Web漏洞分析之——顺瓜摸藤--技术头条 -- 微博大V帮你宣传技术博文开发者头条码农头条

【简介】

在分析一些漏洞时，能从相关的漏洞预警和描述中获取的情报往往很少。

很多时候，只能通过漏洞描述或者补丁中找到漏洞触发点，然而如何利用，如何找到从入口贯通到漏洞触发点的利用链，这时候就需要我们顺瓜摸藤了。

有时候，顺着一个瓜（漏洞触发点），还能摸到很多条藤（利用链）。

点击查看原文 >>

由 @技术头条 2019-04-09 00:28 / 原作者微博：@绿盟科技 / 0个评论

赞过的人： @技术头条

今天才知道，Web网页也能阻止息屏了 (www.zhangxinxu.com)

Chrome和Safari浏览器都支持了名为Screen Wake Lock的API，可以设置Web网页打开的状态下，显示器屏幕不会自动休眠。

by @技术头条 2024-03-21 22:53 查看详情

通过漫游交换进行隐蔽访问的新型后门 GTPDOOR 分析 (paper.seebug.org)

GTPDOOR 是一种基于 Linux 的恶意软件，旨在部署在邻近 GRX（GPRS 交换网络）的电信网络系统中，具有通过GTP-C（GPRS 隧道协议- 控制平面）信令消息传递 C2 流量的功能。这使得 C2 流量能够与正常流量混合，并重新利用可能对 GRX 网络开放且暴露的已允许端口。

by @技术头条 2024-03-12 22:49 查看详情

Web App: 从 HTML 到 Jamstack (zgq.ink)

Web 领域已发展得十分庞杂，就知识规模来说已不是你我一个人可以穷尽。从 Web 前后端开发角度来看，前端当下正流行着 Next.js、Remix 等 SSR 方案、以及 React 后续继续开发的 Server Component 等等；后端方面则搞出了“云原生”相关的一整套技术生态，各路轮子百花齐放，一不留神就容易沉迷其中而难以自拔。

对于开发者来说，越来越重要的事情也是，放下“穷尽一切”的执念，寻找属于自己的一隅落脚之地。在学习精力、时间有限的背景下，关注点也需要开始区分优先级，关于哪些技术细节值得关注，哪些其实不必花太多时间。

在这寻找落脚之地的旅程中，对事物发展的脉络有一个大致的把握，也变得越来越重要。大致也是需要搞清楚，当前 Web 技术大概发展到了什么样的程度，当下有什么问题正在被解决，哪些技术又可能成为历史包袱被淘汰。

想起我自初中开始接触编程至今，冥冥中伴随着 HTML5 技术从萌芽到成熟的过程，当下 HTML5 已融入我们生活方方面面，乃至于已向客户端开发领域进一步扩展。也许可以就我的所见所想，简单理一理其中经历的一些比较关键的形态，也让我对接下来时间精力大概可以投向的方向有所感知。至于技术细节，网络上有着丰富的资料，这里就不再赘述。

by @技术头条 2024-01-17 23:20 查看详情

HTTPS通信过程分析 (l1n.wang)

为什么需要HTTPS？HTTP缺点： 1. 明文传输； 2.C/S两端不存在验证机制，无法确认对方身份，可能存在中间人攻击。

by @技术头条 2024-01-17 23:09 查看详情

被忽视的暗面：客户端应用漏洞挖掘之旅 (gh0st.cn)

客户端应用漏洞是许多人在进行漏洞挖掘和安全测试时容易忽视的领域。随着技术的更迭和攻防手段的升级，客户端应用漏洞也逐渐出现在大众视野中（APT攻击、攻防赛事等等），在本次议题中，我们将重点关注PC侧的客户端应用程序，如即时通讯、远程服务、视频软件等应用，探索其中存在的漏洞和潜在的安全风险。

by @技术头条 2024-01-17 23:06 查看详情

Nginx日志分析-MIME types (ixyzero.com)

Nginx日志的分析，尤其是加白，在不是特别清楚功能和作用的情况下，还是应该细粒度的操作，比如先按照Content-Type加白，就比按照domain维度的加白粒度会更细一点，比按照uri来加白要更方便和准确一点。简单记录一下，方便后面有需要的时候参考。

by @技术头条 2024-01-14 18:57 查看详情

QUIC协议解析与DDoS攻击分析 (blog.nsfocus.net)

QUIC（Quick UDP Internet Connections）协议是一种基于UDP的新型可靠传输协议，目前主要用于HTTP/3.0。近年来，现网中逐步发现了一些基于QUIC协议的DDoS攻击痕迹，并且友商也已经开始了关于QUIC协议的DDoS攻防相关研究。因此，ADS团队针对该协议进行了一系列的分析和实验，为相关的DDoS攻击防御技术研究打下基础。

by @技术头条 2024-01-13 23:43 查看详情

剪映APP的视频特效如何在Web中JS实现 (www.zhangxinxu.com)

视频剪辑软件，无论是桌面端还是手机端，都已经被剪映称霸。其中，有个“特效”的标签页，里面有各式各样的效果。

本文会以pixi.js为基础工具，介绍这里面的特效如何在Web网页中实现。

这里面的特效分为了两种：一种是直接改变当前绘制的滤镜，主要是通过解析.frag后缀的文件后渲染实现，例如模糊，扭曲等效果。另外一种是混合滤镜，专门实现一些氛围特效效果，主要是通过解析MP4视频资源（本质是图片序列），然后使用滤色混合模式实现，例如下雨起雾，烟花绽放等效果。

by @技术头条 2023-11-29 23:40 查看详情

Web App: 从 HTML 到 Jamstack (zgq.ink)

Web 领域已发展得十分庞杂，就知识规模来说已不是你我一个人可以穷尽。从 Web 前后端开发角度来看，前端当下正流行着 Next.js、Remix 等 SSR 方案、以及 React 后续继续开发的 Server Component 等等；后端方面则搞出了“云原生”相关的一整套技术生态，各路轮子百花齐放，一不留神就容易沉迷其中而难以自拔。

对于开发者来说，越来越重要的事情也是，放下“穷尽一切”的执念，寻找属于自己的一隅落脚之地。在学习精力、时间有限的背景下，关注点也需要开始区分优先级，关于哪些技术细节值得关注，哪些其实不必花太多时间。

by @技术头条 2023-11-29 23:36 查看详情

TinyInst 的插桩实现原理分析 (paper.seebug.org)

TinyInst 是一个基于调试器原理的轻量级动态检测库，由 Google Project Zero 团队开源，支持 Windows、macOS、Linux 和 Android 平台。同 DynamoRIO、PIN 工具类似，解决二进制程序动态检测的需求，不过相比于前两者 TinyInst 更加轻量级，更加便于用户理解，更加便于程序员进行二次开发。

本文将通过分析 TinyInst 在 Windows 平台上的插桩源码，来理解 TinyInst 的基本运行原理；为后续调试 TinyInst 的衍生工具(如 Jackalope fuzzing 工具)或二次开发打下基础。

by @技术头条 2023-11-06 22:59 查看详情