文章列表

Web安全回复40次

Struts2远程代码执行漏洞分析（S2-013）

微博看到的所以转来 by 空虚浪子心 http://www.inbreak.net 微博：http://t.qq.com/javasecurity摘要Apache官方的struts2产品，最近出了一个远程代码执行漏洞，编号“S2-013”，目前是0DAY，官方没有修补方案出现。http://struts.apache.org/development/2.x/docs/security-bulletins.html — （公告）

2013-5-21 19:37 40 6903

phpcms_v9.3.2某管理模块逻辑校验漏洞

在文件\modules\sms\sms.php中：class sms extends admin { function __construct() { $this->log_db = pc_base::load_model('sms_report_model'); $this->module_db = pc_base::load_model('module_model'); $this->member_db = pc_base::load_model('member_model'); //获取短信平台配置信息 $siteid

2013-5-21 11:15 11 3622

安全资讯回复7次

Android平台下Mysql注入工具DroidSQLi

吊丝工具DroidSQLi是Android下的第一个自动化MySQL注入工具。它可以让你对基于MySQL的Web应用程序进行SQL注入攻击测试。DroidSQLi支持以下注入技术： - 基于时间注入- 盲注- 基于错误注入- 普通注入它会自动选择使用最好的技术，并采用一些简单的方法躲避滤器。下载地址https://play.google.com/store/

2013-5-21 09:11 7 4364

优酷网(youku.com)多个分站多处反射型XSS跨站漏洞

2013-5-19 17:31 1 5498

从数次at匹配正则的改进谈论坛用户名的混乱与矫正

一、技术问题：对于@的正则，知乎上有个参考，虽然不是php的：像微博中的‘@用户名’和‘#话题#’这个正则表达式怎么写【一】匹配 @用户名首先分析下微博中从哪里开始到哪里结束才是一个完整的用户名，按照常规的表现形式，一般是以@开头，以：结尾，中间为用户的名称。匹配表达式就可写为： @+ 这

2013-5-17 22:51 10 891

去哪儿网(qunar.com) 酒店直销预订系统权限控制不严导致信息泄露漏洞

2013-5-17 18:20 1 5848

手机乐园(shouji.com.cn)手机游戏分站相同参数未过滤导致的多处反射型XSS跨站漏洞

2013-5-17 18:01 1 4886

美国多所大学遭黑客入侵，部分数据泄露

日前，国外黑客组织Ag3nt47成功入侵麻省理工学院、斯坦福大学以及哈佛大学，并且在网络公布了几所大学的详细信息。Ag3nt47在Twitter上宣布了他们发现了这三所大学的SQL注入漏洞，允许黑客破坏服务器以及拖取工作人员和学生的数据。泄露的数据包含了用户名、地址和电子邮件。地址如下：麻省理工学院htt

2013-5-17 15:32 1 2088

关于冰封的《DEDECMS 通杀鸡肋注入一枚》利用exp 原60字符限制突破利用

我这里就直接复制了╮(╯▽╰)╭sorryDedecms 二次注入经典exp构造原60字符限制突破利用发表回复0×01 前言作者：Tycx2ry@SafeKey TeamLong long ago,[email protected]发现dedecms二次注入的一个经典代码审计中二次攻击的案例，但限于字段大小不能超过60字节而显得比较鸡肋，在safekeyer集体的智慧之

2013-5-17 10:29 21 5284