记录黑客技术中优秀的内容, 传播黑客文化,分享黑客技术精华

Frida Java Hook 详解(安卓9):代码及示例(上)

Frida Java Hook 详解(安卓9):代码及示例(上) 前言 1.1 FRIDA SCRIPT的"hello world" 1.1.1 "hello world"脚本代码示例 1.1.2 "hello world"脚本代码示例详解 1.2 Java层拦截普通方法 1.2.1 拦截普通方法脚本示例 1.2.2 执行拦截普通方法脚本示例 1.3 Java层拦截构造函数 1.3.1 拦截构造函数脚本代码示例 1.3.2 拦截构造函数脚本代码示例解详解 1.4 Java层拦截方法重载 1.4.1 拦截方法重载脚本代码示例 1.5 Java层拦截构造对象参数 1.5.1 拦截构造对象参数脚本示例 1.6 Java层修改成员变量的值以及函数的返回值
发布时间:2020-05-28 12:38 | 阅读:2106 | 评论:0 | 标签:移动安全 api FRIDA Frida Java Hook HOOK JS 匿名函数 回调函数 安卓 拦截 方法重载

如何在社交媒体广告中使用地理位置

在社交媒体广告中使用地理定位已不仅是暂时的热潮。越来越多的公司正在使用基于位置的广告来提高其广告投放的效果。而且,他们不会感到失望,因为一项研究显示,百分之八十的营销人员发现,基于位置的广告和营销可以更好的促进其客户群的增长。并且他们还看到了其他指标的显著改进,例如响应率,客户参与度和投资回报率(ROI)。   此外,使用基于地理位置的数据还使这些公司能够更多地了解其客户。结果,它们可以更好地适应客户的需求和兴趣。   资料来源:Factual的《 2018年基于位置的营销报告》   将地理位置数据转化为广告活动的燃料确实是一种有利可图的策略,通过使用诸如IP Geolocation API之类的工具,该策略才有可能实现。   考虑到地理位置数据的所有好处,请想
发布时间:2020-05-11 18:30 | 阅读:5279 | 评论:0 | 标签:安全文献 api Geolocation IP ROI 地理位置 地理定位 营销

金融安全热点:《商业银行应用程序接口安全管理规范》快速解析

据中国信通院所发布的《中国数字经济发展与就业白皮书2019年》显示,2018年,我国数字经济规模达到31.3万亿元,按可比口径计算,名义增长20.9%,占GDP比重为34.8%。近年来,数字化经济转型作为各行业转型升级的重要发展方向,各种形式的数字化转型表现形式如雨后春笋般蓬勃发展。银行业作为中国金融行业的重要组成部分,其数字化经济转型之路走在前列。从传统的移动金融、银企直联到开放银行,银行业的数字化转型之路备受各方学习和关注。应用程序接口(以下简称“API”)作为数字化经济转型过程中重要的技术表现形式,承担着数据和服务的对外输出。为了更快、更好、更安全地推进银行业的数字化经济转型,中国人民银行于2020年2月13日发布《商业银行应用程序接口安全管理规范》(JR/T 0815-2020)(以下简称“本标准”)。
发布时间:2020-03-03 22:13 | 阅读:12170 | 评论:0 | 标签:厂商供稿 API SDK 商业银行 应用程序 金融安全

滥用 Exchange:通过 API 调用获取域管理员权限

在大多数使用活动目录和 Exchange 的组织中,Exchange 服务器拥有过高的特权,以至于在 Exchange 服务器上拿到管理员权限就足以升级到域管理员权限。 最近我偶然看到了 ZDI 的一篇博客文章,其中详细介绍了一种方法,可以通过 HTTP 使用 NTLM 对攻击者进行 Exchange 身份验证。 这可以与 NTLM 中继攻击相结合,将任何拥有邮箱的用户升级到域管理员,在我所见过的使用 Exchange 的组织中,可能有90% 的组织中都可以成功利用这种攻击。 这种攻击在默认情况下是可能成功利用的,在我撰写这篇博文时还没有可用的补丁,但是有一些缓解措施可以用来防止这种权限提升。 本博客文章将会详细描述这
发布时间:2019-10-15 13:10 | 阅读:63433 | 评论:0 | 标签:内网渗透 安全工具 API Exchange

Kubernetes用户权限提升漏洞所暴露的安全隐患

近日,Kubernetes的开源容器软件中发现了一个关键的用户权限提升漏洞(CVE-2018-1002105),该软件是当今大部分云基础架构的固定组件。此漏洞可以让攻击者不受限远程访问,窃取数据或致使生产应用程序崩溃。
发布时间:2018-12-07 12:21 | 阅读:94915 | 评论:0 | 标签:漏洞 API Kubernetes

