原创 Access-control-allow-origin:*並沒有實際危害（更新）
一、網站一般在需要共享資源給其他網站時（跨域傳遞數據），纔會設置access-control-allow-origin HTTP頭。而跨域傳遞數據也可以使用jsonp方式 二、如果www.a.com域設置了access-control
2020-06-15 13:54:33
原创 以太坊區塊鏈安全學習
一、區塊鏈安全學習參考 1、https://cryptozombies.io/zh/course 2、https://ethernaut.zeppelin.solutions/ 這個區塊鏈CTF 3、https://blog.trail
2020-06-15 13:54:33
原创 python多線程、多進程、異步（協程）簡單使用
1、多線程、多進程 I/O密集（下載、讀寫文件）任務使用多線程 CPU密集任務使用多進程 import threading def runner(p): print(p) t = threading.Thread(targe
2020-06-15 13:54:33
原创 OpenSSH用戶名枚舉及其檢測方法
原文：https://seclists.org/oss-sec/2018/q3/125 最新版本OpenSSH服務在接收到畸形的認證請求包時，會根據用戶名的存在與否給出不同的響應，由此導致通過SSH服務枚舉服務器的用戶名。而/etc/pa
2020-06-15 13:54:33
1
原创 遠程終端管理工具screen & tmux使用
在linux服務器長時間執行腳本，需要看詳細日誌，screen較爲方便。若要分多個屏，tmux更方便 # screen 開啓日誌 vi /etc/screenrc 增加一行：logfile /tmp/screenlog_%t.log
2020-06-15 13:54:33
原创 python解析http包併發送
複製fiddler等抓包軟件中的請求數據，可使用下面代碼直接重發 #coding:utf8 import requests,urllib3 import sys, os urllib3.disable_warnings(urllib
2020-06-15 13:54:33
原创 Android&Ios抓https包
Android Android 7之後，用戶安裝的證書在APP的默認配置下是不被信任的，只能通過重打包APP，或root手機之後導入證書，或frida腳本hook繞過 導入證書到system分區，可參考magisk的mount大法 ad
2020-06-15 13:54:33
5
原创 Ubuntu18.04 VNCserver配置
環境 Ubuntu 18.04桌面版 本地桌面使用gnome，vncserver使用xfce4作界面，xfce相對輕量級 vncserver使用tightVNC 安裝 sudo apt install xfce4 xfce4-goodie
2020-05-11 16:39:56
原创 chrome瀏覽器模擬鼠標點擊插件clicker
主要功能：瀏覽器插件自動點擊網站，將流量導入代理掃描器進行掃描 源碼：https://github.com/zzzzfeng/Clicker # 用法 - git clone [email protected]:zzzzfeng/Clicke
2020-04-15 16:05:51
6
原创 android app 升級劫持
Android APP升級劫持 劫持Android APP升級，引到用戶安裝惡意APP APK升級過程 服務器檢查是否有升級包：https/http，返回包下載鏈接+包hash值 下載升級包：https/http 校驗包hash值，保存S
2020-02-21 02:17:53
原创 基於androguard編寫Android app漏洞掃描工具
背景 androguard是Android靜態分析工具，可以解析APK/DEX文件，並提供相關操作API 比如get_xref_from和get_xref_to，可以得到某個函數被哪些函數調用過和調用過哪些函數。通過合理的使用這些API，
2020-02-21 02:17:53
原创 基於mitmproxy的代理漏洞掃描器
前言 mitmproxy是一個代理/抓包工具，類似fiddler、charles、burp suite等。其中burp suite可以直接用來作爲代理掃描捕獲到的流量是否存在安全漏洞，但burp適合小範圍使用，且容易卡死。 本文介紹一種基
2020-02-21 02:17:53
1
原创 samesite cookie安全特性
Chrome 這幾天發佈的 80 版本更新了 “Same Site Cookie” 的安全特性 下面是一篇介紹文章 https://textslashplain.com/2019/09/30/same-site-cookies-by-de
2020-02-21 02:17:52
原创 Electron(nodejs)桌面應用安全性checklist
關於electron electron是chromium和nodejs的組合，主要使用了chromium的瀏覽器功能，並使用nodejs擴展了其文件系統訪問、命令執行等功能。 由於使用的是chromium的content模塊（渲染庫），而
2019-10-25 16:39:38
36
原创 mtopsdk(淘寶系android app使用的sdk)強迫請求通過代理進行抓包
背景 android app抓包，會出現http包不走fiddler等代理的情況，譬如淘寶系、支付寶系app etao app使用mtopsdk，https://acs.m.taobao.com/下的請求都抓不到 本文分析了com.tao
2019-06-10 17:44:51
82