原文地址:http://drops.wooyun.org/tips/847 申明：本文旨在技术交流，并不针对“正方”（新版正方教务系统密码处理方式也换了，只是用这个做个引子而已……）！本文并没有什么深度，仅探讨已知明文、密文和算法的情况下逆向得Key的可能！ 0x00 背景 经常遇到基友求助类似Base6…继续阅读 »

原文地址:http://drops.wooyun.org/papers/4823 0x00 背景 最近某安全公司发现的glibc gethostbyname buffer overflow漏洞，该漏洞被命名为ghost，其原因是glibc的Gethostbyname函数在处理传入的畸形域名信息作解析时导致堆溢出，众多网络应用依赖glibc模块的将受到影响，现已经确认受影响的版本是gli…继续阅读 »

原文地址:http://drops.wooyun.org/tips/6220 0x00 前言 本文用识别由域名生成算法Domain Generation Algorithm: DGA生成的C&C域名作为例子，目的是给白帽安全专家们介绍一下机器学习在安全领域的应用，演示一下机器学习模型的一般流程。机器的力量可以用来辅助白帽专家们更有效率的工…继续阅读 »

原文地址:http://drops.wooyun.org/mobile/13428 0x00 前言 前段时间在乌云知识库上面看到一篇比较有意思的文章利用机器学习进行恶意代码分类 。这篇文章对Kaggle上的一个恶意代码分类比赛中冠军队伍所采用的方法进行了介绍，展现了机器学习在安全领域的应用与潜力。但是这个比赛…继续阅读 »

原文地址:http://drops.wooyun.org/papers/917 英文原文链接：http://insert-script.blogspot.co.at/2014/02/svg-fun-time-firefox-svg-vector.html 0x00 一个新的FF SVG Vector 如果你对SVG没有任何的概念，可能阅读起来会比较吃力。如果你觉得看不懂可以先百度一下SVG是什么，我们都用它在干一些什么。 首先…继续阅读 »

原文地址:http://drops.wooyun.org/tips/13555 0x00 前言 如果哪天有hacker进入到了公司内网为所欲为，你一定激动地以为这是一次蓄谋已久的APT，事实上，还有可能只是某位粗线条的员工把VPN信息泄露在了Github上恰巧被一个好奇的计算机junior发现了而已。 （更多…）

原文地址:http://drops.wooyun.org/tips/2460 from: http://labs.asteriskinfosec.com.au/fuzzing-and-sqlmap-inside-csrf-protected-locations-part-1/ http://labs.asteriskinfosec.com.au/fuzzing-and-sqlmap-inside-csrf-protected-locations-part-2/ 问题：http://drops.wooyun.org/tips/2444 附加其他案例(--eval): https://gist.github.com/McSimp/2602fd7ee7203e3…继续阅读 »

原文地址:http://drops.wooyun.org/tips/2140 0x00 背景 传统安全技术把用户生物信息作为信任对象进行可信计算来当作认证因子，包括对用户进行生物信息模式识别，对目标的生物模式进行密码学计算，对目标进行融合验证计算等。生物信息特征种类繁多，现阶段包括：指纹,人脸,语音…继续阅读 »

原文地址:http://drops.wooyun.org/papers/4820 0x00 背景 原文:http://securitycafe.ro/2015/01/05/understanding-php-object-injection/ php对象注入是一个非常常见的漏洞，这个类型的漏洞虽然有些难以利用，但仍旧非常危险，为了理解这个漏洞，请读者具备基础的php知识。 0x01 漏洞案例 如果你…继续阅读 »

原文地址:http://drops.wooyun.org/tips/15622 0x00 前言 如今物联网 RFID系统已经完全融入了我们的生活当中. 从楼宇门禁到 Apple Pay. 可以说其身影是无处不在.很多网友也分享了自己对RFID系统的安全测试心得.不过大多还是基于门禁卡和 Mifare-Classic 而言. 实际上在 Mifare 系列的大家族中还…继续阅读 »