爱豆文档 - 信息安全文档下载平台 - idocdown.com （部分文档，免费下载）

. . . . . .

进程注入概述（一）

# 进程注入技术详解（一） ## 0x00 前言进程注入是一种重要的渗透测试技术，本文由Hulk于2019年9月6日发布，已获得16724次浏览。文章将详细介绍进程注入的核心概念、实现原理和实际演示。 ## 0x01 什么是进程注入？进程注入(Process Injection)是一种在独立运行的实时进程地址空间中执行任意代码的方法。通过在一个合法进程的上下文中运行特定代码，攻击者可以： - 访问该进程的内存 - 获取系统或网络资源 - 提升权限 - 绕过AV检测（因为代码借用了合

2025-08-26 08:26:08

使用C＃编写自定义后门负载》学习笔记及免杀尝试

# 使用C#编写自定义后门负载技术详解 ## 目录 1. [项目概述](#项目概述) 2. [环境准备](#环境准备) 3. [Lab2 - Web服务加载内存Shellcode](#lab2---web服务加载内存shellcode) 4. [Lab3/Lab4 - Shellcode加密技术](#lab3lab4---shellcode加密技术) 5. [Lab5 - .NET框架绕过执行限制](#lab5---net框架绕过执行限制) 6. [Lab6 - DLL注入技术](#lab6-

2025-08-26 08:25:09

CVE-2018-14418 擦出新火花

# MSVOD CMS SQL注入漏洞(CVE-2018-14418)深度分析与利用教程 ## 0x00 漏洞概述 **漏洞标识**: - CVE编号: CVE-2018-14418 - CNNVD-ID: CNNVD-201807-1724 - 漏洞类型: SQL注入 - 影响版本: MSVOD CMS V10 **漏洞描述**: MSVOD CMS是一套用于视频点播网站的内容管理系统(CMS)，主要提供视频点播和视频聚合建站等服务。在V10版本中存在SQL注入漏洞，远程攻击者可利用该漏

2025-08-26 08:22:31

实战LFI+文件上传组合拳拿RCE

# 实战LFI+文件上传组合拳实现RCE教学文档 ## 漏洞概述本案例展示如何通过结合本地文件包含(LFI)漏洞和任意文件上传漏洞，实现远程代码执行(RCE)。这种组合攻击方式在实际渗透测试中非常有效，特别是在目标系统存在不安全的访问控制措施时。 ## 漏洞发现与分析 ### 1. 路径遍历(Path Traversal)漏洞目标站点存在一个关键端点： `/se/v92711/generic/gn_deaultframe/2.0/defaultframe_toolbar_load.

2025-08-26 08:21:35

QQ空间流氓转发分析

# QQ空间流氓转发攻击链分析 ## 攻击概述这是一起利用多个漏洞组合实现的QQ空间恶意转发攻击，攻击者通过精心构造的URL链，诱使用户点击后自动转发色情/博彩内容。攻击涉及微博任意URL跳转、白名单网站XSS漏洞和QQ空间API滥用。 ## 攻击链分解 ### 1. 初始触发点攻击始于QQ空间内分享的一个看似正常的链接，实际隐藏了恶意代码。 ### 2. 微博任意URL跳转漏洞 - 漏洞URL格式：`https://weibo.cn/sinaurl?_wv=1027&cmd=pl

2025-08-26 08:20:42

Asset Enumeration: Expanding a Target's Attack Surface

# 资产枚举：扩展目标攻击面的全面指南 ## 介绍资产枚举是渗透测试和漏洞赏金活动中至关重要的第一步。通过系统地发现和记录目标组织拥有的所有数字资产，安全研究人员可以显著扩大攻击面，增加发现漏洞的机会。本文详细介绍了资产枚举的两种主要方法：子域名枚举和相关域名发现，以及如何将这些技术结合使用以获得最佳效果。 ## 资产发现方法论资产发现主要分为两种互补的方法： 1. **子域名枚举**：发现与目标站点共享同一顶级域名的所有站点 2. **相关域名发现**：识别与目标站点有组织关联的

2025-08-26 08:19:44

Chrome扩展安全开发从零到一

# Chrome扩展安全开发从零到一 - 完整教学文档 ## 一、Chrome扩展基础理论 ### 1.1 浏览器兼容性 - 基于Chromium内核的浏览器(Chrome、新版Edge、Opera、Brave)可通用大部分API - Firefox v57+通过WebExtensions API实现兼容，需少量修改即可运行 - 不同浏览器API文档： - Chrome: https://developer.chrome.com/extensions/api_index - Oper

2025-08-26 08:18:41

一些BAT的XSS实例（七）技巧篇

# BAT XSS实例（七）技巧篇 - 深入解析与绕过技术 ## 前言本文详细解析了几个精心设计的XSS挑战题目，重点探讨了opener属性和CSP绕过等高级技巧。这些实例来自BAT等大型互联网公司的真实场景或精心设计的挑战，具有很高的学习价值。 ## 题目14：opener属性利用 ### 题目分析题目URL：http://px1624.sinaapp.com/test/xsstest14/ 核心代码分析： ```javascript function open_win() {

2025-08-26 08:17:11

webpagetest反序列化及ssrf漏洞分析

# WebPageTest反序列化及SSRF漏洞分析教学文档 ## 一、概述 WebPageTest是一款专业的Web页面性能分析工具，2022年9月公开了多个安全漏洞。本教学文档将详细分析其中两个高危漏洞：PHAR反序列化漏洞（AVD-2022-1474319）和SSRF漏洞（AVD-2022-1474320）。 ## 二、PHAR反序列化漏洞分析（AVD-2022-1474319） ### 1. 漏洞位置 - 文件路径：`www/runtest.php`中的`RelayTest`函数

2025-08-26 08:05:57

最近遇到的Linux内核内存取证小分析

# Linux内核内存取证分析技术详解 ## 1. Volatility2与Volatility3的区别 ### 1.1 Volatility2的Profile机制 Volatility2使用Profile作为特定操作系统版本和硬件体系结构(x86、x64、ARM)的分析基础： - **VTypes**：表示C语言数据结构在Python中的定义方式 - **元数据**：包含操作系统名称、内核版本和编译号 - **系统调用信息**：系统调用的索引和名称 - **常量值**：硬编码地址处的全

2025-08-26 08:04:50

# OpenRASP 技术深度解析与教学文档 ## 一、RASP 技术概述 ### 1.1 RASP 定义 RASP（Runtime Application Self-Protection）即运行时应用程序自我保护技术，通过JavaAgent将代码注入到应用程序方法中，使应用程序具备实时检测和阻断安全攻击的能力。 ### 1.2 RASP 与 WAF 对比 | 特性 | WAF | RASP | |------|-----|------| | 防护层面 | 网络层 | 应用层 | | 检测

2025-08-26 08:03:49

一些BAT的XSS实例（八）CSP篇

# XSS绕过CSP限制的高级技巧教学文档 ## 前言本教学文档基于BAT XSS实例系列中的CSP相关题目，详细讲解如何绕过内容安全策略(CSP)的限制实现XSS攻击。文档包含三个难度递增的题目解析，涵盖了CSP基础知识、字符长度限制下的代码构造技巧以及字符串转函数的高级方法。 ## 一、CSP基础知识 ### 1. 什么是CSP 内容安全策略(Content Security Policy)是一种额外的安全层，用于检测并削弱某些特定类型的攻击，包括跨站脚本(XSS)和数据注入攻击

2025-08-26 08:02:43

跳转到页