- 综合排序
- 最热优先
- 最新优先
- 来自专栏信安之路
批量挖洞从收集信息到数据存储
很多同学现在挖洞靠一些网络空间搜索引擎，比如 zoomeye、fofa 等，这些平台已经收集了网络空间上的大量信息，包括 IP 、域名、端口、网站 header、body 甚至还有指纹信息，在节省我们时间的同时 是否存在 waf、网站头、网页内容等信息，如果将网页内容都入库，会非常大，没必要，可以将网页内容中的关键部分入库就可以了，比如 jquery 等，可以根据自己的经验，提取关键内容，方便后续提取相关目标进行批量漏洞测试
1K40发布于 2021-10-12 - 来自专栏释然IT杂谈
【干货】自动化批量挖洞流程 之 四工具联动
但幸运的是，我依然在坚持挖洞，每段时间仍能吸收很多新鲜的知识。现在使用工具多了，斗胆有点自己的经验和想法，其实主要是想跟大家多学习一下。本文谈不上交流，谈不上参考，更谈不上指导。 0X01思路： 首先利用谷歌语法搜到网址，在潮汐上获取子域或C段，然后工具跑C段端口网页，筛选200正常包网页到TXT，接着放vulmap批量跑，命令联动burp，其中的插件能检测个别不知名的漏洞，接着后面再联动 当然，如果你适当的调低一点线程是可以的，但不建议太慢，因为它会很难跟上前面的数据包，对我而言，挖洞速度就达不到预期想要的快速批量检测的效果了。 0X03结话： 挖洞的过程是很枯燥的，没找到漏洞的时候最容易厌倦。想要提升自己，不单只是工作中学习，更多是业余时间去练习积累，需要更多一点的兴趣和更多一点的坚持。 虽然每个月3、4千，但离家近，步行10分钟就到。每个月发下来的工资也不用怎么花销，你能说不安逸吗？ 但是，年轻的安逸有啥意思，明显这样工作一眼都能看到终点了。
2.6K30发布于 2021-11-16 - 来自专栏释然IT杂谈
【干货】自动化批量挖洞流程 之 四工具联动
但幸运的是，我依然在坚持挖洞，每段时间仍能吸收很多新鲜的知识。现在使用工具多了，斗胆有点自己的经验和想法，其实主要是想跟大家多学习一下。本文谈不上交流，谈不上参考，更谈不上指导。 0X01思路： 首先利用谷歌语法搜到网址，在潮汐上获取子域或C段，然后工具跑C段端口网页，筛选200正常包网页到TXT，接着放vulmap批量跑，命令联动burp，其中的插件能检测个别不知名的漏洞，接着后面再联动 当然，如果你适当的调低一点线程是可以的，但不建议太慢，因为它会很难跟上前面的数据包，对我而言，挖洞速度就达不到预期想要的快速批量检测的效果了。 0X03结话： 挖洞的过程是很枯燥的，没找到漏洞的时候最容易厌倦。想要提升自己，不单只是工作中学习，更多是业余时间去练习积累，需要更多一点的兴趣和更多一点的坚持。 虽然每个月3、4千，但离家近，步行10分钟就到。每个月发下来的工资也不用怎么花销，你能说不安逸吗？ 但是，年轻的安逸有啥意思，明显这样工作一眼都能看到终点了。
1.5K20编辑于 2022-10-27 - 来自专栏Devops专栏
10. 批量插入
10. 批量插入 前言 上一章节，我们使用 PreparedStatement 操作了 BLOB 字段，下面我们再来看看批量插入的操作。 批量插入 1. 批量执行SQL语句 当需要成批插入或者更新记录时，可以采用Java的批量更新机制，这一机制允许多条语句一次性提交给数据库批量处理。 通常情况下比单独提交处理更有效率 JDBC的批量处理语句包括下面三个方法： addBatch(String)：添加需要批量处理的SQL语句或是参数； executeBatch()：执行批量处理语句； clearBatch (): 清空缓存的数据 通常我们会遇到两种批量执行SQL语句的情况： 多条SQL语句的批量处理； 一个SQL语句的批量传参； 2. | test 6 | | 11 | test 7 | | 12 | test 8 | +----+--------+ 10 rows in set (0.00 sec) mysql> select
1.3K20编辑于 2022-01-17 - 来自专栏HACK学习
挖洞神器---JSFinder
除了这两种方式以外，还可以批量指定URL和JS链接来获取里面的URL。
8.3K20发布于 2019-08-06 - 来自专栏闪石星曜CyberSecurity
一次从内网到外网，黑盒到白盒的批量挖洞经历
前言：此次挖洞较为基础，分析得不足的地方望大佬指正。 内网挖洞： 建议像我这样入门不久的可以拿自己学校内网练练手先（得授权），再在在教育行业SRC等漏洞平台上挖掘漏洞，赢得认可，获取些动力。 因为在工作室辅助运维也知道服务器多在10.x.x.0/24这网段，这里我用Goby对该网段收集存活ip和端口。(因为真实ip可以绕过waf所以可以放开扫，当然其它大学就不一定了) ? 内网一堆漏洞emm，然后就可以用大佬的webalivescan批量扫一下Goby得的存活ip，获取标题，web指纹识别和简单的爆破一些目录 工具地址：https://github.com/broken5 直接administrator权限，提权都省了 外网批量： 上面图有：技术支持：xx公司 FOFA搜索关键词：xxx有限公司 ? 然后挑一个站，爆破，xx学校，学号通过谷歌语法来搜集。
