搜索中心

产品

灵洞 - 网络资产攻击面管理平台

华云安

288

0

实现完善的攻击面管理(ASM)，针对高价值风险进，行精准处置。提供云上、云下全视角的数字资产盘点、暴露面检测、攻击面验证和实时的响应处置，将精力聚焦在真正的安全风险上。

我眼前的这个孩子叫 Jerry ，是个刚毕业的社畜。第一次和 Jerry 的对话很平常：“ Hi，我从 github 来的。”然后我邀请他进了官方微信群。看到这个 id，自然想到了我们小时候的动画片“ Tom and Jerry ”。果不其然，我问他为什么叫 Jerry ，他说希望自己能像 Jerry 一样聪明。Jerry 给我的印象是一个熟悉黑客技术的规矩男孩。那时候我并不知道这位小男孩会有这么大的爆发力，不然我当时肯定好好抱一下大腿。

shiro 这玩意今年出现在大众视野里，众多师傅大喊hvv没有shiro不会玩，实际上追溯这个洞最早开始时候是2016年的事情了，也就是说因为某些攻防演练，这个洞火了起来，当然我也聊一点不一样东西，因为其他东西师傅们都玩出花了。

​最近因为工作问题需要接触到shiro继而想起shiro两个非常有名的反序列漏洞，shiro550（CVE-2016-4437）和shiro721（CVE-2019-12422），这两个洞曾经不管是在大大小小的攻防演练中大放异彩，也是很多安全公司的面试官喜欢问的面试题目，借着工作的间隙，重温一下这两个经典的漏洞。

怎么回事，都4202年了，斯叔不允许还有人不会对API接口进行渗透测试。 ·show time 其实这种api的测试各大厂商都有对应的自动化工具了，以绿盟为例，我看在绿盟的朋友用的EZ（类似于xray的一款工具）里面就直接集成了对api的扫描测试，可以通过调用对应的参数实现躺着收洞。