Hack All Sec 的博客

手机途径手机号相关APP：提示需要下载更新App，短信中包含伪造的下载链接, 更新后重新登录。示例： 税务局提醒：请下载我们的官方App, 以便快速的办理退税事宜。针对男性：色情App。博彩App。游戏外挂。针对女性：假冒美容或健身应用：“亲爱的，发现一款新的美容秘笈APP，帮你焕发肌肤光彩，点击链接立即下载体验。”假冒购物优惠：“Hi美女，独家女性时尚购物APP来了，注册即享8折优惠，点击链接抢

- 阅读全文 -

概述在ChatGPT问世以来，我也尝试挖掘过ChatGPT的漏洞，不过仅仅发现过一些小问题：无法显示xml的bug和错误信息泄露，虽然也挖到过一些开源LLM的漏洞，比如前段时间发现的Jan的漏洞，但是不得不说传统漏洞越来越难挖掘，所以我们仍然有必要学习下Web LLM攻击相关的漏洞。通常Web LLM的组成结构主要由Web前端界面、LLM、API接口、后端服务层组成，后端服务层包括身份验证和授权组

- 阅读全文 -

简介MQTT是什么？MQTT（Message Queuing Telemetry Transport）是一种基于发布-订阅（Publish-Subscribe）模式的轻量级通讯协议，采用客户端-代理（Client-Broker）模型进行通信，基于TCP协议，属于应用层协议。它最初由 IBM 在 1999 年开发，目前已成为物联网（IoT）领域中最流行的通讯协议之一。MQTT 的发布-订阅机制可以很

- 阅读全文 -

下面是对这些私有 Docker 仓库工具的区别和优势的简要比较：工具优势Docker Registry官方支持，与 Docker 完美集成 简单易用，适合小规模部署 支持基本的认证和授权机制Harbor开源项目，提供丰富的功能和管理工具 支持用户和角色管理、镜像复制和同步、安全扫描等 适用于组织内部的 Docker 镜像管理Nexus Repository Manager通用的仓库管理软件，支持多

- 阅读全文 -

某次测试中Burp提示SOL statement in request parameter：点开一看，好家伙，sql语句明文传输，目测可能存在SQL注入漏洞：想着直接使用sqlmap一梭子直接搞定，结果啥都没检测出来，怎么可能？然后使用Xray和burp fuzz都无法注出数据库和数据表等信息，离了个大谱。但手工测试发现：收集sqlite注入语句，将Payload插入占位符中测试，借助Chat G

- 阅读全文 -