iT 邦幫忙::一起幫忙解決難題，拯救 IT 人的一天

0 Like 0 留言 8710 瀏覽

鐵人賽 Security DAY 4

讓Web開發者森77的Hacking Trick 系列第 4 篇

技術 [Day4] HTTP Request Smuggling - HTTP 請求走私

前言上一篇玩完HTTP Method後，接著來玩Request的Data Length吧! 正文概念 HTTP Request Smuggling是一種很獨...

克雷格 ‧ 2021-09-19 ‧團隊打醬油

0 Like 0 留言 8409 瀏覽

鐵人賽 Security DAY 5

讓Web開發者森77的Hacking Trick 系列第 5 篇

技術 [Day5] HTTP Header Injection - HTTP Header 注入

前言在上一篇的HTTP請求走私之後，已經知道HTTP Header也可以被拿來利用，這篇會更直接的透過Header本身實現攻擊。正文簡略介紹當Web應用...

克雷格 ‧ 2021-09-20 ‧團隊打醬油

3 Like 0 留言 5677 瀏覽

鐵人賽 Modern Web DAY 29

前端三十 - 成為更好的前端工程師系列第 29 篇

技術 29. [WEB] 網站常見的資安問題有哪些？

經過一番努力，精心打造的網站眼看就要部屬到正式環境了；但在網站對外之前，你有先仔細思考過你的網站安不安全嗎？在本系列文前面的旅程中，我們討論了許多語言特性、效...

Gary ‧ 2019-10-15 ‧團隊Wow Doge!

0 Like 0 留言 4441 瀏覽

鐵人賽 Security DAY 11

讓Web開發者森77的Hacking Trick 系列第 11 篇

技術 [Day11] SSTI (Server Side Template Injection)

前言系列完成3分之1了，今天來談談SSTI吧正文簡介 SSTI，全稱Server Side Template Injection伺服器模板注入，這是一種將...

克雷格 ‧ 2021-09-26 ‧團隊打醬油

1 Like 0 留言 4168 瀏覽

鐵人賽 Security DAY 7

讓Web開發者森77的Hacking Trick 系列第 7 篇

技術 [Day7] Local File Inclusion / Remote File Inclusion

前言中場休息過後，來看一下LFI和RFI吧! 正文 LFI LFI全稱Local File Inclusion，從字面上就可以大致理解這種攻擊手法，簡單來說就...

克雷格 ‧ 2021-09-22 ‧團隊打醬油

0 Like 0 留言 3786 瀏覽

鐵人賽 Security DAY 21

讓Web開發者森77的Hacking Trick 系列第 21 篇

技術 [Day21] Remote Code Execution

前言你知道Remote Code Execution很嚴重，但你知道有哪些可以觸發RCE嗎? 正文概念只要能夠Remote Code Execution，...

克雷格 ‧ 2021-10-06 ‧團隊打醬油

0 Like 0 留言 3687 瀏覽

鐵人賽 Security DAY 14

讓Web開發者森77的Hacking Trick 系列第 14 篇

技術 [Day14] LDAP Injection

前言 Injection +1 ↑ 正文概念 LDAP全稱Lightweight Directory Access Protoco，輕量目錄訪問協定。LDAP...

克雷格 ‧ 2021-09-29 ‧團隊打醬油

0 Like 0 留言 3489 瀏覽

鐵人賽 Security DAY 3

讓Web開發者森77的Hacking Trick 系列第 3 篇

技術 [Day3] HTTP Verb/Method Tampering - HTTP 動詞竄改

前言相信大家看完上一篇之後，對於HTTP有一個基本的認識了，從這篇開始會介紹一些跟HTTP相關名字有HTTP的一些攻擊。正文在上一篇的HTTP基礎後，我...

克雷格 ‧ 2021-09-18 ‧團隊打醬油

0 Like 0 留言 2841 瀏覽

鐵人賽 Security DAY 8

讓Web開發者森77的Hacking Trick 系列第 8 篇

技術 [Day8] HTTP Response Splitting - HTTP回應拆分

前言回來講講其他HTTP攻擊吧! 正文簡介在Day2的HTTP基礎中，我們已經知道發送一個Request的格式，也知道Request的結尾會有一組CRLF...

克雷格 ‧ 2021-09-23 ‧團隊打醬油

0 Like 1 留言 2830 瀏覽

鐵人賽 Security DAY 9

讓Web開發者森77的Hacking Trick 系列第 9 篇

技術 [Day9] ORM Injection

前言 :你有聽過SQL Injection嗎?:有阿:那你知道怎麼防範嗎?:參數化查詢、ORM...:那你聽過ORM Injection嗎?:= = 正文簡述...

