Web安全

在去年的12月份,我在知乎上看到了一篇名为《如何在Typora编辑器上实现远程命令执行》 的文章。因此我决定要深入挖掘一下,看看 Typora 是否还有其他漏洞。
过年前做了一下,感觉还是挺有意思的。比赛官方也开源了比赛源码。
XXE或XML外部实体是2017 OWASP Top10漏洞列表中的新问题。这是基于来自安全问题数据库的直接数据证据而引入的唯一的一个新问题。
在 jenkins 中我找到了绕过黑名单的方法,那么同样也有很多框架/程序用的是白名单,一定意义上说必须满足程序正常执行流程的一些类才能够通过白名单的限制,这篇文章主要分享白名单下反序列化的利用姿势和一些个人所想所得。
几星期之前我的一个小伙伴声称他构造了一个“绝对无法绕过的”登录表单。正如我所料,他说的有一定道理,代码看上去的确非常安全,不存在SQL注入、XSS漏洞,这种实现非常完美,直到我注意到他使用的密钥(secret key)为“CHANGEME”。
最近因为需求,需要测量JavaScript单个函数的执行时间,但由于精度问题,遇到了各种各样的问题,在此做简单记录。
2018年11月13日,PhpSpreadsheet 被爆出存在XXE漏洞(CVE-2018-19277),在表格的解压文件中插入UTF-7编码的恶意xml payload,可绕过PhpSpreadsheet 库的安全检查造成XXE攻击。
开发者可以使用Office加载项平台来扩展Office应用功能、与文档内容进行交互。加载项使用HTML、CSS以及JavaScript语言开发,使用JavaScript与Office平台交互。所有的Office产品中都包含对应的API,但本文主要关注的是Outlook这款产品。
感觉这个cms漏洞挖的差不多了,Ectouch好歹也是电商网站又不是给我们写bug来学习代码审计的,后面如果没找到什么有趣的漏洞,为了这个系列完整性我也会去审计一些有其他漏洞的cms。
Check Point Research发现了Epic Game在线平台上的多个漏洞,攻击者可以借助这些漏洞控制任何玩家的账户,浏览玩家个人账户信息、购买V-Bucks和Fortnite游戏内虚拟货币、窃听并记录玩家在游戏内的聊天信息及隐私对话。