哪吒博客

2019-01-16哪吒阅读(67)评论(2)赞(0)

2.1 身份认证安全 2.1.2 Cookie&session a. 会话固定攻击 利用服务器的session不变机制，借他人之手获得认证和授权，冒充他人。 案列：新浪广东美食后台验证逻辑漏洞，直接登录后台，566764名用户资料暴...

2019-01-14哪吒阅读(68)评论(0)赞(0)

2.1 身份认证安全 2.1.1 暴力破解 在没有验证码限制或者一次验证码可以多次使用的地方，使用已知用户对密码进行暴力破解或者用一个通用密码对用户进行暴力破解。 简单的验证码爆破。 案列：某药app暴力破解 前一段时间某药app在地铁站里...

2019-01-06哪吒阅读(87)评论(0)赞(1)

1.9 收集账号信息 通过说明文档以及 google 或者网站这个页面收集，或者网站发表者 以及留言板信息处收集账号，可对 oa,erp,um,sso 等系统账号进行爆破。 搜索相关 QQ 群收集相关企业员工的社交账号。 1.10 利用go...

2018-12-29哪吒阅读(95)评论(0)赞(1)

1.6 Email收集 通过 teemo，metago，burpusit,awvs,netspker 或者 google 语法收集。 收集对方的邮箱账号命名习惯（因为好多官方后台都是用内部邮箱账号登录的）。 用途： 可用来进行爆破或者弱口令...

2018-12-27哪吒阅读(67)评论(0)赞(1)

将豆瓣电影Top250爬虫，和下载电影的爬虫结合，获取到所有电影的下载链接 import requests,bs4,time from urllib.request import quote text = str() def movieli...

2018-09-15哪吒阅读(891)评论(2)赞(0)

今天推荐两个神器 一个是全网音乐免费聆听的播放器 一个是全网音乐免费下载神器 全网音乐播放器 可以搜索和播放来自网易云音乐，虾米，QQ音乐，酷狗音乐，酷我音乐网站的歌曲，让你的曲库更全面,无需下载多个软件 歌词展示 还支持歌单功能，你可以方...

2018-08-12哪吒阅读(533)评论(2)赞(0)

0x00前言 成功搭建使用shadowshocks实现代理访问google，然而只能浏览器代理方式使用，不能其他程序使用代理，不利于白帽子匿名安全检测，下面将介绍利用Proxifier实现全局代理 0x01安装 官网发布多个版本，其中便携版...

2018-08-12哪吒阅读(652)评论(0)赞(0)

0x00 案例 系统默认是没有 chacha20 加密方式的，需要手动编译 libsodium 1.0.8 及以上版本。安装需要以root权限安装 0x01 解决方案 0.获取root权限 su root 安装依赖 Kali最小安装版、De...