14x Security Team

安卓逆向smail破解：0元无限制购钻石案例声明：只是作为本地测试，切勿用于非法用途！通常我们在购买的时候，点击需要支付，我们可以尝试绕过的方法，来逃过支付，并获得钻石这里主要分析了一下这里是const-string v0,”9000”关键是这里“”：if-eqz v0, :cond_0如果eqz,等于v0成立，那么就跳到cond_0、cond_0在哪里呢可以发现是跳转到cond_0，然后这里有一个调用    invoke-virtualsetD...

安卓逆向smail破解小试-->注册码破解长期搞web渗透的朋友，APP业务逻辑测试的朋友，不妨关注一下java安卓逆向破解类的东东首先要明白这个概念，这在逆向破解中是非常常见的"if-eq vA, vB, :cond_**" 如果vA等于vB则跳转到:cond_**"if-ne vA, vB, :cond_**" 如果vA不等于vB则跳转到:cond_**"if-lt vA, vB, :cond_**" 如果...

fastjson全版本rce利用工具工具来自于old Team POC test for multiple versions of payload, adding log4j2 cookie injection test...

fastjson反序列化漏洞反弹shell案例现在最新的fastjson漏洞也出来了最初是工作中的一次漏洞挖掘过程目标：http://www.xxx.net/#/站点功能很多分站也很多挖漏洞思路还是那些套路吗Site:网站二级域名爆破，旁注，C段，端口，服务，登陆接口逻辑，等等 解析IP，查询旁站，发现一个二级域名在API接口发现了http://www.xxx.net/api/hotProduct/list问题貌似是json数据于是尝试json DNSLOG.cn构...

Javascript函数审计分析进阶版案例-二次函数绕过使用功能/间接跳过函数校检漏洞成因：由于前端BindUpdateUserClickEvent()函数代码段存在问题，导致二次函数绕过，默认的AntiForgery也许是隐患我们在分析JS函数的时候，需要注重全文通读，因为你只要通读了他的整个过程，代码事件你才知道如何去利用薄弱环节，漏洞点，完成漏洞复现案例1：间接跳过函数强校检打开源代码进行分析首先分析了一下函数我们简单分析了一下 var regex = new...

javascript审计分析之-前端用户任意密码登陆漏洞1.审计前端javascript的一些技巧这里如何去注意技巧，首先是查看源代码，看到很多函数，先理解一下整个函数过程，然后再去对函数之间的关系进行梳理。2.审计哪些函数可以被调用，哪些不能被调用可以调用的函数是指当前前端在用户功能上相对应的函数，这里需要注意是功能函数的实现方法，不能被调用的是指函数之间的参数引用多处，有的函数在APP端，那么在网站端接口，如果进行调用，那么意义不大，就像做白盒代码审计，去回溯静态跟踪，你...

两款功能强大的网络安全资产扫描引擎W12Scan：一款功能强大的网络安全资产扫描引擎https://github.com/boy-hack/w12scanlinglonghttps://github.com/awake1t/linglong...

sqlmap支持https代理注入方式--level 5 --risk 3 --dbms MYSQL --tamper=between,bluecoat,charencode,charunicodeencode,equaltolike,greatest,halfversionedmorekeywords,ifnull2ifisnull,modsecurityversioned,modsecurityzeroversioned,multiplespaces,nonrecursi...

Log4J2 fastjson一键漏洞利用工具反弹shell使用说明在开启python3开启http 服务器，marshalsec-开启ldap服务以及NC监听端口情况下执行json数据即可反弹成功就会收到信息...

Log4J2 fastjson一键漏洞利用工具工具出自old Team安全团队打开dnslog.cn生成一个可以用的然后添加到val里点击执行如果存在漏洞，验证结果就会有回显如果有的网站需要cookie请自行添加Log4j方法类似 ...