点击提醒,然后抓包: POST /dyid_proc.php HTTP/1.1 Host: tx.qq.com User-Agent: Mozilla/5.0 (Windows NT 6.1; WOW64; rv:22.0) Gecko/20100101 Firefox/22.0 Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8 Accept-Language: zh-cn,zh;q=0.8,en-us…

数据包: POST /my/index.php?mod=securityinfo&op=AjaxUpdateTipsSet HTTP/1.1 Host: 888.sports.qq.com Connection: keep-alive Content-Length: 138 Accept: application/json, text/javascript, */* Origin: http://888.sports.qq.com X-Requested-With: XMLHttpRequest…

记录了安全测试过程中发现的一些典型的安全问题 YS忘记密码机制存在缺陷,可导致任意用户口令被修改[高] 问题描述: YS网站提供用户密码修改功能,当用户忘记密码时可通过该功能找回密码,但该修改密码的流程存在如下问题: 1.  手机验证码过短(只有4位且为纯数字),很容易被暴力破解. 2.  只单纯通过手机验证码来判断用户的真伪,在输入手机验证码后直接在页面上进行密码修改,而不是采用更安全的多重认证的方式. 测试步骤: 1.  安装burp并启动http请求拦截功能. 2.  打开YS首页,选择“…

百度,自始至终只是一个低劣的模仿者,且一切向前看,完全违背了一个搜索引擎所应该遵循的基本原则.谁给的钱多就能搜着谁,这跟贩毒有什么区别? 腾讯也在模仿别人,但是,它是模仿然后超越.在中国互联网发展历史上,腾讯几乎没有缺席过任何一场互联网盛宴.它总是在一开始就亦步亦趋地跟随.然后细致地模仿,然后决绝地超越.比如当初的游戏. “从QQ游戏平台上线那天起,联众的失败就已经注定了.”多年以后,在北京知春路的一家咖啡馆,联众创始人鲍岳桥谈起当年腾讯对联众的围剿和逼迫,仍然耿耿于怀.在两个小时的采访中,他连…

http://tgideas.qq.com GET /cgi-bin/comments/sendreply.cgi?iActivId=1&iSubActivId=215722&iParentId=2156&sSenderName=y0umer&iSenderZone=0&sContent=csrftest HTTP/1.1 Host: apps.game.qq.com User-Agent: Mozilla/5.0 (Windows NT 6.1; WOW64; r…

触发点:http://jifen.qq.com/html5/index.html?ADTAG=JIFEN.MART.INDEX 随意兑换一个商品: 因为刚才我已经兑换过了,所以积分没有了.. 没关系,我们换一个QQ! 首先我们查询下积分: 然后我们直接访问以下链接: http://jifen.qq.com/cgi-bin/mart/pay_item.cgi?GoodsID=商品编号&aid=JIFEN.OTHER.1129.CLICK&callback=http%3A%2F%2Fjifen…

触发点: http://city.hn.qq.com http://city.hn.qq.com/auto/c=shop&m=bbs&id=668 POST /msgboard/message.php HTTP/1.1 Host: c1.city.qq.com Connection: keep-alive Content-Length: 201 Cache-Control: max-age=0 Accept: text/html,application/xhtml+xml,applicat…

题目链接 :http://poj.org/problem?id=2729 题目很长,有不少也是废话.类似小时候玩的坦克大战.每个坦克速度为10,炮弹速度为20.子弹出界就消失,坦克出不了界限.相向的子弹碰撞不会消失(区别与小时候的游戏,炮弹可以抵消). 坦克可以90转向...不少条件题目中仔细读可以知道. 在这里需要注意的是,由于炮弹速度和坦克移动的速度不一致,导致对于一个时间单位,坦克与子弹在坐标上的处理挺困难.因为如果子弹在最左小角,向右边发射,坦克刚好在子弹右边一个单位,而坦克正好向左边运…

实验目的 了解CSRF漏洞导致Webmail管理员帐号密码任意被修改 实验原理 当我们打开或者登陆某个网站的时候,浏览器与网站所存放的服务器将会产生一个会话(cookies),在这个会话没有结束时,你就可以利用你的权限对网站进行操作.然而,攻击者就是利用这个特性,让受害者触发我们构造的表单或者语句,然后达到攻击者想要达到的目的. 实验内容 CSRF漏洞导致Webmail管理员帐号密码任意被修改 实验环境描述 实验环境描述 攻击机:H006004002win01 靶机:H006004002win0…

前几天接一个客户电话,PPPoE下用户异常掉线,掉线后拨号困难 到达后,我首先查看PPPoE日志,发现一秒钟内有大量PADI包,浪费服务器的SESSION,同时让服务器无法处理其他用户的请求. 打开Wireshark后,发现用户使用协靠的MAC地址,就是自定义数据包,来发送数据 这种大量的PPPoE请求,严重浪费了PPPoE SERVER的资源,导致服务器没有办法正常接受用户的心跳包,导致掉线 同时服务器在一秒内同时处理上百个PPPoE请求,导致无法处理正常用户的请求,导致的无法上线的问题. 后…