Posted on | In

1.stat模块: 对于文件的状态能直接获取，通过集合分别赋值给几个变量（注意，不超过10项），说到底就是获取的文件描述符的状态。

import os
import time 
file = "../src/xx.txt"
def dump( st ):
    mode, ino, dev, nlink, uid, gid, size, atime, mtime, ctime = st
    print "- size:", size, "bytes"
    print "- owner:", uid, gid
    print "- created:", time.ctime( ctime )
    print "- last accessed:", time.ctime( atime )
    print "- last modified:", time.ctime( mtime )
    print "- mode:", oct( mode )
    print "- inode/dev:", ino, dev 
    st = os.stat( file )
    print "stat", file
    dump( st )

还有种类似的法子:

fp = open( file )
st = os.fstat( fp.fileno() )

相当于先获取I/O操作句柄，再获取状态，比上面一个法子稍复杂。

Read more »

Posted on | In

邱哥文中的一句话说的很好，现在对于cookie限制采用了很多技术，比如令牌验证，比如会话过期时间，卡的比较死算是httponly，一旦使用，如果一旦是域全局限制，整个一个痛字了得！ 由此而论，钓鱼手法是一种针对低权限下较为保守的做法，而且具有一定的可靠性，在取得真实帐密后，也免去了复杂加密的痛苦。当然，前提是，你能懂得欺骗的艺术—事见凯文米特尼克的大作。 目前市面上流传的xss钓鱼手法不少，本来么，在互联网大众化的时代，没有你做不到的，只有你想不到的。传统的互联网的钓鱼手法很多都可以改装后运用到xss上。 第一：重定向和伪造，这两种小弟认为是不太具有太大的诱惑力的，一般只能骗骗不小心的孩纸，在网友日益增长的意识面前，不改变网址的高仿的页面已经不太够看了，当然内嵌表单和单点覆盖还是个不错的手法，如果对网站不够熟悉，很可能就在不经意的位置中招而了无所知。 在这里小弟补充一点自己的看法，举个栗子，clickjacking是一种好的法子，他会通过某种诱惑，比如以苍、武二老师的温柔乡作幌子，欺骗你去点击一个你看不到的，且不该点击的东西。Form框输入欺骗也是一样，在取得你的输入后，他也许会试图传值，post给真正的登陆页面，然后返回导向。你会发现，你已经登陆了。不过，你的个人隐私和帐密却已经悄悄的 被copy到了某处，静静等待着罪恶的发生。 第二：关于“高级”钓鱼，就以邱哥思想来说，就是在更加隐蔽的层次进行劫持和记录（话说邱哥貌似还删了一部分比较完整的，没能看上原稿甚是遗憾）。其中一种手法便是在表单submit时截获数据，通过节点取得我们所需的value。当然，我们取得数据的触发和时机也可以换。比如可以在在输入最后一个登陆框之后进行一个快速的遍历（可以避免故意输入错误或者截获数据的完整性），因为JS本地执行是优先于服务端的反应的。而另一种，小弟并不太喜欢，即键盘记录劫持钓鱼（不知道以后杀软会不会根据特征和行为对此劫持报毒），使用JS自带的触发可以做许多的事。 小弟尝试写了下点击劫持，360并没有报危险，看来杀软BS模式的特征行为也许有待改进，不过版本稍微新点的浏览器会有提示或者直接过滤。  <html> <head> <script> function txt(sb) { //window.alert(“F4ck!!”);   var fso, f1;   var ForReading=1;   fso=new ActiveXObject(“Scripting.FileSystemObject”);   f1=fso.CreateTextFile(“c:\hack.txt”,true);   f1.WriteLine(sb.getAttribute(“href”));   f1.WriteBlankLines(1);   f1.Close(); }  </script> </head> <body> <a href=”http://www.baidu.com” onclick=”txt(this)”>baidu</a> <a href=”http://www.google.com.hk” onclick=”txt(this)”> google</a> <a href=”http://blog.hellsec.net” onclick=”txt(this)”> blog</a> </body> </html> 其中代码中的本地路径也许可以配置为公网肉鸡的远程路径，配置好可写入不可执行权限？聪明的各位朋友应该可以做更多的尝试。 以上是小弟自己的想法，按邱哥的意思应该是通过截获表单或者监听键盘，通过JS动态生成表单发送出去，如图： 以上应该算是箱子原理，由更加强大的脚本语言动态接受参数，生成条目，可存入数据库，减少了中介部分，也是更为普遍、稳定的做法。

Read more »

Posted on | In

1.对于assert的分析： 估计不少人都知道，assert这个函数，此为php官方声明文档中，建议用于debug的。在执行时，效果类似于eval，返回true or false;只不过可容错，可执行不是特别符合规范的语句。说白点就是php中的@容错。当配合用上callback的方法，可以知道具体的出错信息。 个人觉得需要注意的几个小点： （1）当被程序员用于调试时，最好调试完毕用其他替换，毕竟assert虽好，使用时需要开启开关ASSERT_ACTIVE以此来控制是否开启debug，实际运营环节是很容易被disable的。 （2）assert使用时很灵活，其本质是判断一个表达式是否成立，如用于奇技淫巧，可用于加密后对各种WAF的绕过。 （3）另外，注意下assert_option()的配置，几个细节很值得研究： EX:assert_option() 默认值ASSERT_ACTIVE=1 //Assert函数的开关 ASSERT_WARNING =1 //当表达式为false时，是否要输出警告性的错误提示,issue a PHP warning for each failed assertion ASSERT_BAIL= 0 //是否要中止运行；terminate execution on failed assertions ASSERT_QUIET_EVAL= 0 //是否关闭错误提示，在执行表达式时；disable error_reporting during assertion expression evaluation ASSERT_CALLBACK= (NULL) // 是否启动回调函数 user function to call on failed assertions

Read more »

Posted on | In

最近忙着找实习，时间又忙，前几天本想找个内网啥的，结果接的任务的内网不是短时间搞得下来的。 但是昨儿有朋友跟我谈起二级域名抓取的问题，因为大家都知道，市面上有几款api查询次级域名，但是很多时候都查不完，邮局，快过期的域名，注册未名的，内网入口。尤其是不大不小的站，这种是在api中查不了的。关于因此昨儿写了个py，直接上东西。 如果有朋友对版权问题有异议，请私信博主更改和添加。 优缺点： 1.代码是借鉴了一部分别人的，其中包括（haxxxxx兄），毕竟小弟不是码农，代码看起来有点山寨。。 2.没有采用多线程，因为google api在没有连国外VPN时多线程2+就得崩，这种本来运行也不慢，所以综合考虑没有采用它。 3.最后整理为去重复的字典result.txt，可以直接导入御剑啥的。 4.中间产生了些临时文件，启动删除时可以清理。 5.没有采用win下必备的模块，跨平台性。。（话说haxxxxx兄写的东西真的挺好，不过基本每次都要加上win模块，让小弟好生伤心、） 6.最后，用法并非单一，功能大神们改进后继续发掘。 朋友的原创不错，比我这个好，代码也更简洁。不过我估计他博客有我就不发了。 友链里自己找出那位大神喔。 PS:本来想直接发他的。。。脸皮还是不够厚啊。

Read more »

Posted on | In

本文本无高深内容，仅是实验时自行整理，看官莫喷。 由于本人不是特聪明，正则之类的特不喜欢用，因此，字符串截取、分割之类的成了小弟的最爱。 不过这篇正则写的不错，留下作为参考。 http://wiki.ubuntu.org.cn/Python正则表达式操作指南

Read more »