有段时间没学Kali里面的工具了 以前做信息收集的时候呢，忘记了两个很强大的工具：Maltego、Exiftool   先来看看Maltego： 这个工具不仅可以方便地收集DNS信息等等，强大地地方还在于可以具体形象地展示出来 具体简介可以百度，下面介绍使用方法  ...[2019/2/1]

网站被攻击，首先牵扯到的就是网站的开发语言，包括了代码语言，以及数据库语言，目前大多数网站都是使用的PHP，JAVA，.net语言开发，数据库使用的是mysql，oracle等数据库，那么网站被攻击了该怎么办？运营一个网站，总被攻击是时有发生的，尤其一些公司网站，以及个人建站，都是没有专职的安全技...[2019/1/29]

使用tor实现对网络的匿名访问 0x01基础环境准备 Ubuntu 16.04 描述：公网的一台VPS，tor服务所在的机器 Kali Linux 描述：本地内网的一台linux机器，用来使用tor网络     0x02 在公网vps安装tor 1）添加tor的官方更...[2019/1/28]

大清早的一上班收到3个网站客户的QQ联系，说是自己公司的网站被跳转到了北京sai车，cai票，du博网站上去了，我们SINE安全公司对3个网站进行了详细的安全检测，发现这3个客户的网站都是同样的症状，网站首页文件index.php,index.html都被篡改添加了恶意的代码。网站在百度的快照也被...[2019/1/28]

靶机说明 目标ip:172.16.53.28（window 2003） 本靶机所针对的序列化漏洞系列以及常见安全问题如下： 弱口令登陆控制台部署war包webshell CVE-2018-2893 CVE-2018-2628 CVE-2017-10271 CVE-2017-3248 CVE-...[2019/1/28]

基于RC4加密算法的图像加密 某课程的一个大作业内容，对图像加密。项目地址：https: gitee.com/jerry323/RC4_picture 这里使用的是RC4（流、对称）加密算法，算法流程网上可以找到很多例子，这里就不做介绍了。主要想法是提取图像每个通道的数据，直接作为一个字节流...[2019/1/28]

在目前的信息安全大潮之下，人才是信息安全发展的关键。而目前国内的信息安全人才是非常匮乏的，拥有国际信息安全认证的人才，在未来职业发展、升职加薪的道路上必将优于普通的信息安全从业者。 果哥今天推荐2018年度最火的新贵零门槛认证，希望可以给您的未来职场路添砖加瓦。   推荐01.&n...[2019/1/25]

众所周知，信息安全认证界有一个扛把子的证书叫CISSP（国际信息安全专家认证），一般拥有CISSP证书的小哥哥还会选择考取另一个认证，这就是今天给大家介绍的CISM（国际注册信息安全经理）。CISM是针对信息安全经理人，重点已经不再是个别的技术或者是技能，而是移转到整个企业的信息安全管理。 &n...[2019/1/25]

一、MD5 MD5是一种加密算法，在调用这个算法的时候，提供一个密码明文，调用的结果得到一个32位长度的密文。相同的字符串，如果多次调用Md5算法，结果完全一样，并且无法被逆向解密。 二、bcrypt加密算法 在项目中使用bcrypt加密算法的步骤 安装： 终端运行npm i n...[2019/1/25]

Conmajia January 24, 2019 前几周，合伙人让我给他发几个旧项目的数据。翻箱倒柜之后，我发现那些数据都在旧硬盘上，还被格式化了，しまった。虽说这东西我都淘汰好几年了，不过机械硬盘，没准儿还有救，死马当活马医呗。于是我试着恢复数据，不行再拿出去开盘。 我下载了一堆古今中...[2019/1/25]

事件回顾 拼多多官宣如下 “1月20日晨，有黑灰产团伙通过一个过期的优惠券漏洞盗取数千万元平台优惠券，进行不正当牟利。针对此行为，平台已第一时间修复漏洞，并正对涉事订单进行溯源追踪。同时我们已向公安机关报案，并将积极配合相关部门对涉事黑灰产团伙予以打击。 ????” 拼多多一夜间被薅了千万...[2019/1/23]

前段时间以太坊升级架构，君士坦丁堡的硬分叉一个升级代号，被爆出含有高危的网站漏洞，该漏洞产生的原因是由于开启了新的协议模式eip1283导致的，也是区块链漏洞当中危害较为严重的，可以让一些交易进行重入，一个转账可以导致写入2次，但该漏洞并不是确实的可以进行重入漏洞。以太坊区块链在发现该漏洞之后，紧...[2019/1/22]

