Navicat登录认证分析
本文以Navicat16 试用版为例进行分析，登录流程与上述分析相差不多，在登录认证成功之后多了一个查询的操作
MySQL服务端可以利用LOAD DATA LOCAL命令来读取MYSQL客户端的任意文件，然后伪造恶意服务器向连接到这个服务器的客户端发送读取文件的payload。
load data infile语句从一个文本文件中以很高的速度读入一个表中。
首先在本地使用phpstudy开启数据库，并且使用Navicat进行连接
本文以Navicat16 试用版为例进行分析，登录流程与上述分析相差不多，在登录认证成功之后多了一个查询的操作
MySQL服务端可以利用LOAD DATA LOCAL命令来读取MYSQL客户端的任意文件，然后伪造恶意服务器向连接到这个服务器的客户端发送读取文件的payload。
load data infile语句从一个文本文件中以很高的速度读入一个表中。
首先在本地使用phpstudy开启数据库，并且使用Navicat进行连接
DBConnectionCheckController dbCheck JDBC 注入远程代码执行漏洞
publishCaCert 和 gatherConfig 权限提升
以 Horizon 用户身份获得远程代码执行后，我们可以利用以下漏洞获得 root 访问权限。本节包含两个错误，但由于我在最终的漏洞利用链中滥用了它们，我决定将其报告为单个漏洞。
该publishCaCert.hzn脚本允许攻击者泄露敏感文件。
该gatherConfig.hzn脚本允许攻击者获取敏感文件的所有权，Horizon 用户可以使用 sudo 以 root 权限执行这些脚本，无需密码。horizon 用户无法写入这些脚本，因此我审核了这些脚本以查找逻辑问题，从而干净利落地升级。
publishCaCert 和 gatherConfig 权限提升
以 Horizon 用户身份获得远程代码执行后，我们可以利用以下漏洞获得 root 访问权限。本节包含两个错误，但由于我在最终的漏洞利用链中滥用了它们，我决定将其报告为单个漏洞。
该publishCaCert.hzn脚本允许攻击者泄露敏感文件。
该gatherConfig.hzn脚本允许攻击者获取敏感文件的所有权，Horizon 用户可以使用 sudo 以 root 权限执行这些脚本，无需密码。horizon 用户无法写入这些脚本，因此我审核了这些脚本以查找逻辑问题，从而干净利落地升级。
❤1
SSD 咨询 – APPLE SAFARI IDN URL 欺骗
总结
Apple Safari 处理不当，导致攻击者可以使用某些相似的字符代替真实字符，从而让受害者误以为他们已经访问了某个网站，而实际上他们正在访问另一个网站。
漏洞摘要
Apple Safari IDN 处理中存在一个漏洞，允许攻击者执行 URL 欺骗，因为 Safari 不会将 URL 栏中的不适当的 Unicode 转换为 Punycode。
利用此漏洞可能允许攻击者进行网络钓鱼。
信用
来自韩国 SSD Labs 的安全研究员 Dohyun Lee 已将此事报告给 SSD 安全披露计划。
受影响的版本
iOS 15.6 或 iPadOS 15.6 之前
蒙特利 12.5 之前
watchOS 8.7 之前
tvOS 15.6 之前
总结
Apple Safari 处理不当，导致攻击者可以使用某些相似的字符代替真实字符，从而让受害者误以为他们已经访问了某个网站，而实际上他们正在访问另一个网站。
漏洞摘要
Apple Safari IDN 处理中存在一个漏洞，允许攻击者执行 URL 欺骗，因为 Safari 不会将 URL 栏中的不适当的 Unicode 转换为 Punycode。
利用此漏洞可能允许攻击者进行网络钓鱼。
信用
来自韩国 SSD Labs 的安全研究员 Dohyun Lee 已将此事报告给 SSD 安全披露计划。
受影响的版本
iOS 15.6 或 iPadOS 15.6 之前
蒙特利 12.5 之前
watchOS 8.7 之前
tvOS 15.6 之前
Final
为通信的隐蔽性，最后做了一下AES加密：
最终实现的效果为，若检测到request请求中包含我们自定义的header头则会执行相关恶意操作，并在response的自定义header中返回，否则则为正常业务流量
为通信的隐蔽性，最后做了一下AES加密：
最终实现的效果为，若检测到request请求中包含我们自定义的header头则会执行相关恶意操作，并在response的自定义header中返回，否则则为正常业务流量
PSV-2020-0437：部分 Netgear 路由器出现缓冲区溢出
前言
距离上一篇博客更新已经快两个月了，想给应该长草的博客除除草了。于是从我的笔记文档里翻篇，把这个漏洞翻出来给大家分享分享。具体官方通告可以参考：
【1】PSV-2020-0437 官方公告
当时我使用的是在 Netgear R6400v2 固件版本为 1.0.4.102 的环境下编写的，因此本篇文章也以此为基础进行讲述。
隨便取運
固件下载链接： 【2】R6400v2-1.0.4.102 固件
当我们获得固件后，我们需要解压出文件系统，这里我通过 binwalk 和 unsquashfs 成功提取出对应的固件
前言
距离上一篇博客更新已经快两个月了，想给应该长草的博客除除草了。于是从我的笔记文档里翻篇，把这个漏洞翻出来给大家分享分享。具体官方通告可以参考：
【1】PSV-2020-0437 官方公告
当时我使用的是在 Netgear R6400v2 固件版本为 1.0.4.102 的环境下编写的，因此本篇文章也以此为基础进行讲述。
隨便取運
固件下载链接： 【2】R6400v2-1.0.4.102 固件
当我们获得固件后，我们需要解压出文件系统，这里我通过 binwalk 和 unsquashfs 成功提取出对应的固件
【爬虫逆向】逆向破解某租车微信小程序，sign的解析
最近临近暑期,想去海边玩.
