SecEvery - Technical knowledge sharing
xhys121zero
2025-09-24
Prometheus基本原理是通过HTTP协议周期性抓取被监控组件的状态，这样做的好处是任意组件只要提供HTTP接口就可以接入监控系统，不需要任何SDK或者其他的集成过程。这样做非常适合虚拟化环境比如VM或者Docker 。
xhys121zero
2025-09-24
某管理系统挖掘SQL注入漏洞，前台通过给的账号密码,进去，按顺序依次点击1、2、3，然后开启抓包点击4，抓下来数据包，到burp的重放模块。构造以下注入poc，可见注入延时了五秒，用户输入的语句成功拼接到原有的SQL语句上执行了，下面的poc是MenuIds的值。
guangen
2025-09-19
前台未鉴权早就被大手子们拿脚本刷完了 大部分EDUSRC都是弱口令拿到鉴权后才有更多测试点:越权，任意用户xxx、接口信息泄露、识别框架Nday测试、SSRF、get/post跑接口目录、有若依大概率就有druid登录，尝试一波弱密码,最后的最后就是,细心不浮躁，多看最新发布的文章
suhaynn
2025-09-19
拿下DMZ区设备后获取DMZ区administrator桌面下flag文件值,拿下二层网络设备获取某服务内的flag,拿下二层网络设备后获取根目录下flag文件值,拿下三层网络设备后获取pro用户桌面下的flag文件值