几天前，亲身经历了被攻击-成为挖矿肉鸡的经历，先将脚本部分公布。 1 #!/bin/bash 2 mkdir /var/tmp 3 chattr -i /usr/bin/wget 4 chmod 755 /usr/bin/wget 5 chattr -i /usr/bin...[2019/1/22]

注：本文是学习网易Web安全进阶课的笔记，特此声明。 查库，select schema_name from information_schema.schemata; 查表，select table_name from information_schema.tables where table_...[2019/1/22]

2019年1月14日消息，thinkphp又被爆出致命漏洞，可以直接远程代码执行，getshell提权写入网站木马到网站根目录，甚至直接提权到服务器，该漏洞影响版本ThinkPHP 5.0、ThinkPHP 5.0.10、ThinkPHP5.0.12、ThinkPHP5.0.13、ThinkPHP...[2019/1/21]

注：本文是学习网易Web安全进阶课的笔记，特此声明。 其他数据库也可以参考寻找注入点。 A： 一、信息搜集（百度） 1、无特定目标 inurl:.php?id= 2、有特定目标 inurl:.php?id= site:target.com 3、工具爬取 spider，爬取搜索引擎的搜索...[2019/1/21]

注：本文是学习网易Web安全进阶课的笔记，特此声明。 一、信息搜集 — 数据库类型 - 报错信息、特有语句 — 数据库版本（@@version，$version） — 数据库用户 — 判断数据库权限 二、数据获取 — 获取库信息 - 当前库、所有库 — 获取表信息 — 获取列信息 — 获取数...[2019/1/21]

越来越多的网站被劫持，像跳转到彩piao网站，du博网站的情况时有发生，很多人可能都会经历过，电脑打开网站，以及手机打开移动端网站都会跳转到其他网站上去，这个就是网站被劫持跳转，那么网站被跳转的背后究竟是因为什么呢？ 攻击者为何要劫持跳转到其他网站呢?SINE安全公司针对于这些安全情况，分析为什么...[2019/1/15]

网络安全领域中基于PCAP流量的数据集 MAWI Working Group Traffic Archive URL：http: mawi.wide.ad.jp/mawi/ CIC dataset Canadian Institute for Cybersecurity datasets are...[2019/1/15]

昨晚凌晨收到新客户的安全求助，说是阿里云短信提示，网站有webshell木马文件被植入，我们SINE安全公司立即成立，安全应急响应小组，客户提供了阿里云的账号密码，随即登陆阿里云进去查看到详情，登陆云盾看到有这样的一个安全提示“网站后门-发现后门(Webshell)文件”事件等级：紧急，影响资产：...[2019/1/11]

2019年元旦很多公司遇到网站被黑的问题,因为大多数网站用的都是一些主流，开源的cms系统开发的程序,还有的公司找的当地网站建设公司去做的网站,而网站天天被黑的遭遇找到网站建设公司也只能解决一时,没过多久网站又被黑了，具体的情况特征以及如何解决网站被黑,下面由国内网站安全公司的Sine安全技术来为...[2019/1/8]

一张图带你了解Python，更快入门，   Python基础语法总结： 1.Python标识符 在 Python 里，标识符有字母、数字、下划线组成。 在 Python 中，所有标识符可以包括英文、数字以及下划线(_)，但不能以数字开头。 Python 中的标识符是区分大...[2019/1/8]

服务端与客户端建立https通信的过程： 一、认证：客户端第一次访问服务端时，要求服务端证明自己合法 1.证书：由服务端申请、第三方CA颁发的，存放在服务端的证书； 　　　　证书包含：服务端的公钥、服务端的基本信息（明文）、CA的信息、签名（对服务端基本信息摘要进行hash计算得到hash值，...[2019/1/7]

骑士CMS是国内公司开发的一套开源人才网站系统，使用PHP语言开发以及mysql数据库的架构，2019年1月份被某安全组织检测出漏洞，目前最新版本4.2存在高危网站漏洞，通杀SQL注入漏洞，利用该网站漏洞可以获取网站的管理员账号密码以及用户账号信息. 目前很多人才网站都使用的骑士CMS系统，受影...[2019/1/4]

利用Dropbox中转自己的C2 0x00 前言 本来的目的呢，是利用dropbox中转自己的c2达到免杀的效果，然后可能是看了文章太久没抓住机会复现，到最后发现已经失效了，会被360拦截，所以好像也没有了太大的意义，不知道各位老哥有没有其它骚操作？ 参考：https: truneski.gi...[2019/1/4]

