网曝Nginx 0day LDAP RCE 漏洞
在HW过程中，传出NGINX 0day LDAP RCE 漏洞，目前还没有官方的消息和POC给出，漏洞的真实性和利用危害需要进一步确认，但使用到LDAP功能的Nginx配置，还是建议进行加固。 Nginx配置使用LDAP功能，可以考虑升级Nginx到1.21. … 阅读全文
Fastjson 1.2.47 远程命令执行漏洞利用过程
漏洞简述 Fastjson是阿里巴巴公司开源的一款json解析器，其性能优越，被广泛应用于各大厂商的Java项目中。fastjson于1.2.24版本后增加了反序列化白名单，而在1.2.48以前的版本中，攻击者可以利用特殊构造的json字符串绕过白名单检测，成 … 阅读全文
使用Openresty实现WAF防火墙功能
Openresty简介 OpenResty® 是一个结合了 Nginx 与 Lua 的高性能 Web 平台，其内部集成了大量精良的 Lua 库、第三方模块以及大多数的依赖项。用于方便地搭建能够处理超高并发、扩展性极高的动态 Web 应用、Web 服务和动态网关 … 阅读全文
XSS Hack：获取浏览器记住的明文密码
0x01. XSS获取明文密码的多种方式 我已经感受到Web潮流带来的巨大革新，尤其是最近HTML5越来越火。浏览器们在客户端瓜分着这个Web OS，只要是对用户体验好的功能，浏览器之间就会互相学习，然后去实现，但是实现总是存在一些差异，有些差异是用户体验上的 … 阅读全文
Struts2 方法调用远程代码执行漏洞(S2-032)
概要 2016年4月21日Struts2官方发布两个CVE，其中CVE-2016-3081官方评级为高。主要原因为在用户开启动态方法调用的情况下，会被攻击者实现远程代码执行攻击。 漏洞详情 贡献者 Root 共获得 0 … 阅读全文