接向后台服务器远程注入操做系统命令或者代码，从而控制后台系统。出现此类漏洞通常由于应用系统从设计上须要给用户提供指定的远程命令操做的接口。通常会给用户提供一个ping操做的web界面，用户从web界面输入目标IP，提交后，后台会对该IP地址进行一次ping测试，并返回测试结果。而若是设计者在完成该功能时

java

网络安全

java代码审计

原创 2022-03-02 22:58:14 2533 阅读

Mybatis在Java代码审计中的审计方法及修复方法

Java代码审计系列课程前置知识：了解Mybatis框架映射关系mapper定位java代码id定位方法List<User> findByUserNameVuln02(String username);定位到UserMapper.xml中的id <select id="findByUserNameVuln02" parameterType="String" resu

xml

java代码

Mybatis

原创 2022-02-27 15:45:02 685 阅读

AWVS批量扫描支持联动 log4j漏&洞利用专项

0x01 工具介绍本工具针对AWVS14开发扫描扫描脚本，支持常见的CVE\Bug Bounty\常见高危\SQL插件\log4j等漏&洞的，并且支持扫描联合xray、Burp、w13scan等多种部署扫描版本，自定义扫描脚本。0x02 工具详情config.ini 请使用编辑器更改，记事本会改会原有格式。1 【批量添加url到AWVS扫描器扫描】2 【删除扫描器内所有目标与扫描任务】3

自定义

docker

log4j

原创 2022-02-12 14:42:22 1592 阅读

Upload-Labs靶场搭建

upload-labs 靶场注意：该靶场为自建封装了优秀的github开源项目，项目地址为：https://github.com/c0ny1/upload-labs靶场使用说明环境：VMware 系统：RancherOS靶机项目：upload-labs 本文提供的相关工具：VMware-16开源版：https://pan.baidu.com/s/1_qWK9wTx7G1qbpr_OVyqdw?p

压缩包

github

解压缩

文件上传

原创 2022-01-22 22:28:37 1984 阅读 1评论

docker搭建xss平台

下载xss_platformdocker search xss xss平台没有统一的名称，只能按照xss关键词来进行搜索定位到之后进行下载 docker pull wushangleon/xss_platform启动docker，这里我用一个不常用的8001端口做映射 docker run -d --name=xss_platform -p 8001:80 wushangleon/xss_p

docker

搜索

安装配置

原创 2022-01-06 18:00:51 2968 阅读

任意文件读取

文件下载功能在很多web系统上都会出现，一般我们当点击下载链接，便会向后台发送一个下载请求，一般这个请求会包含一个需要下载的文件名称，后台在收到请求后会开始执行下载代码，将该文件名对应的文件response给浏览器，从而完成下载。如果后台在收到请求的文件名后,将其直接拼进下载文件的路径中而不对其进行安全判断的话，则可能会引发不安全的文件下

文件名

文件下载

目标文件

原创 2021-12-24 21:42:14 1009 阅读

DOM型XSS讲解及演示

这里实验使用的是：pikachu靶场：area39/pikachu可以直接使用 docker pull area39/pikachu 下载容器，并启动，也可以使用小编的靶场练习，小编靶场地址：http://150.158.23.229:8000/ 原理：用户请求一个包含JavaScript的特殊URL，会由用户提交。然

xss

安全测试

原创 2021-12-22 10:51:14 2465 阅读

官方博客	全部文章	热门标签	班级博客
了解我们	网站地图	意见反馈

鸿蒙开发者社区	51CTO学堂
51CTO	软考资讯

51CTO博客

hack_man的博客