爱豆文档 - 信息安全文档下载平台 - idocdown.com （部分文档，免费下载）

. . . . . .

三种针对JSON Web Tokens的新攻击方式

# JSON Web Tokens (JWT) 新型攻击方式研究 ## 1. JWT 基础回顾 JSON Web Tokens (JWT) 是一种开放标准 (RFC 7519)，用于在各方之间安全地传输信息作为 JSON 对象。JWT 通常由三部分组成： 1. **Header**：包含令牌类型和签名算法 2. **Payload**：包含声明（claims） 3. **Signature**：用于验证令牌的完整性典型格式：`header.payload.signature` ##

2025-08-18 17:39:02

Java安全 - FreeMarker模版注入浅析

# FreeMarker模板注入漏洞分析与防御 ## 一、FreeMarker简介 FreeMarker是一款基于Java的模板引擎，主要用于MVC模式的Web开发中生成动态HTML页面。它通过将模板与数据模型结合来生成输出文本。 ## 二、FreeMarker模板注入原理 FreeMarker模板注入(FreeMarker Template Injection, FTI)是一种服务器端模板注入(SSTI)漏洞，当攻击者能够控制模板内容或模板中的表达式时，可以执行任意代码。 ### 注

2025-08-18 17:38:02

JAVA安全 | Spring Security框架初探索

# Spring Security框架深入解析与实战指南 ## 一、Spring Security概述 Spring Security是Spring家族中的核心安全框架，为Java应用提供全面的安全解决方案。相比同类框架Shiro，它具有以下优势： - 功能更丰富，覆盖认证授权全流程 - 社区资源更丰富，文档完善 - 与Spring生态无缝集成 - 更适合中大型项目核心功能聚焦于两大安全领域： 1. **认证(Authentication)**：验证用户身份，确认"你是谁" 2. **授

2025-08-18 17:37:05

跨域攻击分析和防御（上）

# 跨域攻击分析与防御（上）教学文档 ## 一、跨域攻击概述 ### 1.1 跨域攻击的定义跨域攻击是指在渗透测试过程中，当获得某个子公司或部门域控制器权限后，为了获取整个组织机构全部权限或寻找不在当前域中的资料，需要继续攻击其他部门或域的域控制器，最终控制根域控制器的过程。 ### 1.2 跨域攻击的背景 - 大型公司或跨国企业通常拥有自己的内网 - 跨国公司各子公司一般建立域林进行资源共享 - 根据职能划分部门，逻辑上以主域和子域进行管理 - 物理层使用防火墙划分不同区域 ## 二

2025-08-18 17:35:59

LNK攻击浅析（一）

# LNK攻击技术深度分析与防御指南 ## 一、LNK文件基础 ### 1.1 LNK文件简介 LNK文件是Windows系统的快捷方式文件，用于快速启动程序或打开文件。其特点包括： - 扩展名为.lnk - 包含目标程序的路径信息 - 可自定义图标和显示名称 - 支持执行命令和参数 ### 1.2 LNK文件结构通过分析LNK文件属性可以看到： - **目标**：指向要执行的程序路径 - **起始位置**：程序运行的工作目录 - **快捷键**：可设置启动快捷键 - **运行方式**：

2025-08-18 17:35:09

加密货币挖矿恶意软件使用rootkit隐藏自己

# Linux加密货币挖矿恶意软件技术分析与防御指南 ## 一、恶意软件概述研究人员发现了一种针对Linux系统的加密货币挖矿恶意软件，其特点包括： - 融合rootkit组件隐藏恶意进程 - 能够自我更新和升级 - 通过性能下降为主要可见症状 - 利用第三方或被黑插件作为感染媒介 ## 二、感染链分析 ### 初始感染阶段 1. 初始文件连接Pastebin下载shell脚本 2. 脚本保存为`/bin/httpdns` 3. 创建每小时运行的定时任务 4. 执行下载的shell脚本

