记录黑客技术中优秀的内容,传播黑客文化,分享黑客技术精华

流行的node-forge JavaScript库中存在漏洞

流行的node-forge JavaScript库的一个遗留函数中存在一个安全漏洞(CVE-2020-7720),攻击者可利用该漏洞对应用程序执行原型污染攻击。超过350万个存储库使用的node-forge实现了各种加密实用程序,TLS协议和用于开发web应用程序的工具。原型污染是一种严重的漏洞,攻击者可通过在运行时修改应用程序的代码利用该漏洞篡改应用程序的行为。这通常通过恶意输入来执行,取决于脆弱的组件,可导致一系列攻击,包括拒绝服务甚或远程执行代码。该漏洞存在于node-forge中的util.setPath()函数,该函数自该库的早期版本开始,在该库开始注重加密之前,就已存在。
发布时间:2020-09-22 17:52 | 阅读:4962 | 评论:0 | 标签:漏洞 java javascript

下载量超1600万的热门开源 JavaScript 序列化包中被曝 RCE 漏洞

编译:奇安信代码卫士团队最近,热门的开源NPM 包 serialize-javascript 中被指存在一个漏洞,可使攻击者执行远程代码。Serialize-javascript由雅虎开发并维护,是一款颇受欢迎的开源项目,用于将 JavaScript 序列化为 JSON 的超集,包括表达式、日期和函数。5月20 日,Jordan Milne 和 Ryan Siebert 将该漏洞告知 GitHub,后者于上周通过 GitHub Advisory 数据库公布。
发布时间:2020-08-20 20:50 | 阅读:9960 | 评论:0 | 标签:漏洞 java javascript 序列化

99%的网站JavaScript插件面临攻击风险

Tala Security今天发布的一份web安全报告显示,全球Web安全状况急剧恶化,99%的网站JavaScript插件面临攻击风险。该报告跟踪了Alexa前1000名网站的安全状况,发现平均每个网站包含来自32个不同的第三方的JavaScript程序,比2019年略有增加。而诸如Google Analytics(分析)和其他插件之类的第三方程序会将网站暴露于Magecart、formjacking、跨站脚本、信用卡劫持和其他攻击。这类攻击利用了在全球约99%的网站上运行的易受攻击的JavaScript组件。
发布时间:2020-07-15 16:43 | 阅读:12084 | 评论:0 | 标签:行业动态 首页动态 JavaScript插件 WEB安全 java javascript 攻击

关于JavaScript的的高速缓存未命中分析

 在本文中,我们将讨论创建和访问数据的方式可能对应用程序性能的影响。 介绍JavaScript是一种非常高级的语言,在使用JavaScript开发的时候不必对存储器中的数据存储方式作过多的考虑。在本文中,我们将探讨数据如何存储在内存中,以及JavaScript中分发和访问数据的方式将如何影响CPU和内存的性能。
发布时间:2020-06-30 18:25 | 阅读:13774 | 评论:0 | 标签:java javascript

带管理面板的Javascript键盘记录器:Flux-Keylogger

Flux-Keylogger是一个使用php+Javascript编写的键盘记录器,包含一个后端管理页,使用方法和一般的XSS差不多,界面如下:记录的内容KeyloggerCookiesLocationRemot
发布时间:2020-04-22 16:33 | 阅读:24497 | 评论:0 | 标签:java javascript

浅析javascript原型链污染攻击

浅析javascript原型链污染攻击0x0 前言  关于javascript原型链污染攻击的分析文章相对于其他技术文章来说还是偏少的,不知道是不是我打的比赛少还是什么原因,关于这方面的题目也是比较少的,所以该类题目可能出题要求比较高,质量相应比较好。恰巧最近用nodejs在写一个小东西,发现了原来很多依赖库会有各种安全问题,于是打算以原型链攻击为契机学习js下的安全漏洞。0x1 原型与原型链Javascript中一切皆是对象, 其中对象之间是存在共同和差异的,比如对象的最终原型是Object的原型null,函数对象有prototype属性,但是实例对象没有。
发布时间:2020-02-11 10:36 | 阅读:40759 | 评论:0 | 标签:java javascript 攻击

