记录黑客技术中优秀的内容, 传播黑客文化,分享黑客技术精华

利用redis写webshell

redis和mongodb我之所见 最近自己在做一些个人的小创作、小项目,其中用到了mongodb和redis,最初可能对这二者没有深入的认识。 都是所谓的“非关系型数据库”,有什么区别么? 实际上,在我看来,redis的角色更接近于memcache,而mongodb是一个真正的数据库。 redis是一个key-value型数据库,信息以键对应值的关系存储在内存中,比memcache较大的优势就在于其数据结构的多样性。 说它不算一个真正意义上的数据库,因为redis是主要把数据存储在内存中(当然可以把其存储至硬盘上,这也是写shell的必要条件之一),其“缓存”的性质远大于其“数据存储”的性质,其中数据的正删改查也只是像变量操作一样简单。而mongodb却是一个“存储数据”的系统,增删改查数据的时候有“与或非”
发布时间:2015-03-13 19:20 | 阅读:84918 | 评论:0 | 标签:Web安全 /usr/local/redis/ AOF appendfilename appendonly.aof bg

OpenSSL FREAK Attack漏洞(CVE-2015-0204)检测方法及修复建议

0x01 前言 临近元宵佳节之际,OpenSSL又因为FREAK attack(also known as the Factoring Attack on RSA-EXPORT Keys vulnerability or CVE-2015-0204)漏洞吵得沸沸扬扬的。 苹果和谷歌均在本周二表示,它们正在修复近期发现的“FREAK”信息安全漏洞,这一漏洞已经影响了诸多移动设备和Mac电脑。 该漏洞是由于OpenSSL库里的s3_clnt.c文件中,ssl3_get_key_exchange函数,允许客户端使用一个弱RSA秘钥,向SSL服务端发起RSA-to-EXPORT_RSA的降级攻击,以此进行暴力破解,得到服务端秘钥。此问题存在于OpenSSL版本0.9.8zd之前, 或1.0.0p之前的1.0.0,或1
发布时间:2015-03-07 22:05 | 阅读:144377 | 评论:0 | 标签:系统安全 alert handshake failure americanexpress.com anquanmaibo

SSRF漏洞的挖掘经验

SSRF概述 SSRF(Server-Side Request Forgery:服务器端请求伪造) 是一种由攻击者构造形成由服务端发起请求的一个安全漏洞。 一般情况下,SSRF攻击的目标是从外网无法访问的内部系统。(正是因为它是由服务端发起的,所以它能够请求到与它相连而与外网隔离的内部系统) SSRF 形成的原因大都是由于服务端提供了从其他服务器应用获取数据的功能且没有对目标地址做过滤与限制。比如从指定URL地址获取网页文本内容,加载指定地址的图片,下载等等。 SSRF 漏洞的寻找 一、从WEB功能上寻找 我们从上面的概述可以看出,SSRF是由于服务端获取其他服务器的相关信息的功能中形成的,因此我们大可以列举几种在web 应用中常见的从服务端获取其他服务器信息的的功能。 1)分享:通过URL地址分享网页内容
发布时间:2015-02-10 00:20 | 阅读:139737 | 评论:0 | 标签:Web安全 he1renyagao Naih secpulse Server-Side Request Forgery

公告

关注公众号hackdig,学习最新黑客技术

推广

工具

标签云