V2EX = way to explore
V2EX 是一个关于分享和探索的地方
现在注册
已注册用户请  登录
V2EX  ›  hu5ky  ›  全部回复第 1 页 / 共 5 页
回复总数  85
1  2  3  4  5  
328 天前
回复了 azure2023us559 创建的主题 问与答 api, 提示 error 429
没充钱,体验金到期了。
2021-06-25 22:09:01 +08:00
回复了 jaydenchan 创建的主题 程序员 二本大学,学信息安全好还是计算机好?
学计算机,信安作为拓展。报名一些 CTF 完善编程。
只要之前在学校,有做过安全方面,有成绩,有知识储备粮,都可以申请看看,无论大小企业。如果有名气相对更简单一些
国内在做的漏洞平台,据我所知现在没有任何一家公开漏洞详情的。顶多撑死了就是几句模糊的描述。不存在楼主说的直接公开的情况,再者说我看了楼主的说法还有态度之后。我很明确的说你就是想骗大家,就硬钓,推卸责任就想搞漏洞提交者。
2019-12-19 19:54:41 +08:00
回复了 N0phone 创建的主题 信息安全 有没有做渗透的 V 友
渗透吃经验啊,多学学应该能搞
2019-07-17 20:24:16 +08:00
回复了 onice 创建的主题 信息安全 安全工程师加班吗?
你是不是觉得头还不够秃?加班?我们安全行业叫做玩命。
2019-07-02 15:53:48 +08:00
回复了 hu5ky 创建的主题 问与答 选择困难症,求助
@pityto 已经决定就买微星了,唉,选的头大
2019-06-27 15:51:20 +08:00
回复了 gcc2000 创建的主题 信息安全 迫于水平有限,求几道面试安全专家的问题
问:拿到一个待检测的站,你觉得应该先做什么?
答:收集信息 whois、网站源 IP、旁站、C 段网站、服务器系统版本、容器版本、程序版本、数据库类型、二级域名、防火墙、维护者信息另说...

问:如何突破注入时字符被转义?
答:宽字符注入
hex 编码绕过

问:代码审计常见易出问题函数
答:eval,preg_replace+/e,assert,call_user_func,call_user_func_array,create_function

文件读取:file_get_contents(),highlight_file(),fopen(),read file(),fread(),fgetss(), fgets(),parse_ini_file(),show_source(),file()等

命令执行:system(), exec(), shell_exec(), passthru() ,pcntl_exec(), popen(),proc_open()

问:token 和 referer 做横向对比,谁安全等级高?
答:token 安全等级更高,因为并不是任何服务器都可以取得 referer,如果从 HTTPS 跳到 HTTP,也不会发送 referer。并且 FLASH 一些版本中可以自定义 referer。
但是 token 的话,要保证其足够随机且不可泄露。(不可预测性原则)

问:对 referer 的验证,从什么角度去做?如果做,怎么杜绝问题
答:对 header 中的 referer 的验证,一个是空 referer,一个是 referer 过滤或者检测不完善。
为了杜绝这种问题,在验证的白名单中,正则规则应当写完善。

问:涉及到 Jsonp 的安全攻防内容有哪些?
答:JSON 劫持、Callback 可定义、JSONP 内容可定义、Content-type 不为 json。

问:mysql 的网站注入,5.0 以上和 5.0 以下有什么区别?
答:5.0 以下没有 information_schema 这个系统表,无法列表名等,只能暴力跑表名。
5.0 以下是多用户单操作,5.0 以上是多用户多操做。

问:宽字节注入产生原理以及根本原因
答:产生原理
在数据库使用了宽字符集而 WEB 中没考虑这个问题的情况下,在 WEB 层,由于 0XBF27 是两个字符,在 PHP 中比如 addslash 和 magic_quotes_gpc 开启时,由于会对 0x27 单引号进行转义,因此 0xbf27 会变成 0xbf5c27,而数据进入数据库中时,由于 0XBF5C 是一个另外的字符,因此\转义符号会被前面的 bf 带着呗"吃掉",单引号由此逃逸出来可以用来闭合语句。

根本原因
character_set_client(客户端的字符集)和 character_set_connection(连接层的字符集)不同,或转换函数如,iconv、mb_convert_encoding 使用不当。
2019-06-15 23:55:52 +08:00
回复了 Ionian 创建的主题 信息安全 信息安全专业怎么样啊?有人可以来讲讲吗?
@DaCong 看情况喽
2019-06-12 19:44:52 +08:00
回复了 hu5ky 创建的主题 问与答 使用 Python 抓取当前网站加载的 JS 地址问题
@x66 O 了,我去了解一下
2019-06-12 19:44:28 +08:00
回复了 hu5ky 创建的主题 问与答 使用 Python 抓取当前网站加载的 JS 地址问题
@Jirajine 已经在着手了
2019-06-02 23:15:26 +08:00
回复了 xmlf 创建的主题 信息安全 网站数据库被插入一些代码,请大佬帮忙分析起什么作用?
@xmlf 不知道他的点在哪,光是看语句来对比没猜错就是扫描器跑出来的
2019-06-02 13:54:47 +08:00
回复了 xmlf 创建的主题 信息安全 网站数据库被插入一些代码,请大佬帮忙分析起什么作用?
扫描器在扫描时候产生的
2019-05-19 13:54:44 +08:00
回复了 wesall100200 创建的主题 职场话题 如何劝同事换一台笔记本来上班?
啥都嫌弃,啥都忍不了不如你辞职吧。人家用什么是人家的权力你没有资格强制要求别人按照自己要求来,先把自己活明白再说。
2019-04-16 15:47:38 +08:00
回复了 xiaocongcong 创建的主题 全球工单系统 淘宝 app 整晚后台偷偷自启偷电, ios 系统
实际上安卓的淘宝也是会悄悄自启动的,主要是禁止自启动以后它依旧启动
微信的逻辑机制很垃圾,提交过问题,,他们忽略了,那怎么办
2019-03-02 11:08:39 +08:00
回复了 jss 创建的主题 PHP 请教一下:如何生成可以防穷举的数字编号
加密
2019-02-06 19:38:30 +08:00
回复了 aaa5838769 创建的主题 全球工单系统 微信零钱通来领取工单
@zheqi 截图看看那是个啥
2018-11-12 00:32:05 +08:00
回复了 skyjerry 创建的主题 全球工单系统 腾讯,你家产品又出事了,这次是 QQ!
@leido 你阔能语文不好,,楼主的意思是,可以利用这个风控的 BUG,恶意冻结群友 QQ。我的天哪
2018-11-08 22:50:12 +08:00
回复了 hu5ky 创建的主题 编辑器 win 系统下用什么大文本处理工具方便呢?
@345161974 OK,我去试试
1  2  3  4  5  
关于   ·   帮助文档   ·   博客   ·   API   ·   FAQ   ·   我们的愿景   ·   实用小工具   ·   982 人在线   最高记录 6543   ·     Select Language
创意工作者们的社区
World is powered by solitude
VERSION: 3.9.8.5 · 878ms · UTC 21:57 · PVG 05:57 · LAX 14:57 · JFK 17:57
Developed with CodeLauncher
♥ Do have faith in what you're doing.