DNSSEC是域名系统的安全技术。此高级 DNS通过添加用于身份验证的加密签名，为现有 DNS 记录增加了一层保护

SRV 记录将主机名与特定服务联系起来。与其他 DNS 记录相比，SRV 记录存储更多信息，包括端口号
接渗透拿站，各大网站数据-拖库-提权联系
域名劫持 DNS 入侵网站 联系：@hacker_HouZiM

wooyun平台上也曾多次曝光运营商流量劫持的案例，例如曾经被用户举报的案例“下载小米商城被劫持到UC浏览器APP”，

体彩 6合彩 CP....

指定目标 指定端口渗透采集 有想法的目标发过来
接渗透拿站，各大网站数据-拖库-提权联系
域名劫持 DNS 入侵网站 联系：@hacker_HouZiM

传销.乡村振兴.新权，渗透料
DNS流量转流量持持跳转运营商持域名跳转！
适合以下这几种行业！
六合·色站·彩票·博彩·金融
接渗透拿站，各大网站数据-拖库-提权联系
域名劫持 DNS 入侵网站 联系：@hacker_HouZiM

里面写工单和提交工单(XSS SQL注入 越权)
上传数据包抓住，设置一个抓返回包Do intercepd->Response to this request然后点击forward出现200就是成功的返回包，

端口一般就是web靶机，一般就是80端口能拿后台，或者80端口能拿到ssh的用户密码，用于连接。

访问一下80端口先

这种菠菜类的网站 大多数 服务器都是防范级别很高的 都是包网 资产很多 而且前后端都是分离的 有的时候 没有思路的时候 可以从运维方面下手 有的运维安全意识不是很高 还可以从C段入手 因为有的菠菜资产分布在几个C段 主站上面 肯定很少漏洞 基本上可以说没有 还有就是从游戏接口入手 或者游戏逻辑入手 个人一点点粗见。
六合·色站·彩票·博彩·金融
接渗透拿站，各大网站数据-拖库-提权联系
域名劫持 DNS 入侵网站 联系：@hacker_HouZiM

接下来将Github上面的大禹下载至本地，并进行CMS扫描。
CMS漏洞查询
对于查询到的CMS可以利用乌云漏洞库网站查询制定CMS的漏洞。

http://www.anquan.us/
https://bugs.shuimugan.com
显示如下图所示，包括详细的漏洞利用过程及防御措施。

随便向目标的某个页面POST一个数据包，因为缺少CSRF TOKEN，如果目标网站是Django，它将给你一个颇具其特色的错误页面
利用后台确认
Django默认安装后会自带一个后台，地址是/admin（不过大多数网站会替换后台地址）

适合自己开私彩六合彩资料站源码，一键生成资料，全自动资料，自动更新资料，支持站群，一键更新资料，批量上传图片,六合彩开奖网源码,开奖网系统,视频摇号开奖,可设置多个广告位置 还可以指定目标劫持
接渗透拿站，各大网站数据-拖库-提权联系
域名劫持 DNS 入侵网站 联系：@hacker_HouZiM

某网站后台登录界面 发现有验证码框 猜想会不会存在验证码绕过的漏洞
接渗透拿站，各大网站数据-拖库-提权联系
域名劫持 DNS 入侵网站 联系：@hacker_HouZiM

AddThis 是超过一百万个网站使用的共享按钮。今年早些时候，它们都存在 XSS 漏洞。在我之前的帖子中，我描述了postMessage API 的缺陷。这篇文章将描述我如何在 AddThis 小部件上识别和利用它们。

在使用 AddThis 测试应用程序时，我注意到它使用了 postMessage，通过检查 Chrome Devtools 中的全局监听器

为了查看他们是否陷入了任何陷阱，我在侦听器中添加了一个断点，并使用“向页面发送了一条消息

302跳转
在旁路服务器上直接监听网卡然后注入HTTP数据，比如利用的是python的scapy模块，像github上的hijack.py脚本，简单修改下L2socket时候的filter匹配条件，格式和tcpdump医院，效果如下：