1.5K20发布于 2021-04-16 - 来自专栏全栈程序员必看
Xray扫描器使用联动 burp，以及结合 fofa 批量自动化挖洞「建议收藏」
代码注入检测 (key: cmd_injection)：支持 shell 命令注入、PHP 代码执行、模板注入等 目录枚举 (key: dirscan)：检测备份文件、临时文件、debug 页面、配置文件等10 /xray webscan --plugins phantasm --poc /home/test/poc.yaml --url http://example.com/ 结合搜索引擎批量扫描 将 fofa 也可以在中间加一个 burp 设置burp 注意：浏览器代理到 burp，burp 再将数据发给 xray 参考文章： https://www.anquanke.com/post/id/184204#h3-10 xray 爬下来的所有补天的列表文件：butian.xlsx，大部分的站点是有权重的站点，去除gov站点，并把域名放到单独的xlsx文件中，利用excel的功能生成fofa查询语句 利用fofa收集工具，批量收集数据
3.8K20编辑于 2022-08-23 - 来自专栏闪石星曜CyberSecurity
crawlergo_x_XRAY实现自动化挖洞，实现躺着挖洞美梦
360 0Kee-Team 的 crawlergo动态爬虫 结合 长亭XRAY扫描器的被动扫描功能 (其它被动扫描器同理)
3.3K10发布于 2020-04-10 - 来自专栏F12sec
实战 | 一次从内网到外网，黑盒到白盒的批量挖洞经历qaq
已在先知社区发布 ” Part 1 内网渗透 内网挖洞： 建议像我这样入门不久的可以拿自己学校内网练练手先（得授权），赢得认可，获取些动力，再在在教育行业SRC等漏洞平台上挖掘漏洞。 内网一堆漏洞emm，然后就可以用大佬的webalivescan批量扫一下Goby得的存活ip，获取标题，web指纹识别和简单的爆破一些目录 工具地址： https://github.com/broken5 当然很多jsp马都没兼容，试了挺多这大佬的jsp马才成功 https://github.com/threedr3am/JSP-Webshells 直接administrator权限，提权都省了 外网批量 cmd=whoami" # 返回结果，默认是system权限 print('shell is here:'+shell_url) Part 2 代码审计 内网挖洞： 白盒审计: 最近刚好入门了java
92630编辑于 2022-09-29 - 来自专栏wuuconix
挖洞初体验 - wuuconixs blog
这个暑假没有回家，原因是因为实验室有某个神秘项目。其实也不神秘，就是让你去挖三大运营商网站的漏洞，这个网站不光是总站，还可以是分公司的站，比如说中国移动通信集团新疆有限公司伊犁州分公司。这个项目非常幸运地和vaala一起做，在过程中vaala帮助了我很多，非常感谢。
48420编辑于 2023-01-30 - 来自专栏FreeBuf
挖洞经验 | 记一次针对Twitter（Periscope）API 的有趣挖洞经历
近期，我在Twitter的Periscope服务中发现了一个漏洞。这是一个CSRF（跨站请求伪造）漏洞，虽然这个漏洞并不算是高危漏洞，但是发现该漏洞的整个过程我认为是非常值得跟大家分享的。 就在几天之前，我发现Twitter发布了一个名叫ProducerAPI的接口，该接口目前仅提供给Twitter的合作伙伴使用，Twitter的第三方合作伙伴可以在特定的应用（例如外部相机设备）中利用该API与Periscope账号同步流媒体视频。 注：在此之前，Periscope曾是一家流媒体直播服务运营商。广大
1.4K60发布于 2018-03-01 - 来自专栏红队蓝军
挖洞从思路出发：登录框实战
本文从挖洞过程的思路出发，完整讲述如何从0到1拿一个高危信息泄露。 同时作为一名挖洞的白帽子，要永远保持对参数和参数值的敏感！ 对小程序挖洞注意sessionkey的泄露，sessionkey可能会在登录时直接在请求包携带，所以对刚进入小程序那个数据包一定要抓住。 挖洞要记住一点：对现成接口的寻找利用的优先级大于FUZZ。 抓包域名转web页面后出现了一个登录框。 （剧透：第一个小程序页面的0513f其实是我的身份编号，后面会用到，但我在挖洞时是完全没注意到这点的，后面回来查看“犯罪现场”时才发现） 但我并没有立刻去测越权，或者利用凭证登录，个人习惯，在发现可能存在漏洞时我可能会先进行记录 鉴权这个问题挖洞会经常遇到，所以建议自己去做好总结，尤其是对于主流Nday未授权漏洞的总结。
