最近在整理笔记，找到了之前为某厂商的测试记录，特此分几篇文章来记录下用到的一些小技巧，以提高渗透测试效率。今天的主题是：Javascript 接口安全，JavaScript文件泄露有可能会给我们的信息收集带来极大的便利，如子域名、后台地址、泄露的口令等信息，另一方面也可能会造成很多安全隐患，如JS劫持、蠕虫等攻击。0x01 什么是JavaScriptJavaScript 是 web 开发者必学的三
一、常见的内存泄露类型 1.造成内存泄露的代码： （1）循环引用 （2）自动类型装箱转换 （3）某些DOM 操作 2.循环引用 著名循环引用的例子（IE6，FF2）： function A(){
var a=document.createElement("div");
a.οnclick=function(){
alert("hi");
}
}
A()
作者：小刚 一位苦于信息安全的萌新小白帽，记得关注给个赞，谢谢 本实验仅用于信息防御教学，切勿用于其它用途信息泄露敏感信息作用1.robots.txt2. .git敏感文件3.物理路径泄露4.报错页面敏感信息泄漏5.备份文件泄露6.目录浏览7.其他乱七八糟总结 敏感信息什么是敏感信息：敏感信息包括但不限于：口令、密钥、
原创
2021-11-26 11:26:13
1008阅读
关于git泄露的一些简单操作关于.git泄漏可以使用GitHack进行.git泄露的利用，工具下载地址：https://github.com/BugScanTeam/GitHack我这里是windows10环境，使用是需要将git环境安装在环境变量里。安装了git后， 在当前文件夹右键打开git bash环境（这里的python版本为2.7）python GitHack.py http://cha
# 实现“Java日志敏感信息泄露”教程
## 整体流程
下面是实现“Java日志敏感信息泄露”的整体流程，可以用表格展示步骤：
| 步骤 | 描述 |
| ---- | ---- |
| 1 | 引入日志框架 |
| 2 | 配置日志框架 |
| 3 | 编写日志输出代码 |
| 4 | 在输出敏感信息的地方使用日志输出 |
## 具体步骤
### 1. 引入日志框架
首先需要在项目
下配置信息<servlet-mapping> <servlet-name>mailmaini</servlet-name> <url-patte
原创
2021-12-25 11:20:15
407阅读
# 如何在 Spring Boot 中实现敏感信息泄露防护
作为一名刚入行的小白，敏感信息泄露的防护是一个非常重要的话题。在这篇文章中，我们将通过实现一个简单的 Spring Boot 应用来展示如何泄露和保护敏感信息。为了更好地理解这个过程，我们将按照以下步骤进行：
| 步骤 | 描述 |
|------|------|
| 1 | 创建 Spring Boot 项目 |
|
文章 安卓学习 测试 app：diva 点 不安全的日志输出 主要是由于 app 代码中将敏感信息输出到 app 的 logcat 中 使用 adb 工具查看安卓日志：adb logcat 硬编码 开发人员将/密钥等敏感字符字节写在源代码中 不安全的存储 将敏感数据保存到配置文件xm
原创
2022-01-21 11:18:34
1680阅读
# 在Spring Boot中实现敏感信息泄露的自动配置
在现代的Web应用开发中，敏感信息管理是一个非常重要的议题。Spring Boot提供了许多特性来帮助开发者有效管理这些信息。本文将向您展示如何在Spring Boot中实现敏感信息泄露的自动配置。以下是整个流程的概述：
## 整体流程
| 步骤 | 描述 |
|------|-
一、大背景 最近做的自动化测试平台需要进行重构，将原有的系统拆分成几个独立的子系统，我负责用户系统的开发，同时需要兼容老系统，我的头希望我采用spring security来进行权限控制和管理。有以下几个问题需要解决： 1、如何兼容已有的老的权限体系。 2、用户系统登录之后，如何将认证信息同步到其它子系统。二、调研还是按照惯例了解一下spring security到底是什么东西，基本的原理到
