测试驱动文档在后端 API 开发中的实践
很多人了解过 Python 的 doctest，是从注释中写测试，我们现在反向思维，从测试生成文档。
2017-人生无限公司
最近写后端遇到的几个问题
数据库 id 字段溢出某个系统，突然数据库无法插入数据，报错如下[2017-04-22 23:17:55] - [ERROR] - [utils.api.api:146] - integer out of rangeTraceback (mos...
前端 MVVM 框架可能出现的安全问题
这些年，AngularJS、React 和 Vue.js 算是前端框架中比较热门的，相对于 jQuery 等框架，有一些不太一样的可能出现问题的点，当然都是集中在 XSS 上。模板注入类似后端模板注入，前端模板注入也是存在的，被分析最多的还是 A...
英语流利说-懂你英语使用感受
一个偶然的机会接触到了英语流利说，很惊喜，可以通过自动化的语音识别来标注发音情况。根据一些资料，英语流利说是使用了离线的神经网络语音识别，因为已知正确的文本和发音，只需要将用户的发音尽量和已知文本上对齐就好了，也就是GOP算法。英语流利说课程分两...
Python 模板字符串与模板注入
这几年比较火的一个漏洞就是 jinjia2 之类的模板引擎的注入，通过注入模板引擎的一些特定的指令格式，比如{{1+1}}而返回了2得知漏洞存在。实际类似的问题在 Python 原生字符串中就存在，尤其是Python 3.6新增 f 字符串后，虽...
2017
2015年经历的太多，而又不想写出来。2016年看似风平浪静，其实可能还有更大的考验在等着。2016年“重大”事件记录 6月份之前，借助之前的一个开源项目写了毕业论文，顺便当做说明书用。第一次用$\LaTeX$，一个让人又爱又恨的语言。当然答辩...
PWNHUB Web第一题writeup
题目地址 http://54.223.46.206:8003/首先在HTTP头中可以看到 Server:gunicorn/19.6.0 Django/1.10.3 CPython/3.5.2，引用的站内资源只有一个js，然后回想起ph师傅的写过的...
Django CSRF 防护绕过漏洞分析
原始漏洞链接 https://hackerone.com/reports/26647使用 Google Analytics 进行 Cookie 注入 Google Analytics 会设置这样的 Cookie 来追踪用户访问__utmz=12...
Just Rock It 2016
大量高清原图和视频，流量党谨慎点开
Redis和SSRF
你以为bind了127.0.0.1就安全了么？
Python urllib HTTP头注入漏洞
已经发在了乌云知识库 http://drops.wooyun.org/papers/16905
sql注入时case when ... then ... else ...end 的应用
在基于时间的盲注的时候，一般使用的是if语句，如果符合条件就sleep，但是部分不能使用逗号的场景下，还可以使用case when #condition then ... else ... end语句来代替if语句，参考http://dev.my...
WordPress和Typecho xmlrpc漏洞
一般大家都关注WordPress，毕竟用户量巨大，而国内的Typecho作为轻量级的博客系统就关注的人并不多。Typecho有很多借鉴WordPress的，包括兼容的xmlrpc接口，而WordPress的这个接口爆出过多个漏洞，Typecho无...
运营商劫持造成的风险案例
山东移动在使用3/4G的时候，会在网页中插入一段js，然后在网页右下角显示一个流量球，显示你当前剩余流量，点击流量球还可以办理业务。