中国蚁剑是一款开源的跨平台网站管理工具，它主要面向于合法授权的渗透测试安全人员以及进行常规操作的网站管理员。4月12日凌晨，有用户在中国蚁剑GitHub上提交了issue，称发现中国蚁剑存在XSS漏洞，借此可引起RCE。据悉，该漏洞是因为在webshell远程连接失败时，中国蚁剑会返回错误信息，但因为使用的是html解析，导致xss漏洞。当通过中国蚁剑连接webshell，出现连接失败情况时，中国

前言对于我这个菜鸟来说，我通过谷歌百度学习到很多前辈的资料，甚至每句话都是他的指导，我也很感激前辈的为我们铺设的道路，让我们更快的成长起来。我也乐于分享，可能有些知识点过于单调或者久远，请见谅。 waf前几天花了10买了一个月的服务器，换个waf来测试。Test遗漏标签就不测试了，上一篇水文的分享的标签也可以过，不信找几个试试= =好吧非常打脸，拦截了。然而换个prompt()函数???

英国内政部向240名欧盟公民发送了电子邮件道歉，这些公民因为所谓的“行政失误”而无意中泄露了他们的电子邮件地址，这期间他们申请根据欧盟永居方案获得在英国的定居身份。240名不幸的人是由于接收内政部发来的电子邮件，要求他们重新提交他们的信息，然而，他们收到的电子邮件在抄送（CC）区域内可以看到所有收件人，而没有使用更适当的暗抄送（BCC），它会隐藏电子邮件列表。收到道歉邮件的欧盟公民之一丹麦公民娜塔

这一系列文章将为大家展示如何在单页或JavaScript富应用上，使用Sboxr实现DOM XSS漏洞的自动挖掘与利用。我们将以https://domgo.at靶场中的10个DOM XSS的小练习为例，并为检测到的问题创建简单的PoC。本文包含了前两个练习的设置说明和解决方案。其余的我们将在后续的文章中陆续为大家呈现。我们还将在Appsecco books发布一个gitbook，其中包含了所有练习

一、背景360安全大脑首次披露：兼容安卓64位的Android Native病毒——“假面兽”，其伪装手机系统文件、更新频繁，遂将其命名为“假面兽”病毒，感染总量达80万。该病毒目前处于活跃阶段，其利用加密混淆、HOOK和感染手机系统文件等多种技术手段，在中招用户手机上进行恶意推广、篡改系统文件、获取非法利益，将用户手机变成广告和垃圾APP的“乐园”，同时窃取用户的钱财。“长老木马”、“百脑虫”

2019年3月28日，火眼发布了一个包含超过140个开源Windows渗透工具包，红队渗透测试员和蓝队防御人员均拥有了顶级侦察与漏洞利用程序集。该工具集名为“CommandoVM”。安全工作者在对系统环境进行渗透测试时常常会自己配置虚拟机，如果是Linux的话还好，还有Kali Linux可以用。但是碰上Windows环境就惨了，往往配置虚拟机环境就要好几个小时。一边要维护自定义的虚拟机环境，

前几日，网络上曝出小米薄荷浏览器存在URL欺骗漏洞，攻击者可把恶意链接伪装成权威网站的URL，对受害者进行钓鱼攻击。小米公司在收到报告后迅速发布了安全补丁，修复了这一漏洞。但近期，又有人曝出该安全补丁不够严谨，轻易就可绕过。URl欺骗漏洞（CVE-2019-10875）据外媒报道，小米薄荷浏览器为了提升用户体验，在当你打开某个网络链接时，若链接类似于https://www.google.com/?

 0x00 搭建环境本地搭建测试waf测试，xss相关防护规则全部开启。 0x01 Self-Xss绕过测试脚本  <?php       $input = @$_REQUEST["xss"];   &nbsp

背景本地文件包含（LFI）可以说是一个相当厉害的漏洞，攻击者可借此获得服务器上的众多隐私文件，例如网站的配置文件，日志文件和源代码文件。有时甚至可以发展为远程执行代码。因此，LFI一般是我漏洞挖掘时的重中之重。大多数LFI都是由于动态加载图像或其他文件的代码出现缺陷引发的。如果服务器没有验证攻击者请求的文件名或路径是否安全，它就会主动向攻击者提供大量敏感信息。IKEA.com宜家是世界范围内的著名

背景概述国外安全研究员在3月发现了一款名为Golden Axe的勒索病毒，Golden Axe是一款用go语言编写的勒索病毒，使用基于RSA公匙加密体系的邮件加密软件PGP开源代码对文件进行加密。国外安全研究员在曝光Golden Axe勒索病毒时提到，该勒索病毒加密后缀为.UIK1J，但经过深信服安全团队对捕获样本的详细分析，该勒索软件实际上是加密后修改文件后缀为五位随机字符，每一次加密后生成的