如何安全的运行第三方javascript代码(下)

 (接上文1、2)使用Realms安全地实现API总的来说,我们觉得Realms的沙箱功能还是非常不错的。尽管与JavaScript解释器方法相比,我们要处理更多的细节,但它仍然可以作为白名单而不是黑名单来运作,这使其实现代码更加紧凑,因此也更便于审计。作为另一个加分项,它还是由受人尊敬的Web社区成员所创建的。但是,单靠Realms仍然无法满足我们的要求,因为它只是一个沙箱,插件在其中不能做任何事情。我们仍然需要实现可以供插件使用的API。这些API也必须是安全的,因为大多数插件都需要能够显示一些UI,以及发送网络请求。例如,假设沙箱默认情况下不包含console对象。
发布时间:2019-09-13 13:10 | 阅读:51058 | 评论:0 | 标签:技术 Javascript

如何安全的运行第三方javascript代码(中)

(接上文)在主线程上运行的含义在我们深入进行第二种尝试之前,我们需要先退一步,并重新考察允许插件在主线程上运行到底意味着什么。毕竟,我们一开始并没有考虑它,因为我们知道这可能是危险的。在主线程上运行听起来很像eval(UNSAFE_CODE)方式。在主线程上运行的好处是插件可以:1.直接编辑文档而不是副本,避免加载时间问题。2.可以运行复杂的组件更新和约束逻辑,而无需为代码置办两个副本。3.在需要同步API时,可以使用同步API调用。这样的话,更新的加载或刷新就不会发生混淆。4.以更直观的方式编写代码:插件只是自动执行用户可以使用UI手动执行的操作。
发布时间:2019-09-09 13:10 | 阅读:45474 | 评论:0 | 标签:技术 Javascript

如何安全的运行第三方javascript代码(上)

最近,我们团队完成了Figma的插件API的开发工作,这样第三方开发人员就可以直接在基于浏览器的设计工具中运行代码了。这给第三方开发人员带来便利的同时,也给我们带来了许多严峻的挑战,比如,如何确保插件中运行的代码不会带来安全问题?更头痛的是,我们的软件是建立在非常规的堆栈之上的,因此面临许多工具所没有的约束。我们的设计编辑器是建立在WebGL和WebAssembly的基础之上的,其中一些用户界面是利用Typescript&React来实现的。并且,我们的软件支持多人同时编辑文件。在这个过程中,浏览器技术为我们提供了很大的支持,同时,也带来了许多的限制。
发布时间:2019-09-06 18:10 | 阅读:55308 | 评论:0 | 标签:技术 Javascript

勒索软件——JS邮件恶意脚本分析

阅读: 31在互联网发展越来越壮大的同时,网络安全也面临着各种挑战与机遇。在过去数年,基于脚本的恶意软件的大幅增加让企业、用户等面临着更多勒索软件的威胁。众所周知,勒索病毒等新型恶性病毒,常通过邮件来传播。“邮件欺诈——病毒下载器——恶性病毒”是目前最常见的传播方式。“脚本类”下载者病毒(TrojanDownloader)呈现激增的趋势。病毒制作者经常将这两种病毒作为邮件附件并将其赋以诱惑性的文字发送给受害者。其运行后会下载勒索病毒等高危病毒,使用户造成严重的经济损失。文章目录JavaScript传播方式JavaScript恶意脚本形式1.随机变量名及函数名。2.添加垃圾代码。3.等效替换。
发布时间:2018-05-22 20:05 | 阅读:216775 | 评论:0 | 标签:安全分享 javascript 勒索软件 勒索邮件 恶意脚本 恶意邮件

JavaScript的反调试技术(下篇)

在本文的上篇中,我们为读者介绍了与JavaScript反调试有关的一些技巧,其中包括函数重定义、断点、时间差异、DevTools检测和执行流程完整性的隐式控制等,接下来,我们将为读者介绍更多的反调试技巧。
发布时间:2018-02-27 12:20 | 阅读:222399 | 评论:0 | 标签:Web安全 技术 Javascript 反调试

