- 简介
- 目录大纲
- 最新文档
SZ0007 PHP7 免杀总结
最近对webshell的免杀机制产生了浓厚的兴趣,于是开始进行研究,参考了网上许许多多的文章,以下是我对webshell免杀的一些总结 使用以下网站及免杀工具进行免杀测试(带星号的表示我认为检测效果比较好的工具/网站): webshellchop 长亭(*) 深度学习 WEBDIR+ 百度(*) 河马在线查杀 D盾 安全狗 参考文章: https://www.freebuf.com/arti……
myh0st - 2024年10月28日 18:21
SZ001 不同语言环境下的参数获取特性
对于不同的脚本语言，接收参数有所差异，本文总结了多中语言环境下对于参数接收的特性，比如指定多个参数的连接符餐椅，如图： Ruby 环境下可以使用分号作为参数连接符，测试如图： 1、 PHP 8.3.11 AND Apache 2.4.62 测试页面源码如下： ``` <?php echo $_GET['name']; ?> ……
myh0st - 2024年9月30日 18:58
SZ1005 YXcms 1.4.7 利用文件删除重装系统
PHP CMS 系统在安装完成之后会在 install 目录下新建一个 install.lock 文件，借助任意文件删除漏洞，删除该文件后，就可以访问安装目录，实现系统重装。 漏洞分析 首先了解这个cms的目录结构 data 存放备份数据 protected 网站程序核心文件夹 public 存放css、images、js、swf等模板公用文件 upload 存放上传文件 .hta……
myh0st - 2024年8月12日 10:14
SZ1004 zzcms 8.2 重装功能导致 GetShell
源码信息：ZZCMS 8.2 问题文件： \zzcms\zzcms8.2\install\index.php 漏洞类型：文件写入问题 站点地址：http://www.zzcms.net/ 0x01 漏洞分析 在\zzcms\zzcms8.2\install\index.php文件的第105-117行中发现如下代码块，用于将一些配置信息写入到配置文件中。 通过跟踪各个配置信息的传入过程，发现……
myh0st - 2024年8月12日 10:12
SZ0004 SQL 注入漏洞审计小技巧
这里先分享一个小技巧：当我们要测试 sql 注入的时候，通过实时查看 mysql 的日志可以帮助我们更方便的看到 sql 语句是否成功执行，下面简单讲解一下实时查看日志的操作流程： 首先通过 SSH 连接我们测试用的虚拟机（我用的是 Ubuntu） 打开 mysql 的配置文件: /etc/mysql/mysql.conf.d/mysqld.cnf 在 [mysqld] 下面加上……
myh0st - 2024年8月12日 10:11
SZ0002 安全管理体系建设
安全管理体系是信息安全体系架构中的基础模块。从安全工程实施的角度来说，安全管理理论上是一个大概念，其涵盖的范围非常多，重要性与所产生的价值也远超技术安全，俗话说三分技术七分管理就是指这个。但单从安全体系架构的不同模块来讲，我这里的安全管理体系并没有那么高端，它在整个信息安全体系架构中扮演辅助角色，主要承担一些非技术的内容。 在实践中，这里的安全管理体系根据实际情况已被狭义化和裁剪化，狭义化和裁减化……
myh0st - 2024年8月5日 18:40
SZ0001 隐私合规体系建设
隐私合规体系是以法律法规要求为指引来建设的，目前随着中国以及全球各地推出的隐私和数据保护法律法规不断增多，企业面临的合规压力也将不断增大，这些法律法规将要求各个公司采取多区域合规性战略来确保消费者隐私和个人数据安全，同时，企业已经无法忽视这些隐私法律法规的存在，从财务角度来看，GDPR的罚款上限为上年度营业额的4%或2000万欧元取其高，而国内的个人信息保护法的罚款上限为上年度营业额的5%或500……
myh0st - 2024年8月5日 18:40
SZ2003 混合架构下科技风险运营体系建设之轻量化蓝军探索
未知攻，焉知防，攻守相济的安全体系建设，是打造面向全科技流程的安全基座，是主动防御的关键所在。“蓝军”的内部建设需契合企业自身的需求，保障日益复杂的信息系统和逐渐增加的数字资产的安全。由于专职安全人员数量的限制，“蓝军”工作按照轻量化进行，具备“蓝军”任务的能力，并全面开展公司的“蓝军”相关任务，主要目标是尽可能多地主动发现企业安全风险，进而提高整体的安全防御能力。 一、概述 近年来全球安全事故频……
myh0st - 2024年8月5日 18:39
SZ1001 ISO27001认证业务常见问题
ISO27001认证业务常见问题 Q：ISO27001认证是什么？ A：ISO27001是国际标准，全名是IEC/ISO27001信息安全管理体系规范，他是整个ISO27000标准系列当中的一个标准，该系列标准中包含很多其他标准；另外一个大家常说的标准ISO1779:2005-信息安全实施细则也是与信息安全管理相关的，这个标准当前已经改名为ISO27002:2008了。无论是ISO27001还是I……
myh0st - 2024年8月5日 18:39