95531编辑于 2024-06-17 - 来自专栏cayzlh
如何批量插入10万条数据
如何批量插入10万条数据 思路 批量插入的时候，一般有两种思路： 用一个 for 循环，把数据一条一条的插入（这种需要开启批处理）。 当然这种方案有好几个劣势，一是 SQL 太长了，甚至可能需要分片后批量处理；二是无法充分发挥 PreparedStatement 预编译的优势，SQL 要重新解析且无法复用；三是最终生成的 SQL 太长了 根据实际情况选择相应的批量插入手段。 Mybatis Plus的做法 其实 MyBatis Plus 里边也有一个批量插入的方法 saveBatch，我们来看看它的实现源码： @Transactional(rollbackFor = Exception.class 参考资料 10万条数据批量插入，到底怎么做才快？
1.8K10编辑于 2022-03-01 - 来自专栏字节脉搏实验室
记一次挖洞经历
我们学校用的查成绩一直使用的是某公司的app，但是由于查询量和手机版本等等原因，经常抽风，导致查询不了成绩，最要命的是只能在学校查询成绩，导致我这种在及格线上疯狂试探的没法过一个愉快的暑假暑假，于是在一个夜黑风高的夜晚，我决定看看app到底是怎么写的。
1.2K40发布于 2020-03-08 - 来自专栏py+selenium
【挖洞—信息泄露】骚操作经验分享
常规操作，一般都是dirsearch + URLfinder扫一遍，然后打开报告一个个分析确认。。
21210编辑于 2024-10-05 - 来自专栏技术猫屋
挖洞神器之XRAY使用初体验
post.php 2019-12-22 17:51:40 #9 sqldet http://192.168.52.1/testcms/admin/users.php 2019-12-22 17:51:59 #10 POSTSPERPAGE starting at 0 $first_limit = ($page - 1) * POSTSPERPAGE; // POSTSPERPAGE = 10 to \ Error message found: You have an error in your SQL syntax 发现 sql syntax直接判定为注入，但实际上是因为传入的内容为-10 对于 p 参数，如果传入的字符中第一个不是数字，那么返回的结果，first_limit 都是 -10，传入-10 拼接到 SQL 语句后报错，如下图： 以上三个文件均为 awvs 的误报（xray 牛逼
1.5K20编辑于 2023-01-03 - 来自专栏我的安全视界观
【挖洞技巧】那个简单的威胁情报
有这么一段时间，挖洞中的一个手法稍微的展现了威胁情报冰山一角的一丢丢。
99561发布于 2018-06-12 - 来自专栏农夫安全
挖洞案例-短链接安全之越权
线程打满，运气比较好，大概跑了10W个，跑出了其他参会者的二维码。
2K30发布于 2019-11-19 - 来自专栏大数据学习笔记
ElasticSearch 6.x 学习笔记：10.批量操作
幸运的是ElasticSearch提供了文档的批量操作机制。 我们已经知道mget允许一次性检索多个文档，ElasticSearch提供了Bulk API，可以执行批量索引、批量删除、批量更新等操作，也就是说Bulk API允许使用在单个步骤中进行多次 create
43810编辑于 2022-05-06 - 来自专栏Python私房菜
实战 | Python批量提取Win10锁屏壁纸
使用Win10的朋友会发现，每次开机锁屏界面都会有不一样的漂亮图片，这些图片通常选自优秀的摄影作品，十分精美。 ? 借助Python，我们可以用简单的几行代码，批量提取这些精美的锁屏图片。把喜欢的图片设置成桌面背景，就不用担心被替换掉啦。 提取原理 Win10系统会自动下载最新的锁屏壁纸，并将他们保存在一个系统文件夹中，路径是： 1C:\Users\[用户名]\AppData\Local\Packages\Microsoft.Windows.ContentDeliveryManager_cw5n1h2txyewy os.path.realpath(__file__)) + '\wallpapers' 8# 动态获取系统存放锁屏图片的位置 9wallpaper_folder = os.getenv('LOCALAPPDATA') + ( 10
81331发布于 2018-10-18
腾讯云开发者
Copyright © 2013 - 2026 Tencent Cloud. All Rights Reserved. 腾讯云 版权所有
深圳市腾讯计算机系统有限公司 ICP备案/许可证号：粤B2-20090059 
粤公网安备44030502008569号
腾讯云计算（北京）有限责任公司 京ICP证150476号 | 京ICP备11018762号