我如何使用 Unicode 同字绕过 example.target.com 上的“管理员”名称过滤器
官网：http://securitytech.cc/“如果它看起来像'管理员'，感觉像'管理员'，读起来像'管理员'......真的是'管理员'吗？嗯，并非总是如此。🔍 火花一次深夜的虫子狩猎活动让我
阅读全文存储的 XSS 到权限升级到管理员接管到数据泄露
官网：http://securitytech.cc/介绍：我已经有一段时间没有发表文章了。在两年的错误赏金活动中，我获得了超过 15,000 个声誉点，以道德方式入侵了 250+ 个程序，并获得了几个
阅读全文我如何获得 Easy Admin Panel 访问权限和数据库凭据
官网：http://securitytech.cc/ 侦察阶段让我们直接进入它。将显示缩放图像我使用 Google dorks 选择了一个目标。这是一个自托管的 VDP 程序——我们称之为 .根据其范
阅读全文通过主机标头注入的 SSRF
官网：http://securitytech.cc/🕵️ ♂️ 我如何让服务器与我交谈（主机头注入到 SSRF） 🎯💣当我告诉服务员给我回电时，它确实给我回电了......😏“敲。”“谁在那里？”“你
阅读全文使用 JWTAuditor 轻松进行 JWT 渗透测试
官网：http://securitytech.cc/友好地介绍开源工具，使 JWT 安全测试更安全、更智能.嘿，安全爱好者们！👋让我给大家讲一个听起来可能很熟悉的故事。 一位安全专业人士提到看到至少三
阅读全文如何从私人 GitHub 仓库转储完整源代码
官网：http://securitytech.cc/背景故事在作为自由职业者参与漏洞评估和渗透测试 (VAPT)项目时，我的任务是测试一个 Web 应用程序。在收到客户的授权和范围后，我开始了我的常规
阅读全文我是如何获得两个 P1 和我的第一个错误赏金的
官网：http://securitytech.cc/早在 2025 年 5 月，我正式踏入了漏洞赏金的世界。我研究网络安全已经有一段时间了，但并没有积极寻找错误。所以我跳进了 HackerOne 这样
阅读全文长沙周末免费教游泳，只为多交个朋友
2025.7. 27 周末 android与linux漏洞直播，有兴趣扫最后的微信加作者。浮力人生：当游泳游进你的工作与生活，解锁更高维度的卓越在现代社会快节奏的齿轮下，每一位职场人都是身负重任的螺丝
阅读全文你能获得的最简单的漏洞赏金（2025）
官网：http://securitytech.cc/有几种漏洞类别相当容易理解。有些漏洞很容易追踪。然而，这类漏洞往往被归类为“重复漏洞”，因为有很多“追踪者”在寻找它们。我今天要讨论的这个漏洞是个例
阅读全文2025 年有效的 Web 应用程序防火墙 (WAF) 绕过技术
官网：http://securitytech.cc/了解现代攻击者如何躲过 WAF 的攻击，以及防御者必须采取哪些措施才能保持领先介绍Web 应用防火墙 (WAF) 曾被视为 Web 应用的终极守门人
阅读全文从“可能是误报”到 $$$$ 赏金：我如何利用一个被忽视的 API
官网：http://securitytech.cc/今天，我将与大家分享我最近在 hackerone 上的一个私人程序中发现的我认为是误报的发现。问题：我找一个私人项目已经有一段时间了。回报不错，范围
阅读全文从开放重定向到内部访问：我的 SSRF 漏洞利用故事
官网：http://securitytech.cc/你好呀，我是 Pratik Dabhi，一名漏洞赏金猎人和渗透测试员。你们中的许多人可能已经认识我，但对于那些不认识我的人，请访问我的网站了解更多关
阅读全文迟到的2025年半年总结
2025年全部更新的是rust课程相关，从0基本到web、服务器、客户、到驱动涉及主流行业。rust目录进度是总共6季，更新到了第四季的295节。 后面更新完 rust内容后，更新llvm、ai智能体
阅读全文长沙高温炼牛怪，底层牛怪(小舅子)送外卖，月差4百单扣千块