克雷格 ‧ 2021-09-24 ‧團隊打醬油

0 Like 0 留言 2745 瀏覽

鐵人賽 Security DAY 19

讓Web開發者森77的Hacking Trick 系列第 19 篇

技術 [Day19 ] Prototype Pollution - Prototype汙染

前言你使用過Prototype，那你知道它可以被汙染嗎? 正文概念 Javascript的物件透過Prototype機制相互繼承功能(屬性、方法)，這種Ob...

克雷格 ‧ 2021-10-04 ‧團隊打醬油

0 Like 0 留言 2692 瀏覽

鐵人賽 Security DAY 23

讓Web開發者森77的Hacking Trick 系列第 23 篇

技術 [Day23] Session fixation

前言被Netflix fixation了，差點忘記發文正文概念 CWE-384 Authenticating a user, or otherwise...

克雷格 ‧ 2021-10-08 ‧團隊打醬油

0 Like 0 留言 2670 瀏覽

鐵人賽 Security DAY 12

讓Web開發者森77的Hacking Trick 系列第 12 篇

技術 [Day12] XSLT Injection

前言又來Injection了! 正文 XSLT，全稱Extensible Stylesheet Language Transformations，這是一種樣式...

克雷格 ‧ 2021-09-27 ‧團隊打醬油

4 Like 1 留言 2637 瀏覽

技術玩通靈 - Intigriti's 0521 XSS challenge (Clickjacking)

前言這是之前 Huli 大在前端社團分享的國外 XSS 挑戰。最近比較有時間來分享，當時「從0~提交通過」的通靈思路。組字串的細節可以參考 Huli 大後...

通靈亡 ‧ 2021-06-18

0 Like 0 留言 2327 瀏覽

鐵人賽 Security DAY 20

讓Web開發者森77的Hacking Trick 系列第 20 篇

技術 [Day20] Open Redirect - 開放重定向

前言 Open Redirect漏洞除了拿來釣魚，還有呢? 正文概念 Open Redirect常常是被Web開發者忽視的漏洞，這讓攻擊者可以驅使一般正常使用...

克雷格 ‧ 2021-10-05 ‧團隊打醬油

0 Like 0 留言 2265 瀏覽

鐵人賽 Security DAY 25

讓Web開發者森77的Hacking Trick 系列第 25 篇

技術 [Day25] JSON Injection

正文概念 JSON 是一個以純文字為基礎去生成的簡單結構，可以很簡單的與其他應用程式交換資料、傳遞訊息。但若是讓未經驗證的input在應用程式中執行，就會引發...

克雷格 ‧ 2021-10-10 ‧團隊打醬油

0 Like 0 留言 2191 瀏覽

技術寫Web不能不知道的常見網路攻擊：CSRF

CSRF全名是 Cross Site Request Forgery，翻成中文就是跨站請求偽造。攻擊原理因為一般cookie是存放在瀏覽器的，網頁開發者不必...

阿寶 ‧ 2021-06-09

0 Like 0 留言 2106 瀏覽

鐵人賽 Security DAY 15

讓Web開發者森77的Hacking Trick 系列第 15 篇

技術 [Day15] CSV Injection(Formula Injection)

前言寫完一半了，灑花你的使用的Sheet Application安全嗎? 正文概念 CSV是一個用逗號,取值的格式，適合用來作為大量資料在不同應用程式之間的...

克雷格 ‧ 2021-09-30 ‧團隊打醬油

1 Like 0 留言 2055 瀏覽

鐵人賽 Security DAY 2

讓Web開發者森77的Hacking Trick 系列第 2 篇

技術 [Day2] HTTP 基礎

前言本來想要跳過這章直接進入正題，但如果寫那些攻擊原理的時候邊講HTTP的東西，感覺會有點混亂，於是就有了這篇的誕生。正文 HTTP 超簡略介紹 HTTP...

克雷格 ‧ 2021-09-17 ‧團隊打醬油

0 Like 0 留言 1981 瀏覽

鐵人賽 Security DAY 26

讓Web開發者森77的Hacking Trick 系列第 26 篇

技術 [Day26] Business Logic Vulnerabilities - 商業邏輯漏洞

前言前面介紹過很多各種各樣的web application攻擊手法，今天來介紹Business Logic中引發的問題正文 Business Logic E...

克雷格 ‧ 2021-10-11 ‧團隊打醬油

0 Like 0 留言 1977 瀏覽

鐵人賽 Security DAY 1

讓Web開發者森77的Hacking Trick 系列第 1 篇

技術 [Day1] 讓開發者森77之前

前言這個系列主要會介紹一些Web Application攻擊手法和一些Real World的案例以及Windows/Linux的Privilege Escal...