想自驾游，无车呀，咋办，只能上某租车平台租车,打开一看价格不菲啊
当我准备租的时候，改了时间，发现价格居然变少了，灵机一变的我突发奇想，会不会改了一个取车网点会不会也很便宜了呢？
果不其然，价格变低了不少，也就是说【时间+地点】可能会决定价格的变动，那怎么样做最优解呢？
最暴力的方式就是循环时间并且循环地点获取最低价格，那么怎么样调用这个查询接口呢？
思路：通过抓包的方式抓取到接口，然后动态的修改参数去获取查询结果的列表即可
通过抓包软件fildder可以看到响应数据找到对应的请求接口
入参研究
通过postman请求是ge请求，并且有四个参数，并且无需header的任何参数，那看起来应该是不难了
cid：猜测是城市id
q：不知道是什么，通过百分号看出来应该是encodeURIComponent过的参数
sign：一看就是加密的签名密钥，这个估计是重点
uid：未知的参数
做过爬虫的都知道有些参数不一定需要的，通过一个一个参数取消来判断哪些参数是不必要的，减少不必要的逆向工作
见名知起义，可以大胆的先猜测它的含义，用于后续研究
pickupCityId:应该是取车城市
returnCityId:还车城市
pickupDeptId:取车网点
returnDeptId:还车网点
大胆假设一下，如果我修改了还车时间再编码一下发过去请求,会不会成功呢（校验sign的参数跟哪些参数有关，一般sign都是混合多个参数进行加密的）
修改还车时间为2024-08-30 12:30,然后再次发送请求看看结果
最近临近暑期,想去海边玩.
想自驾游，无车呀，咋办，只能上某租车平台租车,打开一看价格不菲啊
当我准备租的时候，改了时间，发现价格居然变少了，灵机一变的我突发奇想，会不会改了一个取车网点会不会也很便宜了呢？
果不其然，价格变低了不少，也就是说【时间+地点】可能会决定价格的变动，那怎么样做最优解呢？
最暴力的方式就是循环时间并且循环地点获取最低价格，那么怎么样调用这个查询接口呢？
思路：通过抓包的方式抓取到接口，然后动态的修改参数去获取查询结果的列表即可
通过抓包软件fildder可以看到响应数据找到对应的请求接口
入参研究
通过postman请求是ge请求，并且有四个参数，并且无需header的任何参数，那看起来应该是不难了
cid：猜测是城市id
q：不知道是什么，通过百分号看出来应该是encodeURIComponent过的参数
sign：一看就是加密的签名密钥，这个估计是重点
uid：未知的参数
做过爬虫的都知道有些参数不一定需要的，通过一个一个参数取消来判断哪些参数是不必要的，减少不必要的逆向工作
见名知起义，可以大胆的先猜测它的含义，用于后续研究
pickupCityId:应该是取车城市
returnCityId:还车城市
pickupDeptId:取车网点
returnDeptId:还车网点
大胆假设一下，如果我修改了还车时间再编码一下发过去请求,会不会成功呢（校验sign的参数跟哪些参数有关，一般sign都是混合多个参数进行加密的）
修改还车时间为2024-08-30 12:30,然后再次发送请求看看结果