背景 OpenSSL是一个知名的开源安全套接字层密码库。全球成千上万的web服务器的网站加密技术使用OpenSSL。 网银、在线支付、电商网站、门户网站、电子邮件等互联网应用广泛使用OpenSSL实现数据的安全传输和安全存储。 历史上，OpenSSL多次出现安全漏洞。 2014年，OpenSSL爆出Heartbleed（心脏滴血）漏洞，网络出现了“致命内伤”。 心脏滴血称为互联网安全历史上最严重的漏洞之一，当时全球三分之二的网站可被该漏洞攻击。 心脏滴血漏洞的CVE编号是CVE-2014-0160，CVSS3.1打分7.5，属于严重漏洞...

无agent文件的条件下使用Java Instrumentation API 序：Java Instrumentation API 从Java SE 5开始，可以使用Java的Instrumentation接口来编写Agent。如果需要在目标JVM启动的同时加载Agent，可以选择实现下面的方法：  public static void premain(String agentArgs, Instrumentation inst); public...

前言 如果你了解内网渗透，那么应该都对 IPC、黄金票据、白银票据、PTT、PTK 这些老生常谈的词汇再熟悉不过了，对其利用也应该是了如指掌了吧。但是如果你对其背后的所使用的原理还不太了解的话，那么这篇（系列）文章你一定不能错过。 在本篇文章中，我们将对 Kerberos 协议与 Kerberos 认证原理分模块进行详细的讲解，为下篇文章中讲解 Kerberos 认证原理的安全问题做下铺垫。 文中若有不当之处，还请各位大佬师傅们多多点评。 我的博客：https://whoamianony.top/ Kerberos...

根据安全研究人员的说法，下述这些都是全球最臭名昭著的，并且由民族国家资助的组织。 几十年前，当黑客入侵刚刚出现的时候，其大多是网络“发烧友”的“杰作”，他们痴迷于学习有关计算机和网络的一切知识。现如今，民族国家支持的威胁行为者正在开发越来越复杂的网络间谍工具，而网络犯罪分子则针对包含《财富》500强企业、医院、政府机构以及金融机构等在内的一切事物实施攻击，赚得盆满钵满。 网络攻击从未像现在这般复杂、有利可图甚至有些令人难以捉摸。有时，想要在不同类型的活动之间划清界限是一项艰巨的任务。民族国家黑客组织间有时候会为了共同的目标而相互合作，有时候他们甚至会与网络犯罪团伙协同合...

据Verizon 发布的《2020年数据泄露调查报告》显示，超过80%的数据泄露都是黑客利用被盗密码或弱密码导致的。密码安全对于企业，组织和个人用户来说都是非常重要的。但是，很多人并不重视密码安全，甚至不知道什么是强密码。那么，什么是密码安全？强密码和弱密码是什么样的？如果您的组织没有高安全性密码，会有哪些风险?除了创建强密码外，还有其他方式解决密码安全问题吗? 接下来，锐成信息将一一解答，并在最后给出一些快速提高密码安全的小窍门。 什么是密码安全？ 密码安全是使密码和身份验证方法更安全的策略、流程和技术的统称，要让密码安全关键是要知道如何保护密码。密码本身...

概述 距离tp5 rce漏洞公开已经过去两年多，但是在实战中仍然可以遇到很多thinkphp的框架，关于thinkphp的白盒分析文章和rce payload网上已经一抓一大把，所以本文主要以黑白盒结合的形式谈谈如何在黑盒下对tp网站进行测试。 tp5的渗透要点 （最最常规payload一把梭.哈的情况就不讨论了） 以下渗透思路以5.0.*列举 开启debug下的数据库连接 tp5.0.*在debug模式下如果在数据交互点构造如sql注入、空参数等方式使数据库查询等出错，在一定情况下可能导致数据库账号密码直接显示出来。（报错信息太细了不...