1.装箱即用的spring security加入依赖，加个配置即可——应用场景：eureka server,hystrix dashboard,springboot admin等，用于增加登录验证（基于cookie：jssessionId实现用户session的，不能用postman等工具来测试）。该应用场景效果基本nginx配置账号密码验证差不多<dependency>
1.和 Spring 无缝整合。
2.全面的权限控制。
3.专门为 Web 开发而设计。
3.1 旧版本不能脱离 Web 环境使用。
3.2 新版本对整个框架进行了分层抽取，分成了核心模块和 Web 模块。单独引入核心模块就可以脱离 Web 环境。
4.重量级(缺点)。1.轻量级。Shiro 主张的理念是把复杂的事情变简单。针对对性能有更高要求的互联网应用有更好表现。
2.通用性。
最初的想法是通过在实体类的getter方法操作，让它从数据库返回值过后运用自己的脱敏策略重新赋值不过这种方法有弊端，如果在后端还要使用值的话，拿到的值不是数据库的真是的数据，所以只能在springmvc返回前端的时候操作（如果从数据库后获取值不操作的话，可以直接在getter方法上面写）下面采用自定义注解和拦截器的方式引入fastjson依赖<!-- fastjson -->
<
几乎每个应用程序都会使用一个应用程序编程接口（API）。然而，从安全的角度来看，API也伴随着一些常见的问题。Gartner预测，API滥用将是2022年最常见的攻击类型。那么，API到底面临着什么问题呢？数据安全保护者应该如何做呢？普遍的API风险2019年，OWASP公布了10个需要注意的Web应用数据安全风险。包括：数据暴露：当开发人员公开其对象的所有属性而不考虑这些项目的私密程度的情况下，
转载
2023-10-30 12:49:05
201阅读
在详细使用说明上里，对nginx的一个部分已经进行了说明。这节开始解析http部分。在当前我的nginx.conf的配置如下： 可以看到配置项还是非常多的（这是LNMP包自动默认的配置选项）。1.Include mime.types 这是nginx加载当前的一个mime.types类型打开，可以看到该文件对应的是&n
在真实业务场景中，数据库中经常需要存储某些客户的关键性敏感信息如：身份证号、银行卡号、姓名、手机号码等，此类信息按照合规要求，通常需要实现加密存储以满足合规要求。痛点一通常的解决方案是我们书写SQL的时候，把对应的加密字段手动进行加密再进行插入，在查询的时候使用之前再手动进行解密。此方法固然可行，但是使用起来非常不便捷且繁琐，使得日常的业务开发与存储合规的细节紧耦合。痛点二对于一些为了快速上线而一
数据库服务敏感信息泄露2详细描述检测到服务器返回的页面信息中包含数据库错误信息，这是由于web应用程序没有正确处理用户输入和处理数据库异常导致的。通过数据库错误信息可以得知后台数据库类型，甚至数据库结构。为进一步SQL注入攻击提供有利信息。解决办法对于开发人员，采用安全编程方法捕获数据库异常，不要显示错误信息。有效过滤用户输入，限定数据类型，定义接收数据的最长和最短长度。关
转载
精选
2014-06-04 08:57:14
1170阅读
在日常开发中，我们可能会不小心将敏感信息提交到 Git。为了防止这种情况，可以利用 Git Hooks 编写一个简单的脚本，当发现提交中包含敏感词时，给出提示。通过这种方式，可以有效地防止敏感信息的泄露。你可以根据需要添加更多的敏感词。
前言Spring Security 是针对 Spring 项目的安全框架，也是 Spring Boot 底层安全模块默认的技术选型。他可以实现强大的 web 安全控制。对于安全控制，我们仅需引入 spring-boot-starter-security 模块，进行少量的配置，即可实现强大的安全管理。记住几个类：WebSecurityConfigurerAdapter：自定义 Security 策略
首先，我们 说起信息安全，大家都有自己的看法，今天我们就来实现一下密码编码学中简单加解密码的实现，当然主要因素是给女朋友要传递传递别人看不懂的信息可怜。
现在，我们就说一说实现步骤的具体规划，首先，我们需要确定编程使用的语言和环境，初步计划使用Android的编程环境，编写一款便于手机上使用的小软件，