2025-08-18 17:34:24

万字总结护网知识(基础知识,top10漏洞,应急响应,设备知识,挖矿总结,内网知识)

# 护网知识全面总结与实战指南 ## 一、基础知识 ### 1. 护网行动概述 - 护网行动是由公安部组织的网络安全攻防演练 - 主要目标：检验企事业单位网络安全防护和应急处置能力 - 形式：红队攻击 vs 蓝队防守 ### 2. 网络安全基本概念 - **攻击面**：系统暴露给攻击者的所有可能入口点 - **漏洞**：系统中存在的安全缺陷 - **渗透测试**：模拟黑客攻击以发现系统漏洞 - **应急响应**：安全事件发生后的处理流程 ### 3. 常见攻击类型 - Web应用攻击 -

2025-08-18 17:33:48

万字总结信息收集(全网最全)

# 信息收集全面指南 ## 1. 资产信息收集 ### 1.1 域名收集 1. **Whois查询**： - 使用工具：whois命令、站长之家、爱站网 - 获取信息：注册人、联系方式、注册商、DNS服务器 2. **备案信息查询**： - 工信部备案系统 - 获取网站主办单位信息 3. **子域名挖掘**： - 工具：Layer、Sublist3r、OneForAll - 方法： - 证书透明度日志(crt.sh) - DNS爆

2025-08-18 17:32:17

再谈强网ThinkShop

# 强网ThinkShop Web安全教学文档 ## 1. 背景介绍强网ThinkShop是一个专注于Web安全技术研究的平台，提供CTF比赛相关技术分享和实战经验。本文档基于"再谈强网ThinkShop"文章内容，系统性地总结Web安全攻防技术要点。 ## 2. Web安全基础 ### 2.1 常见Web漏洞类型 1. **注入类漏洞** - SQL注入 - NoSQL注入 - 命令注入 - LDAP注入 2. **跨站脚本攻击(XSS)** - 反

2025-08-18 17:21:24

U8cloud base64 SQL注入漏洞分析

# U8cloud base64 SQL注入漏洞分析教学文档 ## 漏洞概述本漏洞是U8cloud系统中存在的一个SQL注入漏洞，攻击者可以通过构造特定的HTTP请求在系统头部`system`字段中注入恶意SQL语句。值得注意的是，该漏洞与路径`/u8cloud/api/file/upload/base64`并无直接关系，而是与系统对请求的处理机制有关。 ## 漏洞复现 ### 复现步骤 1. 构造HTTP请求，目标URL为`/u8cloud/api/file/upload/base6

2025-08-18 17:20:11

新一波Olympic Destroyer Droppers出现

# Olympic Destroyer Droppers 技术分析与防御指南 ## 1. 概述 Olympic Destroyer 是由 Hades APT 组织开发的一种恶意软件，主要用于针对特定目标的高级持续性威胁(APT)攻击。本文档将详细分析其最新变种的技术特点、攻击流程和防御措施。 ## 2. 样本基本信息 - **MD5**: cd15a7c3cb1725dc9d21160c26ab9c2e - **文件名**: "ТЕХНИЧЕСКОЕ_ЗАДАНИЕ_НА_РАЗРАБО

2025-08-18 17:19:11

Java安全 - Learning Vaadin Gadget From CTF

# Java安全：从CTF中学习Vaadin反序列化链利用 ## 前言本文详细分析Vaadin框架中的反序列化漏洞利用链，并结合2023年福建省赛黑盾杯初赛"babyja"题目进行实战演示。主要内容包括Vaadin反序列化链原理、相关类分析、利用方法以及CTF题目中的综合应用。 ## Vaadin反序列化链概述 Vaadin是一个用于构建Web应用程序的Java框架。其反序列化链的核心是利用反射调用getter方法，通过特定类的组合实现任意代码执行。 ### 关键依赖 - vaadi

2025-08-18 17:17:29

跳转到页