Crackme0x00 - writeup 我现在开始看radare2book了，现在刚看1/3，有些无聊，因为之前也看过一些radare2的实例讲解，所以现在先试着做一下里面的crackme练习。 先执行一下craceme0x00这个文件，看来是要把密码找出来。 root@kali:~/I...[2019/1/2]

题目链接：http: 123.206.87.240:8002/yanzhengma/ 首先点进这个链接，看到有这样一行验证框 当输入18的时候发现输入框中只能输入一个数字，因此这样我们就可以直接修改网页 代码 这个maxlength的意思就是输入框只能输入一个数字 因此把它的值改为2...[2019/1/2]

iPhone X手机是一款非常有气场的手机，独特的设计，展现手机的独特魅力，手机外观让人一眼就爱上，手感也是超级的舒适，真的是堪称完美，但是iPhone X手机投屏电脑怎么无线连接呢？   使用工具: 电脑（网络正常） 迅捷苹果录屏精灵   操作步骤：? 1、...[2018/12/29]

什么是网站渗透测试？ 该如何做网站安全检测 网站的渗透测试简单来 说就是模拟攻击者的手法以及攻击手段去测试网站的漏洞，对网站进行渗透攻击测试，对网站的代码漏洞进行挖掘，上传脚本文件获取网站的控 制权，并对测试出来的漏洞以及整体的网站检测出具详细的渗透测试安全报告。 渗透测试的流程一般都是要...[2018/12/27]

2018年圣诞节来临之际随着互联网的网站数量不断的庞大增加,随之而来的网站安全问题凸显上升,很多企业网站的百度快照出现被劫持跳转,以及网站快照被劫持在百度中的搜索关键词出现标题描述与网站不相符的问题,导致网站在搜索引擎中的排名大大下降,那么具体是什么原因导致的，网站被劫持该怎么修复解决呢? ...[2018/12/26]

临近2018年底，我们阿里云上的一台ECS服务器竟然被阿里云短信提示有挖矿程序，多次收到阿里云的短信提醒说什么服务器被植入挖矿程序，造成系统资源大量消耗；而且还收到CPU使用率达到百分之90的安全提醒，我们的服务器上并没有运行大量的网站，只是一个公司的展示网站，怎么可能会出现CPU%90以上的告警...[2018/12/26]

使用录屏软件能录制你想录制的任何东西画面，可以同步录制电脑桌面操作、在线会议、游戏、直播视频等所有活动。所以说电脑屏幕录制软件很是贴近生活，一直为我们所需。   使用工具：   电脑 迅捷屏幕录像工具   操作方法：   1、想要在电脑上录...[2018/12/26]

一、 概述 SSL(Secure Sockets Layer 安全套接层),及其继任者传输层安全（Transport Layer Security，TLS）是为网络通信提供安全及数据完整性的一种安全协议。TLS与SSL在传输层对网络连接进行加密。   二、作用 1）认证...[2018/12/25]

在日常生活中，有时候我们需要在电脑上录制视频，那就需要找到一款合适的录像工具，选择迅捷屏幕录像工具就是一个不错的选择，操作简单轻松易上手，美轮美奂的无损画质，教学视频、电影、游戏等都可以进行录制哦！     使用工具： 电脑 迅捷屏幕录像工具 方法/步骤： 1...[2018/12/25]

不管是安卓手机还是苹果手机，更新换代都非常快，手机使用功能也是越来越好，但是手机终究还是手机，没有电脑的屏幕大，所以有时就需要将手机投屏到电脑上，苹果手机无线投屏是怎么操作的呢？下面就来道告诉大家。       使用工具：   电脑 迅捷苹果录...[2018/12/24]

ezweb 主要是序列化问题。没有PHP环境，在线运行的。实例化对象之后修改一下file。然后echo输出序列化的结果。不过下面有一个正则检查。数字前加一个+，影响了正则的匹配，但是对于序列化的还原没有影响。直接写+不生效，于是对+进行URL编码，就绕过了。 <?php cla bab...[2018/12/24]

如今我们的生活学习充满了信息的力量，手机通讯的传播，让我们足不出户就可以了解更多咨询。众所周知，苹果手机和安卓有所不同，所以它们的投屏方式也是不一样，那么安卓手机使用什么屏幕录制工具比较好呢？应该如何使用呢！       使用工具：   手机 ...[2018/12/21]

