标签归档：web安全

IE浏览器惊现漏洞 黑客可跟踪鼠标移动轨迹

2条回复

【搜狐数码消息】12月13日消息，近日微软公司的IE浏览器出现巨大漏洞，黑客利用这个漏洞可以跟踪记录用户的鼠标移动轨迹，从而盗取用户使用虚拟键盘时输入的各种数据。

为了防止键盘记录器记录下每一次按键，从而使黑客能够盗取用户的密码，大部分人会选择使用虚拟键盘和小键盘来键入密码，从而减低风险。但是Spider.io公司却发现，从IE 6到IE 10，微软公司的这款浏览器都有着巨大的漏洞，可以使黑客能够轻松的跟踪用户的鼠标移动轨迹。即使当IE标签页最小化时，这种问题依旧存在。

这样，黑客只需要在一个网站上购买一个广告位就可以发起攻击。只要这个广告是打开的，黑客就可以利用IE的漏洞，在用户不用安装任何软件的前提下记录下他们的鼠标移动轨迹，从而解读出他们在虚拟键盘上输入的内容。

Spider.io公司在今年10月发现了这一个IE漏洞，但他们现在才向公众披露。微软的安全研发中心承认这是一个IE浏览器的漏洞，但他们表示短时间内不可能完成修复工作。Spider.io公司表示，目前已有很多家网络分析公司准备利用这一漏洞来记录网络用户的点击习惯，从而进行分析。

对于黑客来说，为了获取有用的信息，他们需要知道用户正在使用的程序或者正在访问的网页。同时，只有用户打开的网页要求利用小键盘或者虚拟键盘输入敏感信息时（比如使用网上银行），黑客才可能盗取信息。

看完本文，你还会很傻很天真的认为不用键盘输入密码就安全了吗？ 继续阅读 →

关于xsser.me的使用（图文并茂）[转载]

2条回复

这篇文章是在乌云空间转载的，发现不错。如果你也爱好web安全，这篇文章推荐一看，如果你不喜欢~那就忽略，哈哈。

相信不少人对xsser.me的使用还不懂。这算不错的科普文了。可能有的人还没有乌云的帐户，转载过来帮助各位。我就不墨迹直接转载了：

作者：w0lfram

乌云上某牛给俺买了个邀请码，用了下传说中的xsser.me，于是写下了本文，以飨各路刷zone的黑、灰、绿、白帽子。

xsser.me是一款xss评估测试工具，可以方便的进行黑盒安全测试和进行安全培训的演示等，目前我用的是默认模块，各位牛牛可以自定义模块哦，，所以她也是一款xss漏洞的渗透研究平台。xsser.me给我的整体感觉还是比较人性化的，稍后会介绍到，总体来说很不错，货真价实，童叟无欺，用了都说好！
亲，你还等什么，赶紧数数手里的wb，订购吧，传送门http://www.wooyun.org/market/3。
以下只是我使用默认模块的教程，自定义模块各位大大自己摸索或者直接咨询@xsser！据说还有很多功能正在完善中。
废话不多说，直接上图。
首先，邀请码注册。 继续阅读 →

记一次sql查询利用不算艰难曲折渗透的过程

发表评论

作者：kkshell

话说这天看linux代码，看的头大，翻看了很多资料，连传说中的神书《Understanding Linux Kernel》也翻了，无奈英文水平不过关，还是看的一知半解。正想着要不要出去走走，summer发来一后台地址，让我给他拿webshell，今年我几乎没搞过入侵渗透，除非有特别的目的，因为我厌倦了扫描，爆破以及收集已知漏洞和漫长的等待，有点时间还是觉得应该多研究一下编程和linux，多研究下自己喜爱的技术。这个网站是php程序开发的，本来进去以后看看没有思路，有思路就和summer说下，让他去搞。

进去以后，如下图：

左边是菜单，右边是服务器系统信息，看到数据库管理，心想着八成有戏，看着熟悉的数据备份，速度点开，发现是mysql表的备份，糊涂了，php+mysql当然不像access了，上传图片备份webshell都是三两步的操作。这个感觉不怎么好利用，但幸好有sql查询，呵呵，你懂得，利用数据库你可以的一些你想不到的东西，这个可比注入省事多了，甚至还可以读取配置文件，直接导出一句话马，当然前提得有足够的权限，废话不多说，行动。

首先查询下有哪些数据库，执行select schema_name from information_schema.SCHEMATA查询出有下列数据库，如图：

再查下当前数据库下有哪些表，执行：select table_name from information_schema.tables where table_shema=’shaklee’得到下列表名，如图： 继续阅读 →

通杀wordpress-暴路径漏洞

发表评论

wordpress一直号称非常安全，其实小洞洞还是很多的，这不就爆了一个绝对路径的洞~

缺陷文件:

http://wutongyu.info/wp-includes/registration-functions.php

关键代码 :

<—-
<?php
 /**
 * Deprecated. No longer needed.
 *
 * @package WordPress
 */
 _deprecated_file( basename(__FILE__), ’2.1′, null, __( ‘This file no longer needs to be included.’ ) );
 ?>
 —–>

一打一个准：

有人在乌云早就发布了，这个也不算什么新鲜的bug了，找不到路径的同学可以试试~

临时解决方案：php.ini中设置了display_error=Off

织梦官网安装包再次被植入一句话木马

1条回复

织梦内容管理系统一直以方便快捷强大而著称，但是这次..就连官网也受到影响…

最新消息，其实我是在微博上看到有人发布了这个消息。

织梦V5.7SP1版本安装包内被人植入了一句话木马。

我自己亲自去测试了一下，果真，被人植入了一句话木马。

所幸的事，我管理的两个网站并没有被植入（是因为之前早些日子被下载的原因吧！）

木马位置在uploads->include->shopcar.class.php文件中的第32行。

连官网都被日了- -最近下载了织梦并且传上服务器的朋友，要小心了。。

修复方案：删除@eval(file_get_contents(‘php://input’))，以及针对服务器进行全面的扫描杀毒。