X Brute Forcer是一款支持对多种常见CMS实施密码爆破攻击的工具。目前，X Brute Forcer所支持的CMS包括WordPress , Joomla , DruPal , OpenCart , Magento。 简单爆破脚本 [1] WordPress （自动识别用户名） [2] Joomla [3] DruPal [4] OpenCart [5] Magento [6] All （自动识别CMS） 使用 简易命令格式 完整命令格式 ...

预告：如果你对SQL注入方面的攻击与防御技术感兴趣。那么，欢迎你参加我们在3月16号星期五早上九点举办的，免费在线GroupBy会议。 SQL注入已是一个老生常谈的话题，但时至今日仍是我们作为开发人员和数据库专业人员所面临的最大安全风险之一。 每年都有数以百万计的个人用户信息被泄露，这大部分都是由于代码编写过程中SQL查询语句不严谨造成的。其实只要正确的编写，SQL注入是完全可以预防的。 本文我将着重说明人们对SQL注入常见的四个误解。安全无小事，任何人都不应对此抱有任何的幻想！ 观看视频 1.”我的数据库信息并未...

背景介绍  Empire 是一款类似Metasploit 的渗透测试框架，基于python 编写，Empire是一个纯粹的PowerShell 后开发代理，建立在密码安全通信和灵活的架构上。Empire 实现了无需powershell.exe 即可运行PowerShell 代理的功能，从键盘记录器到Mimikatz 等快速部署的后期开发模块，以及适应性通信以避开网络检测，所有这些都包含在以可用性为重点的框架中。 距离Empire 诞生已经过去了很久，其版本也已经随着开发团队进度的逐步深入更新到2.5 版本，但是纵观国内对该框架的渗透测试实战教程几乎为一片空白，所以笔者的首篇...

在国内，存在高考、成人自考、资格证书考试等大大小小的应试项目，对于每一位渴望通过顺利通过考试的人来说，能够提前拿到真题是再好不过。明明知道几乎不可能，但却总有不少人抱着一丝侥幸。正因如此，诈骗团伙才会持续盯着这个群体…… 规模最大的助考诈骗案 助考诈骗团伙与电信诈骗团伙“合作”，利用黑客等途径非法获取个人信息4000余万条，继而发送“提供真题”的短信诱骗考生上钩，诈骗钱款。3月8日上午，14人因涉嫌诈骗罪、侵犯公民个人信息罪等5项罪名在北京海淀法院受审。海淀检察院办案人员介绍，此案是目前全国范围内破获的规模最大、组织层级最全的一起助考诈骗案。 这起助考诈...

1、前言 网上已经有大量的web端接口解析的方法了，但是对客户端的接口解析基本上找不到什么资料，本文主要分析网易云音乐PC客户端的API接口交互方式。 通过内部的代理设置，使用fiddler作为代理工具，即可查看交互流程： 可以大致看一下交互方式，通过HTTPS POST交互，POST了一串params的内容，内容加密，返回JSON内容，我要做的重点就在于解析params的生成方式，用于模拟这次交互。  (Tan1993：这是后续编写的内容，截图很多都是后补的，所以可能会出现使用不同的调试工具，不同的环境，不同的时间等，不影响阅读。另外...

概述 在近期的一次内部渗透测试中，我们需要利用一个Java两级反序列化漏洞。在这篇文章中，我们将告诉大家如何改造Nessus插件，因为该插件原本只能利用一个现有的RCE漏洞，但我们将教会大家如何通过该插件来利用这个漏洞，并在我们的攻击服务器上获取到反向shell。 可能很多同学都知道Java反序列化漏洞，但是两级反序列化漏洞却是近期才提出来的，而且跟Java反序列化漏洞有一些细微的差别。网上有很多关于Java反序列化漏洞的资源，所以我们就不再重复造轮子了，我们待会只介绍这两种漏洞之间的区别。 本文的主要目的是要告诉大家如何武器化Nessus插件，不过别担心，...