记录黑客技术中优秀的内容, 传播黑客文化,分享黑客技术精华

一种新型蠕虫:花瓣CORSBOT蠕虫

新年新气象,这个蠕虫我做了小范围测试,也提交了官方修复,小圈子里做了分享,这里正式对外公布下,出于研究而非破坏为目的,供大家参考。 IAMANEWBOTNAMEDCORSBOT ——-BOT PoC——- http://evilcos.me/lab/IAMANEWBOTNAMEDCORSBOT.TXT 完整代码直接见上面这个链接即可。 里面需要特别注意的两个点: Conten-Type是JSON Origin是:huaban.com.al3rt.io,这个小技巧直接绕过花瓣的Origin判断 所以,蠕虫得以传播。 本质是:CORS(Cross-Origin Resource Sharing)的滥用导致,效果图: 最后,友情提示下:这个问题还是比较普遍的。脑洞
发布时间:2017-01-29 14:15 | 阅读:175666 | 评论:0 | 标签:Web Hack CORS crossdomain CSRF HTML5 JS Worm

[PRE]CSRF攻击-进击的巨人

计划准备出一个PPT专门讲解CSRF里的各种奇技淫巧,除了那些老套的手法之外: https://github.com/evilcos/papers 我公布的Papers里有个PPT是《CSRF攻击-苏醒的巨人》,可以参考。 还包括以前提的Flash CSRF/XSF等方式,细节可以温习去年我的Paper(隐蔽的战场—Flash Web攻击),希望Flash是日不落帝国,虽然现在快日落了,但是不影响我们的最后挣扎。 除了这些,当然会有新的玩意,比如JSON Hijacking就一直在进化。还有去年很火的WormHole,这是JSON Hijacking本地攻击的一种延伸,点击下这个试试: http://evilcos.me/lab/pac.html 探测你本地是否用Shadowsocks,当然你即使用了也不一定会
发布时间:2016-12-02 23:55 | 阅读:144281 | 评论:0 | 标签:Web Hack CORS crossdomain CSP CSRF Flash JS JSONP Worm

crossdomain.xml的邪恶用法实例

引入:这一切始于*crossdomain.xml文件指定访问的域名读/写请求,应该将该文件限制在可信网站之内,然而在spreaker网站上却并非如此。通配符表明了允许任何站点向文件发送请求/读取响应,spreaker.com/crossdomain.xml的响应如下:<cross-domain-policy><allow-access-from domain="*"/></cross-domain-policy>考虑到这点,我们就尝试着进行利用吧!利用“错误配置”的影响真的取决于应用本身!在应用中找到一个包含敏感信息的页面,比如一个web应用中允许用户发送/收取电子邮件(like Yahoo,gmail..)阅读他的电子邮件
发布时间:2015-10-22 13:45 | 阅读:111614 | 评论:0 | 标签:WEB安全 crossdomain 利用

公告

关注公众号hackdig,学习最新黑客技术

推广

工具

标签云