数据泄露介绍以及历史回顾 类似于 Equifax 这样的大规模数据泄露事件在互联网时代时不时地会发生。上一次如此大规模的数据泄露事件主角应该是雅虎。 继 2013 年大规模数据泄露之后，雅虎在 2014 年又遭遇攻击，泄露出 5 亿用户的密码，直到 2016 年有人在黑市公开交易这些数据时才为大...[2018/12/21]

最近很多公司的网站被劫持跳转到了bo彩、cai票网站上去，客户从百度点击进去会跳转，直接输入网站的域名不会跳转，网站快照也被劫持成bo彩的内容，site查看网站在百度的收录也出现问题，收录了很多cai票内容，有些客户的网站还被百度网址安全中心拦截，提示网站存在违法信息。 那么到底什么是网站被...[2018/12/18]

安恒十一月月赛writeup   昨天做了一下十一月的题目，不才只做出来几道 签到web1 这个是十月的原题，因为忘了截图所以只能提供思路 Web消息头包含了登陆框的密码 输入密码后进入上传页面，上传一句话木马1.jpg， <?php @eval($_PO...[2018/12/17]

在网站安全的日常安全检测当中，我们SINE安全公司发现网站的逻辑漏洞占比也是很高的，前段时间某酒店网站被爆出存在高危的逻辑漏洞，该漏洞导致酒店的几亿客户的信息遭泄露，包括手机号，姓名，地址都被泄露，后续带来的损失很大，最近几年用户信息泄露的事件时有发生，给很多企业，酒店都上了一堂生动的安全课。关于...[2018/12/17]

时间过的真快，转眼就快到18年底了，然而还是没有挣到多少钱。心塞，欠了一屁股债，伤不起。最近在帮某公司做售后服务，刚没去多久，还不是很熟悉店里的情况。貌似前台小妹妹脾气不怎么好， 这不让碰那不让碰的，谁叫她是老板的妹呢~哈...好多客户来修机器都被她弄跑了呀。厉害厉害...于是便有了此文... ...[2018/12/17]

原文链接：https: www.t00ls.net/viewthread.php?from=notice&tid=39385[2018/12/17]

THINKPHP漏洞修复,官方于近日，对现有的thinkphp5.0到5.1所有版本进行了升级，以及补丁更新，这次更新主要是进行了一些漏洞修复，最严重的就是之前存在的SQL注入漏洞，以及远程代码执行查询系统的漏洞都进行了修复，官方本以为没有问题了，但是在实际的安全检测当中发现，还是存在问题，还是可...[2018/12/12]

2018年12月9日，国内某安全组织，对discuz X3.2 X3.4版本的漏洞进行了公开，这次漏洞影响范围较大，具体漏洞是discuz 的用户前段SQL注入与请求伪造漏洞，也俗称SSRF漏洞，漏洞产生的原因首先：php环境的版本大约PHP5.2，dizcuzX3.2 X3.4版本，服务器环境是...[2018/12/11]

0x00 前言 悄悄的说一句，头一次挖到二次注入，我发现我膨胀了！虽然挺简单的，但也是My第一次，第一次！！！！ 首发T00ls 0x01 目录 Sql注入 二次SQL注入 0x02 Sql注入 漏洞文件：\scms\bbs\bbs.php $action=$_GET["action"...[2018/12/10]

  前言 　　HTTPS（全称：Hyper Text Transfer Protocol over Secure Socket Layer 或 Hypertext Transfer Protocol Secure，超文本传输安全协议），是以安全为目标的HTTP通道，简单讲是HT...[2018/12/10]

今天来介绍十个黑客专用的操作系统，它们被白帽黑客用作渗透测试的工具。这里我把 Kali Linux 列为首位，是因为它在渗透测试中非常流行，它的开发团队 Offensive security 同时也是开发  BackTrack 的团队。我们没有列出 ...[2018/12/10]

PbootCMS是网站常用的一款CMS系统，是由国内著名程序开发商翔云科技研发的一套网站CMS系统，免费开源，扩展性较高，使用的企业很多但是避免不了网站存在漏洞，SINE安全对其代码进行安全审计的同时发现该pbootcms 存在严重的漏洞，包含SQL注入获取管理员密码漏洞，以及远程代码注入执行漏洞...[2018/12/7]

1    什么是OPC UA 为了应对标准化和跨平台的趋势，为了更好的推广OPC，OPC基金会近些年在之前OPC成功应用的基础上推出了一个新的OPC标准-OPC UA。OPC UA接口协议包含了之前的 A&E, DA,OPC XML DA or HDA，只使用...[2018/12/6]