访问一个网站就能让ASLR保护失效,百万设备陷入危机

安全研究员发现一个芯片漏洞,此漏洞影响到数以百万计的设备,不管设备上安装的是什么操作系统或是应用程序,这个漏洞都能让设备的防黑保护无效化。更糟糕的是,这个漏洞不会因为任何的软件升级而被彻底修复。 该漏洞存在于内存管理单元(MMU)(许多CPU的组件)的工作方式中,利用此漏洞就能绕过地址空间布局随机化(ASLR)保护。 ASLR是现代操作系统重要的安全防御手段,无论是Windows和Linux还是macOS,Android,BSD都已采用了该技术。 一般来说,ASLR是一种内存保护机制,它使程序在设备内存中运行的位置随机化。
发布时间:2017-02-21 20:45 | 阅读:151827 | 评论:0 | 标签:漏洞 系统安全 aslr javascript

wix.com的Dom-Basic XSS漏洞

前言 wix.com是Java和HTML5出版平台,目前用户已经超过了数百万。而最近有研究人员在wix.com上面发现了基于DOM的跨站脚本漏洞,该漏洞被攻击者利用来对任何运行在wix.com上面的网站并获取控制权。 什么是Dom-Basic XSS 基于Dom的XSS攻击,其中攻击的有效载荷在受害者使用的浏览器上修改Dom环境从而被用作是原客户端的脚本,客户端的代码在一个“意外”的方式下运行,也就是说,页面本身不会改变,但是页面中包含的客户端代码由于DOM环境中发生的恶意修改而有所不同。 基于DOM的XSS攻击与常见的XSS攻击截然不同,由于服务器端脆弱性而在响应页面中提供恶意有效载荷。
发布时间:2016-11-05 02:05 | 阅读:259786 | 评论:0 | 标签:Web安全 DOM Javascript wix.com xss 漏洞

当我们在谈论前端加密时,我们在谈些什么

当然在谈安全。 前端安全是Web安全的一部分,常见的安全问题会有XSS、CSRF、SQL注入等,然而这些已经在程师界得到了相当高的重视并且有了很成熟的解决方案。 所以我们今天只谈前端“加密”,一个部分人认为没有意义的工作。 有争议的事情总是那么因崔斯汀,接下来就让我们谈谈前端传输中的数据“加密” 。 前端传输的数据我们应该用什么算法加密,如何组织整个加密过程呢? 一般有几种做法: JavaScript 加密后传输 浏览器插件内进行加密传输 Https 传输 在这里其实 HTTPS 是终极解决方案,所以文章对于仍在使用 HTTP 建站的小伙伴更有帮助。
发布时间:2016-08-16 21:05 | 阅读:152857 | 评论:1 | 标签:Web安全 Javascript 前端加密 前端安全 哈希加密 拖库 非对称加密 加密

httphijack:基于Javascript的前端Xss防御系统

项目主页: https://github.com/chokcoco/httphijack 简介 使用Javascript实现前端防御http劫持及防御XSS攻击,并且对可疑攻击进行上报 使用方法 引入httphijack1.0.0.jsht
发布时间:2016-08-14 22:35 | 阅读:133393 | 评论:0 | 标签:工具 httphijack Javascript xss xss防御 前端

警惕:钓鱼攻击的两大新型手段

研究人员注意到了一些新型的钓鱼攻击。网络罪犯使用了一些新的手段,防止引起注意,并让行动更加有效。越来越多的网络犯罪小组注意到,针对公司高管的钓鱼攻击的利润也许极其丰厚,但针对普罗大众的攻击也可能收获颇丰。因此,许多恶意行为源正在尝试改进攻击手段。一、错误配置的临时URL本月早些时候,Sucuri报告称发现了一种攻击者在钓鱼攻击中使用的新技巧。网络罪犯需要每隔一段时间就更改钓鱼页面的域名,防止被安全产品封堵,现在他们似乎找到了获取此类域名的新方式。研究人员表示,攻击者利用了一种现状:多数托管服务提供商,甚至是一些大型的,都没能够正确配置临时URL。
发布时间:2016-06-28 17:50 | 阅读:125517 | 评论:0 | 标签:黑极空间 JavaScript PayPal钓鱼邮件 Sucuri报告 网络罪犯 钓鱼攻击

