ZONE.CI 全球网

Bitbucket Server CVE-2022-36804 漏洞分析

作者：SuperX@雪诺凛冬实验室
8 月 24 日，Atlassian 发布安全公告，披露了 Bitbucket Server 和 Data Center 在

2023-11-242评论

红队攻防之JS攻防

前言：
随着当前攻防水平的不断提高，实战攻防过程中，经常能遇到前端的参数被各种各样的方式加密的情况。毫无疑问，这种方式能够防止很多脚本小子的脚步，但是很多网站就存在“金玉其外，败絮其内“的情况，将传递

2023-11-231评论

机器学习Web安全原理探究之：为何隐马尔可夫模型可用于参数异常检测

ZONE.CI 全球网:作者：唐银@涂鸦智能安全实验室
一、前言
本文从阅读难度上可以划分为两个部分，一、二、三、四、六小节算是一部分，主要是原理性的叙述讲解，五算是另外一个部分，内容是详细的数学推导

2023-11-132评论

OpenRASP xss算法的几种绕过方法

ZONE.CI 全球网:openrasp默认只能检测反射型XSS，存储型XSS仅IAST商业版支持。对于反射型xss，openrasp也只能检测可控输出点在html标签外的情况，本文的绕过方法是针对这

2023-11-131评论

巅峰极客2021 what_pickle——一道综合性的python web

ZONE.CI 全球网:前言
这题好像是最少人做出的web，考察的知识点比较多，综合性比较强，感觉挺有意思的。很多人都是卡在某个知识点，尤其是最后读flag阶段。总的来说，由于这题涉及到各种很经典的p

2023-11-130评论

程序分析理论第四部分抽象解释伽罗瓦关系

ZONE.CI 全球网:前言
程序分析理论第十篇抽象解释，从理论角度寻找分析程序的通用方法并找到数学依据使之可行。抽象解释 Abstract Interpretation
抽象解释是使语义和分析融合的

2023-11-131评论

Struts2-002 XSS漏洞浅析

ZONE.CI 全球网:一、原理（一）概述
参见官方通告，特定版本的Apache Struts中的和标签会引发XSS漏洞。读者范围
所有Struts 2开发者漏洞影响
客户

2023-11-130评论

连载《Chrome V8 原理讲解》第七篇 V8堆栈框架 Stack Frame

ZONE.CI 全球网:1 摘要
本文是第七篇。讲解v8处理函数调用时的底层架构。通过分析运行时函数堆栈，重点对“实际参数少于声明参数”和“实际参数多于声明参数”两种函数调用的stack frame进

2023-11-131评论

通过CTF例题完整学习格式化字符串漏洞

ZONE.CI 全球网:前言：
该漏洞本身已经非常古老了，同时也因为其容易被检测，因此在实际的生产环境中已经不怎么能遇到了，但其原理还是很值得学习的。笔者将在本篇用尽可能便于理解的方式来将该漏洞解释明

2023-11-132评论

R3蓝屏的多种方式及原理分析（一）

ZONE.CI 全球网:0x00 前言
蓝屏死机（英语：Blue Screen of Death，缩写：BSoD）指的是微软Windows操作系统在无法从一个系统错误中恢复过来时所显示的屏幕图像。蓝屏

2023-11-132评论

AD域安全协议（四）RPC

ZONE.CI 全球网:如驾驶需要遵守交通规则一般，在网络中活动的事务，也需要遵守相应的规则，这套“规则”的具体实现，则通过网络上的“协议”，并且，在不同的应用环境下，有不同的协议规范。
AD域中特色

2023-11-130评论

《Counterfeit Object-oriented Programming》论文笔记

ZONE.CI 全球网:一、简介
现阶段，ROP (面向返回的编程技术) 已经成为了一种非常流行的利用手法，同时现在也存在各种方式来保护程序免受 ROP 工具，例如 shadow stack 技术。而

2023-11-134评论

浅谈 Syscall

ZONE.CI 全球网:0x00 syscall 基础概念
Windows下有两种处理器访问模式：用户模式（user mode）和内核模式（kernel mode）。用户模式下运行应用程序时，Wind

2023-11-135评论

Spring远程命令执行漏洞（CVE-2022-22965）原理分析和思考

ZONE.CI 全球网:前言
上周网上爆出Spring框架存在RCE漏洞，野外流传了一小段时间后，Spring官方在3月31日正式发布了漏洞信息，漏洞编号为CVE-2022-22965。本文章对该漏洞

2023-11-132评论

frp优化

ZONE.CI 全球网:前言
工欲善其事，必先利其器。由于frp并不是主要以渗透测试内网穿透为目的而开发的软件，所以为符合攻击对抗的要求需要对其进行改造来达到免杀、流量隐蔽等要求。
使用原版加载参数的

2023-11-137评论

分享几个比较有意思的储存桶测试案例

ZONE.CI 全球网:前言
在挖某src的时候发现的一个比较有意思的案例，通过一系列简单的操作，可以遍历全桶的文件。发现点
在找资产的过程中找到了一个业务，发现一个可以上传的功能点。有个添加货物功能

2023-11-131评论

记一次APP登录爆破

ZONE.CI 全球网:使用工具安卓12
jadx-gui抓取登录HTTP请求包安装burp证书，并抓取登录请求。POST /loginUser HTTP/1.1
Host: api.xxxx.xxx

2023-11-121评论

APT-C-26（Lazarus）组织伪造电商组件攻击活动分析报告

ZONE.CI 全球网:APT-C-26 Lazarus2022年上半年，360高级威胁研究院发现了来自Lazarus组织的攻击活动，本次攻击活动伪装为Alibaba相关组件进行攻击，载荷组件与Nu

2023-11-123评论

Bitbucket Server CVE-2022-36804 漏洞分析

ZONE.CI 全球网:作者：SuperX@雪诺凛冬实验室
8 月 24 日，Atlassian 发布安全公告，披露了 Bitbucket Server 和 Data Center 在 7.0.0 版

2023-11-123评论

惊！美抗量子加密算法存安全漏洞

ZONE.CI 全球网:一组研究人员透露了所谓的CRYSTALS-Kyber特定实现中的漏洞，CRYSTALS-Kyber 是美国政府去年选择的抗量子加密算法之一。
KTH 皇家理工学院的Elena

2023-11-110评论