API安全评估,你需要这样一份核查清单

本清单不仅适用于安全评估人员,也适用于API设计、测试和发布过程中的相关人员参考。 认证 不要使用basic Auth(基本身份认证),使用standard auth(标准身份认证),比如JWT,OAuth; 在身份认证、令牌生成、密码存储方面,不要重造轮子,使用标准的规范和方式; JWT (JSON Web Token) 使用随机的、复杂的密钥(JWT Secret)以抵抗对令牌的暴力破解攻击; 不要从JWT的Payload部分提取算法信息,确保算法在后台(HS256 或 RS256); 限制Token的过期时间(TTL, RTTL),越短越好; 不要在JWT的Payload部分存储敏感信息,它很容易被解码(使用了base64编码); 尽可能的使用HTTPS; OAuth 始终验证服务器端redi
发布时间:2017-07-11 07:35 | 阅读:126974 | 评论:0 | 标签:技术控 API OAuth 安全评估

如何滥用 Exchange Web Service API?

0x00 前言一直以来,Outlook Web Access (OWA) 一直是一个为渗透测试人员产生攻击向量的源头。最常见的就是攻击者利用针对暴露在互联网的 OWA 网站进行爆破,以便能获取到有效的登录凭证。一旦攻击者获得了有效的登录凭证,他就可以通过一些使用单因子进行身份验证的网站访问目标的网络,例如,(Citrix, VPN, RDP)等。 在使用多个爆破工具之后,我发现有很多不足的地方,因此我决定编写我自己的 OWA 爆破工具。我发现很多已安装的 Exchange 通过 Exchange Web Service (EWS) 提供了一个 API 并且编写了一系列高级的模块。0x01 编写自己的 OWA 爆破工具EWS 是一个暴露出来的非常方便的 API,其可以允许编程式的访问他人的邮箱以及一些 Excha
发布时间:2017-03-28 20:20 | 阅读:210856 | 评论:0 | 标签:技术 API OWA

Google SpreadSheet的CSRF漏洞和JSON劫持漏洞导致数据窃取

在2015年10月,我发现了一个谷歌的与电子表格的展示有关的一个API中的JSON+CSRF劫持漏洞,使用这种漏洞的攻击者可以窃取目标受害者的电子表格的内容而无需谷歌云盘的权限。 漏洞的影响: 当利用网络对目标受害者发起攻击的时候,攻击者能够绕过google drive 本地电子表格的ACL共享限制。为了展现这个漏洞,一个未被授权的攻击者对Google Drive文件尝试访问,如下图所示,可以利用该漏洞绕过谷歌安全保护: 漏洞的性质: 其实这已经不是第一次谷歌被发现JSON劫持并获取用户数据的漏洞。 这个漏洞的本质是谷歌的API驱动软件设计的缺陷而导致的OWASP TOP 10 (2013) – A8-Cross-Site Request Forgery (CSRF) 漏洞。 这个漏洞并不难挖掘,
发布时间:2016-10-29 08:20 | 阅读:149757 | 评论:0 | 标签:Web安全 技术控 API csrf google json CSRF 漏洞

为什么说你的API并不安全?

0×00 背景介绍前段时间我向Spree Commerce公司报告了其所有API路径存在 JSONP+CSRF漏洞的问题。同样,Instagram的API存在CSRF漏洞。Disqus、Stripe和Shopify的API通过JSONP泄露隐私信息。这一切问题的根源都是没有合理使用混合API认证。希望所有API开发者都能看一看这篇文章。我将解释API认证的基础和目前业内最好的做法。0×01 过程详述 首先你的API通过api_key来进行认证:def load_user  @current_api_user = Spree.user_class.find_by(spree_api_key: api_key.to_s)en
发布时间:2015-12-04 20:10 | 阅读:112726 | 评论:0 | 标签:安全管理 API

编程实现遍历ACL访问控制列表检查进程访问权限

阅读本文的朋友需要对Windows访问控制模型有初步的了解,了解Token(访问令牌),ACL(访问控制列表),DACL(选择访问控制列表),ACE(访问控制列表项)等与访问控制模型相关的名词含义及之间的关系,当然我也会在文中简要科普一下ACM。  写这篇文章的目的主要是最近在写一个Win下本地提权的东西,涉及到了对ACL的操作,以前对ACL总是避而远之,Windows访问控制模型很复杂很头疼一个API会牵出一大把初始化要用的API。毕竟涉及到用户访问的安全,肯定不能让编程人员随意更改这些机制,复杂一些也可以理解,相关API和结构体复杂,可是参考文献奇少,MSDN上关于一些访问控制相关API的使用和结构体的描述都含糊不清也没有什么代码实例。这篇文章也是在查阅国外了一些文献加上自己研
发布时间:2013-01-20 01:40 | 阅读:325830 | 评论:0 | 标签:系统编程[SysProgramming] acl acm api token 令牌 访问控制列表

公告

九层之台,起于累土;黑客之术,始于阅读

推广

工具

标签云

本页关键词