JSPrime:基于JavaScript DOM XSS检测的轻量级代码审计工具

如今,随着前端技术人才需求的不断增加,越来越多的开发者逐渐将JavaScript作为其开发语言的第一选择。目前无论是在传统PC Web平台还是移动终端平台上,在客户端侧或者服务端侧,JavaScript均有不俗的性能体现及丰富的框架支持,所以其作为一个主流开发语言也逐渐被广泛认可接受。同时,JavaScript 也因其解释器性能上的优势,可为企业解决可扩展性和吞吐量等瓶颈问题。所以JavaScript当前来说是一种重要的、强大的开发语言,它的使用者也是日益增多。
发布时间:2016-03-31 18:10 | 阅读:123699 | 评论:0 | 标签:WEB安全 dom xss javascript JSPrime xss

技术分享:几种常见的JavaScript混淆和反混淆工具分析实战

信息安全常被描述成一场军备竞赛,白帽与黑帽,渗透测试者与黑客,善与恶,本文将聚焦这场永无止境决斗中的一个小点。HTML5 & JS 应用中充满着对输入进行验证/注入的问题,需要开发人员始终保持警惕。但同时还存在着另一个问题,就是应用中程序专用代码的易访问性。为了防止盗版或者至少使盗版更加困难,常会使用混淆工具对 JS 代码进行混淆。作为对立面,反混淆工具也可以将混淆过的 JS 代码进行还原。我曾经接触过双方的一些工具,下面是我的一些研究成果。首先,下面这是我们的示例代码(取自Google Closure Compiler的 Wiki 页面)。
发布时间:2016-03-05 13:15 | 阅读:164842 | 评论:0 | 标签:WEB安全 HMTL5 javascript 混淆反混淆

Cash:Javascript打造的Unix Shell

Cash是一种纯粹由ES6(Javascript)实现的跨平台的Unix shell,它可以在windows下使用,曾经受超过200次严格全面的单元测试。介绍Cash的github地址在这里,你可以联想下Cygwin,不过Cash还具有别的特性:1.非本地编译2.没有麻烦的DLL文件3.任何终端可用4.只有Cygwin约15分之一的大小Cash其实有特殊的意义,它将“>”标志换成了“$”,也就是货币符号,代表着“问既有答”的理念。> cash$当然,Cash看起来其实跟bash挺像,其实也确实有关系。
发布时间:2016-02-26 21:15 | 阅读:107398 | 评论:0 | 标签:安全管理 工具 cash javascript

深夜话题:这十二行代码是如何让浏览器爆炸的?

起因今天刷推特的时候发现Cyber Security@cyber__sec的推文让人眼前一亮:Crash firefox, chrome, safari browsers, and also restart iphone using this javascript code. #dos #0day #exploit//使用下面这段JavaScript代码能让firefox,chrome,safari浏览器崩溃,而且还能让iphone重启。
发布时间:2016-01-20 23:05 | 阅读:187417 | 评论:1 | 标签:活动 终端安全 0day Bug javascript 崩溃 浏览器

利用javascript压缩工具留下后门

在POC||GTFO 0×08的文章” Deniable Backdoors Using Compiler Bugs”中,作者提到了利用CLANG编译器本身的bug来生成一个有后门的sudo,使其允许任何用户获取root权限。这种技术相当猥琐,毕竟没人能通过审查源码就证明他们对sudo的修改是一个后门;相反,这个权限提升后门是由特定版本的CLANG在编译的时候插入进去的。这不禁让我思考,能否在javascript中使用同样的后门技术。JS几乎处处可见其身影(从浏览器,到服务器,到arduino,到机器人,甚至某一天还可能在汽车上见到它的踪迹)。
发布时间:2015-11-01 01:15 | 阅读:169876 | 评论:0 | 标签:漏洞 javascript 后门

