赛克艾威-技术知识分享

SecEvery - Technical knowledge sharing

小程序反编译基础

北京赛克艾威科技有限公司
img

xhys121zero

2025-10-09

电脑打开微信储存目录，进到applet目录删除多余的小程序文件,用pc端微信打开所需的小程序,查看applet文件目录时会发现当前小程序的缓存储存文件...

黑名单过滤下为何还能无限制SQL注入

北京赛克艾威科技有限公司
img

wsYu9a

2025-10-09

这周看到了某公众号发的springboot+vue实现的一个后台管理系统。阅读量还挺高的，就下了一下源码翻一翻，发现里边漏洞还挺多的。尤其是SQL方面，作者虽然做了过滤但还是因为配置不当的导致SQL注入。

记两处奇葩的存储型XSS

北京赛克艾威科技有限公司
img

xhys121zero

2025-09-29

记两处奇葩的存储型,1.发现返回的订单号的一部分为可以自定义...

记一次绕WAF

北京赛克艾威科技有限公司
img

wahaha

2025-09-29

记一次绕WAF过程，第⼀次⻅这样的waf觉得挺有意思的，va的框架存在两处权限绕过...

prometheus+grafana云原生监控系统攻击面

北京赛克艾威科技有限公司
img

xhys121zero

2025-09-24

Prometheus基本原理是通过HTTP协议周期性抓取被监控组件的状态，这样做的好处是任意组件只要提供HTTP接口就可以接入监控系统，不需要任何SDK或者其他的集成过程。这样做非常适合虚拟化环境比如VM或者Docker 。