Chào các bạn đã quay trở lại với chanel youtube của mình! Ý lộn, sửa Chào các bạn đã quay trở lại với blog của mình manhnv.com. Cũng đã lâu rồi, được hẳn 1 tuần rồi mình chưa ra bài viết nào vì mình hết ý tưởng viết bài rồi (sad x3000). Nửa đêm vỗ gối ruột đau như cắt, nước mắt đầm đìa, chỉ hận không có nhiều ý tưởng hơn để viết thật nhiều bài cho các bạn đọc cho vui, nhất là dịp covid này thì phải có bài mới cho mọi người đọc đỡ buồn đúng không nào.

Đọc tiếp...

CVE-2019-7164: Lỗ hổng trong SQLALchemy (version 1.2.17 và 1.3.x đến 1.3.0b2) cho phép SQL injection thông qua tham số order_by. Lời mở đầu Câu chuyện nó không có gì thú vị lắm nếu như tối không ngồi rảnh tay bấm vào xem source code của từng project cũ tôi từng viết trên github. Một ngày trời mưa ( theo tôi thì Hà Nội nắng nóng lâu rồi nên hôm nào mưa chính là ngày đẹp trời ), tôi vào xem lại từng project đã từng viết trong github của mình và nhận được một alert từ github: We found potential security vulnerabilities in your dependencies.

Đọc tiếp...

"Heartbleed - Trái tim rỉ máu" là một lỗ hổng bảo mật rất nghiêm trọng, có mức độ ảnh hưởng đến 2/3 thiết bị internet trên toàn cầu. Vậy thì 'Heartbleed' là gì? cũng như cách hoạt động của nó như thế nào? Các bạn hãy đọc tiếp bài viết này của mình để biết chi tiết hơn. Lỗ hổng Heartbleed là gì? Heartbleed là một lỗ hổng được tìm phát hiện vào tháng 4 năm 2014.

Đọc tiếp...

Cross Site Request Forgery viết tắt là CSRF. CSRF là một trong những hình thức tấn công phổ biến nhất của những kẻ gửi thư rác và những kẻ lừa đảo trực tuyến. Cách khai thác tấn công CSRF khá là phức tạp nhưng nó lại rất phổ biến. Nhưng các cuộc tấn công CSRF có thể rất dễ dự đoán và vì vậy mức ảnh hưởng của nó ở mức vừa phải.

Đọc tiếp...

WebShell là 1 dạng mã độc, cửa hậu có nhiều chức năng để hỗ trợ các hacker chiếm quyền quản lý các hệ thống website.WebShell thường được viết bằng nhiều loại ngôn ngữ và thường thì chính là ngôn ngữ mà website đó đang sử dụng. Chức năng cơ bản là tải tệp tin lên máy chủ, kết nối đến cơ sở dữ liệu, vượt qua các cơ chế bảo mật, cấu hình, tấn công bruteforce, Get Root, Local Attack… chỉ cần hacker có thể tải được các tệp tin webshell này lên hệ thống của website thì xem như hacker đã có toàn quyền kiểm soát website đó, cho dù không biết tài khoản và mật khẩu của máy chủ này là gì.

Đọc tiếp...

Lời giới thiệu đầy ngọt ngào Một ngày đẹp trời, team của chúng tôi (Sun*$hell) được thách thức pentest cho một trang web chuẩn bị release, chính xác là còn 2 tiếng đồng hồ nữa là release. Chúng tôi đã không ngần ngại nhận lời thách thức này :D Sau một thời gian cật lực tìm kiếm lỗ hổng nào là XSS, Sql injection,… (một danh sách lỗi hay gặp ở trên web) thì cũng thấy đội devs kiểm tra khá là tốt giá trị từ người dùng, và hầu như không gặp một lỗi cơ bản nào.

Đọc tiếp...

Mô tả Thực thi mã từ xa - Remote Code Execution tên viết tắt là RCE. Có thể hiểu là bạn sử dụng một số kỹ thuật nào đó để có thể chiếm được quyền điều khiển trên máy nạn nhân, thông qua đó có thể thực thi những câu lệnh shell, bash …, hoặc thực thi code của những ngôn ngữ kịch bản (script) như python, perl, php, javascript, …

Đọc tiếp...