使用 estools 辅助反混淆 Javascript

知道创宇安全研究团队  ChiChou:2015.8.7   1. 前言 Javascript 作为一种运行在客户端的脚本语言,其源代码对用户来说是完全可见的。但不是每一个 js 开发者都希望自己的代码能被直接阅读,比如恶意软件的制造者们。为了增加代码分析的难度,混淆(obfuscate)工具被应用到了许多恶意软件(如 0day 挂马、跨站攻击等)当中。分析人员为了掀开恶意软件的面纱,首先就得对脚本进行反混淆(deobfuscate)处理。 本文将介绍一些常见的混淆手段和 estools 进行静态代码分析的入门。
发布时间:2015-08-07 19:10 | 阅读:199350 | 评论:0 | 标签:技术分享 chichou javascript 反混淆 混淆

我是如何参与魅族630抢购的

0×00 首先声明一下:我是魅族脑残粉,不缺钱买手机,纯粹是当作做试验,要知道程序猿都是懒人! 0×01 630那天早上9点左右的时候打开http://store.meizu.com/twelve.html,右键源码看了一下,没有发现什么有价值的东西,估计那会还没准备好吧,当时还只是一个纯静态页面。 0×02 10点多的时候再次刷新了一下,这次页面有变化了,通读了一下代码,可惜当时忘了保存了。
发布时间:2014-07-02 12:30 | 阅读:117724 | 评论:0 | 标签:JavaScript 网络拾遗 魅族

淘宝IP地址库API

接口说明1. 请求接口(GET):http://ip.taobao.com/service/getIpInfo.php?ip=[ip地址字串]2. 响应信息:(json格式的)国家 、省(自治区或直辖市)、市(县)、运
发布时间:2014-02-17 16:20 | 阅读:333850 | 评论:0 | 标签:javascript IP

Spring MVC 3.2 DeferredResult and long polling

唉...博客四个月没更过了...本来不想说,但是...但是...最近真的很忙啊...眼看再过一个月多点就要升级当爹了...不废话了,说正事,因为最近项目中需要在浏览器上做一个实时监控的功能,目前实现这玩意的方式及框架也挺多的,感觉都挺麻烦的,也不想引入过多的框架进来,尽量在现有的框架上实现,起初用的是ExtJS direct中的polling方式,设置成一秒拉一次数据,后来发现这玩意请求数太多了,而且未必下一秒服务器端就有新数据,总之就是不太好用。
发布时间:2013-06-04 16:45 | 阅读:459646 | 评论:0 | 标签:Java JavaScript jQuery long polling Spring MVC 长轮询

javascript 运算符

javascript 具有全范围的运算符,包括算术、逻辑、位以及赋值运算符。此外还有其他一些运算符。 计算 逻辑 位运算 赋值 杂项描述 符号 描述 符号 描述
发布时间:2013-04-12 10:10 | 阅读:95473 | 评论:0 | 标签:javascript javascript 运算符

[hook.js]通用Javascript函数钩子及其他

最近看Dom Xss检测相关的Paper,涉及到Hook Javascript函数,网上翻了一下,貌似没有什么通用的函数钩子脚本,自己用就自己写一个吧。最后有代码地址,前面写下mind storm的过程。 最经典且简单的Javascript函数钩子的写法应该是下面这样了: var _alert = alert; window.alert = function(s) { console.log("Hooked!"); _alert(s); } 不过这种Hook方式跟闹着玩儿似的,用到实际生产上通用性不好,效率也不高。
发布时间:2013-02-17 01:50 | 阅读:137277 | 评论:0 | 标签:前端黑客[WebHacking] hooks javascript 钩子

淘宝旅行日历控件

淘宝网旅游频道通用日历控件代码Author: Angtian内附旅行通用日历组件与酒店价格日历组件有相应的API参考,非常实用,在各IE版本下情况未测试!淘宝旅
发布时间:2013-02-04 02:35 | 阅读:362497 | 评论:1 | 标签:javascript 日历控件 日历插件 淘宝

ADS

标签云