YODS007 发布的文章 - YODS007‘s Blog

SSTI&&XXE

更新于 2025-09-17 | 分类: 研究社 | 作者: YODS007 | 0条评论

SSTI核心概念服务器端模板注入是一种发生在应用层的注入类漏洞。当攻击者能够将恶意 payload 注入到 Web 应用程序使用的模板引擎中，并且该 payload被服务器端作为模板的一部分进行解析和执行时，就构成了 SSTI 漏洞。技术原理模板引擎的...

阅读全文...

jwt

更新于 2025-09-15 | 分类: 研究社 | 作者: YODS007 | 0条评论

定义JWT（JSON Web Token）是一种用来在不同系统之间安全传递信息的标准。组成Header：是一个JSON，声明令牌类型和签名算法（比如是盖“公章”还是“私章”，用什么算法盖）。例如：{"alg": "HS256", "typ": "JWT"...

阅读全文...

花指令

更新于 2025-09-13 | 分类: 研究社 | 作者: YODS007 | 0条评论

定义花指令就是程序员故意放在代码里的一堆“废话”和“障眼法”，目的不是为了让电脑执行，而是为了把想破解软件的人和反汇编工具搞晕，让他们看不懂程序真正的逻辑。电脑很聪明，能自动忽略这些“废话”，但人眼看过去就会一头雾水。原理反汇编器就像一个“翻译官”，它把...

阅读全文...

更新于 2025-09-13 | 分类: 研究社应急响应 | 作者: YODS007 | 0条评论

感觉排查的思路大体都一样🧐 只是Windows和Linux是不同操作系统需要使用不同的方法入侵排查系统信息收集系统的版本内核信息(版本对提权的影响比较大并且如果系统是centos那么和系统是ubuntu的方法使用还会有差异)第一种方法可以进入以下两个...

阅读全文...

更新于 2025-09-13 | 分类: 研究社应急响应 | 作者: YODS007 | 0条评论

入侵排查信息搜集系统信息搜集在"win+r -> msinfo32"即可以打开系统信息这一步主要是了解设备的型号去利用设备型号相关的漏洞平时比赛遇到的不多重点在下面网络信息搜集netstat查看开放端口：C:\Windows\system32&...

阅读全文...