克雷格 ‧ 2021-09-16 ‧團隊打醬油

0 Like 0 留言 1943 瀏覽

鐵人賽 Security DAY 18

讓Web開發者森77的Hacking Trick 系列第 18 篇

技術 [Day18] Null byte Injection

前言 %00 正文概念 Null byte Injection是一種將Null Byte(如%00或0x00)注入到某個input中，來bypass一些Sec...

克雷格 ‧ 2021-10-03 ‧團隊打醬油

1 Like 0 留言 1837 瀏覽

鐵人賽 Security DAY 22

讓Web開發者森77的Hacking Trick 系列第 22 篇

技術 [Day22] Websocket Injection

前言 :Websocket除了能建立一個雙向通訊通道外，還能幹嘛? :當然是拿來Injection阿正文概念 Websocket允許客戶端或Server建立...

克雷格 ‧ 2021-10-07 ‧團隊打醬油

0 Like 0 留言 1696 瀏覽

鐵人賽 Security DAY 16

讓Web開發者森77的Hacking Trick 系列第 16 篇

技術 [Day16] Arbitrary File Upload

前言上班倒數 QQ 正文概念不管你是要繳交各種報名資料，申請某公司職位或是各種社交帳號和通訊軟體，都會遇到需要上傳功能的時候。若是這些服務，沒有好好檢查用...

克雷格 ‧ 2021-10-01 ‧團隊打醬油

0 Like 0 留言 1671 瀏覽

鐵人賽 Security DAY 13

讓Web開發者森77的Hacking Trick 系列第 13 篇

技術 [Day13] Web Cache Poison

前言你聽過Web Cache，那Web Cache Poison呢? 正文概念 Cache就是將內容留存一份在Cache Server/Service中，讓...

克雷格 ‧ 2021-09-28 ‧團隊打醬油

1 Like 0 留言 1033 瀏覽

鐵人賽 Security DAY 1

你懂資安資安就會幫你! CompTIA Security+ (SY0-601) 到底在講什麼！！系列第 1 篇

技術 [Day1] “你懂資安資安就會幫你" 資訊安全簡介

前言：資安其實都是我一直想要了解的部分，但其實資訊都是比較分散，剛好誤打誤撞參加了CompTia security 證照班，想趁鐵人賽時候整理一些簡單入門的資...

馬克棒子 ‧ 2023-09-02 ‧團隊我在鐵人賽烙賽、也在外木山裸泳◑ω◐

0 Like 0 留言 1012 瀏覽

鐵人賽 Security DAY 17

讓Web開發者森77的Hacking Trick 系列第 17 篇

技術 [Day17] XML Signature Wrapping

前言你的簽名安全嗎? 正文概念正常狀況下，對已簽名的數據做出任何修改的動作，都會被接收此message的Web Service輕易檢測到。但是，XSW(X...

克雷格 ‧ 2021-10-02 ‧團隊打醬油

0 Like 0 留言 937 瀏覽

鐵人賽 Security DAY 3

你懂資安資安就會幫你! CompTIA Security+ (SY0-601) 到底在講什麼！！系列第 3 篇

技術 [Day3] 駭客分類＆攻擊者分類

今天來介紹駭客的不同的類型，每種類型都有不同的動機和目標。以下是5種常見的駭客類型： 1. Black hats（黑帽駭客）：黑帽駭客是那些惡意的、攻擊性的駭...

馬克棒子 ‧ 2023-09-04 ‧團隊我在鐵人賽烙賽、也在外木山裸泳◑ω◐

0 Like 0 留言 843 瀏覽

技術【Hacker101 CTF】Micro-CMS v1：如何製造XSS可攻擊的程式碼？

當頁面的內容可以允許使用者輸入，例如：線上筆記軟體, 聊天對話框，如果沒有適當的檢核直接進行儲存，甚至進行執行，就有可能有XSS的疑慮。 /* 正常下 */ c...

rayminqaq ‧ 2023-07-23

0 Like 0 留言 624 瀏覽

鐵人賽自我挑戰組 DAY 24

為了成為更好的前端，我開始在乎的那些事系列第 24 篇

技術 [Day 24] 網路常識 - (10) TCP connection 沒有你想像的簡單！細談大量 TCP 連結的效能問題和資安問題

在建立 TCP connection 時，實際情況不是發出一個 request，server 就會馬上處理，可能同時還有許多 user 想建立 TCP conn...

bensonchen3418 ‧ 2023-10-09