官网：http://securitytech.cc/底层牛怪送外卖长沙高温炼牛怪：月差百单扣千块暑假还没热透，长沙街头的温度却已经高过了锅里的油烟。七月流火，湘江两岸的空气仿佛被炖煮过一般，黏腻又灼热
阅读全文一个 SSRF 就能控制所有
官网：http://securitytech.cc/从一次回调到对服务器的完全控制。我坐在咖啡店里，打开笔记本电脑，准备开始新的一天。没什么特别的——直到我发现了比咖啡因更提神的东西。我正在探索的一个
阅读全文破解 JWT：漏洞赏金猎人指南（第五部分）
官网：http://securitytech.cc/通过头部路径遍历绕过 JWT 身份验证kid——一种隐秘的管理员接管方法“有时只需要一个空字节和一些路径遍历就能破解管理面板。”~ Aditya B
阅读全文你当领导了，公司找你要裁员名单，你会怎么办？同时你还在搞技术吗？
在当今市场环境中，裁员已成为一种常态化的商业行为。最近又在我们小圈子里聊到。对话如下。就问你，你还会保持初心吗？会躺平吗？纯粹下班当个话题而已，不带任何感情色彩在里面。
阅读全文如何在密码重置链接中使用主机头注入来入侵账户 — $$$$
在今天的博客中，我将分享一个我去年发现的有趣漏洞，该漏洞允许我通过操纵密码重置链接来接管用户帐户。此漏洞称为通过主机头注入进行密码重置中毒。🌟 什么是密码重置中毒？当您忘记密码时，网站通常会提供“忘记
阅读全文JavaScript、JWT 和不应该存在的密钥
🧠 前提有些黑客攻击不需要零日漏洞、漏洞链或精英工具。有时，您所需要的只是一个写得很差的auth.js、面向公众的 JavaScript 包，以及一点点好奇心。这是一个关于前端 JavaScript
阅读全文为什么 IDOR 无处不在 — 以及如何发现它们 — 第一部分
简介🔍不安全的直接对象引用 (IDOR) 是 Web 应用程序中常见且严重的漏洞，十多年来一直位列OWASP 十大漏洞榜单。该漏洞在开发过程中经常被忽视，攻击者只需修改输入参数即可访问未经授权的资源
阅读全文我如何利用侦察和IDOR攻击来获取数百张信用卡信息
我最近在一个漏洞赏金计划中发现了一个漏洞，访问控制中的一个小错误使我能够通过不安全的直接对象引用 (IDOR) 漏洞访问敏感的用户数据。背景在随意审查一个私人程序时，我注意到目标最近推出了一些围绕用户
阅读全文高薪下的沉默，离职后的呐喊：阿里员工的万字长文背后
最近，阿里某员工离职后发出了一篇万字长文，引发了整个行业的广泛共鸣。但实际上，他不过是成千上万身处焦虑与虚妄中的技术人中的一个缩影。真敢于说出真相的没几个，大多数人不是还在沉默，就是正在挣扎。今天，我
阅读全文他写透了人性的情与欲
有段话，这段时间特有感触。“在经历了世界的无情和残酷之后，有人选择跟世界一样残酷无情，有人则变得柔软和宽厚。”它让我想起日本的一个作家。幼年父母、姐姐相继去世，双亡，15岁最后一个至亲祖父也离他而去。
阅读全文由于 OAuth 配置错误导致的帐户接管
这是一次有趣的旅程，让我们立即开始吧。从 2 Click 到 ATO :D思维方式：从重复到发现我花了两周时间测试这个私人漏洞赏金计划。在此期间，我提交了五个不同的漏洞，从电子邮件中的 HTML 注入
阅读全文账户验证中的群发消息注入和IDOR攻击
大家好，希望大家一切顺利。今天，我将分享一篇详细的文章，介绍我在同一个程序中发现的两个影响深远的漏洞——这两个漏洞都影响了用户信任和核心账户验证功能。这个漏洞赏金计划的覆盖范围比较窄，只有 2-3 个
阅读全文利用 XSS 实现最大影响
— ﷽ — 最近查看我的数据时，我发现了一些有趣的事情。我报告最多的漏洞类型是XSS（跨站脚本）。我的 BugCrowd 提交类型和严重性这并不让我感到惊讶，我一直对客户端漏洞特别感兴趣。在这篇文章中
阅读全文EG-CERT CTF25 Flog：当前的 Arch 问题
今年的 EG-CTF25 专注于为参赛选手打造切合实际的挑战。我们的目标不仅仅是挑战他们，更在于帮助他们通过模拟真实渗透测试/漏洞搜寻场景的挑战来学习宝贵的技能。正因如此，我创建了 Flog 挑战赛，
阅读全文