Xin chào anh em, Post này chỉ để thông báo rằng, bắt đầu từ hôm nay mình sẽ chuyển nhà từ https://nhienit.wordpress.com/ sang https://nhienit2010.github.io. Cảm ơn anh em đã đón đọc và ủng hộ các bài viết trên nhà cũ https://nhienit.wordpress.com/, nhưng có vẻ đã đến lúc thay đổi rồi, vì một vài lý do cá nhân hoặc cũng … Tiếp tục đọc Thông báo chuyển nhà …
ManageEngine Adaudit Plus – From SQLi to RCE
Chuyện lâu rồi giờ mới kể là dạo gần đây mình có dịp được nghiên cứu về các sản phẩm open-source và target lần này mình chọn đó là ManageEngine Adaudit Plus, một sản phẩm của Zoho. Trước đó product này cũng có nhiều CVE nghiêm trọng rồi nhưng may mắn thay là lần này … Tiếp tục đọc ManageEngine Adaudit Plus – From SQLi to RCE
CVE-2024-5443: Path Traversal Leads to RCE in parisneo/lollms
Chuyện là dạo gần đây, mình có contribute một bài blog phân tích về một lỗ hổng trên nền tảng huntr, với cộng thêm là gần đây cũng chưa viết bài nào mới nên bài hôm nay mình sẽ viết lại bài phân tích bằng Tiếng Việt để có cái để post (T_T). (Bài viết … Tiếp tục đọc CVE-2024-5443: Path Traversal Leads to RCE in parisneo/lollms
HTB Bussiness CTF 2024 – Web writeups
Đã lâu rồi chưa có một writeup nào về CTF cả cũng nhân tiện đợt vừa rồi có một giải CTF do HackTheBox tổ chức và lần này mình có tham gia, mục đích chính là để ôn lại một số kiến thức đã bị quên. Qua đó, mình cũng được nghía qua một số … Tiếp tục đọc HTB Bussiness CTF 2024 – Web writeups
[CVE-2022-3133] Draw.io – XSS leads to RCE
Tản mạn Dạo gần đây cũng không có viết bài nào mới, cũng nhân dịp này mình có nghiên cứu về cái Draw.io này và cũng may mắn tìm ra được vài bug XSS trên sản phẩm này nhưng không thể nâng impact lên RCE trên desktop app 😢. Bởi vì, trong quá khứ có … Tiếp tục đọc [CVE-2022-3133] Draw.io – XSS leads to RCE
Waf deser – ASCIS 2022 – Quals
Cũng lâu rồi mình cũng chưa post bài nào kể từ bài post cuối, nay nhân dịp vừa qua mình có tham gia Vòng sơ khảo - Cuộc thi Sinh viên với An toàn thông tin ASEAN nên nay cũng muốn viết một bài write-up về một challenge web mà đội mình đã giải được … Tiếp tục đọc Waf deser – ASCIS 2022 – Quals
Solution for XSS challenge 0622 by Lawrence
Overview In this challenge, the site gives us a few options to choose from, and each of these options will perform a different function. There are options as follows: ?choice=milk, ?choice=cookie, ?choice=alert For the ?choice=milk option: When executing the function, it is easy to see that the website takes parameters such as cups, buckets, total. … Tiếp tục đọc Solution for XSS challenge 0622 by Lawrence
[Write – up] Nimja at Nantou – TSJ CTF 2022
Lâu rồi chắc mình cũng không viết write-up (tại do lười ^^), nên tiện mình vừa có tham gia một giải ctf nên sẵn đây có cơ hội để viết write-up luôn (thiệt ra chỉ giải được có mỗi bài này T_T) Nếu các bạn thấy thích thì có thể download source code ở đây … Tiếp tục đọc [Write – up] Nimja at Nantou – TSJ CTF 2022
Phân tích CVE-2022-21663
Tóm tắt CVE-2022-21663 cho phép một user có role là admin có thể bypass một số logic code, từ đó dẫn đến lỗ hổng Object Injection với WordPress có version < 5.8.3. Tìm sink Để tìm sink, thì đầu tiên ta tiến hành diff 2 version 5.8.3 và 5.8.2 để tìm những đoạn (dòng) code … Tiếp tục đọc Phân tích CVE-2022-21663
CommonsCollections gadget chain – For Learning Purposes
Cũng đã lâu rồi mình không viết blog (vì lười :v), nên hôm nay mình viết bài này chủ yếu là với mục đích học tập, đồng thời cũng muốn note lại một số thứ mà mình đã nghiên cứu và học được. Cho nên các bạn có thể tham khảo những thứ mà mình … Tiếp tục đọc CommonsCollections gadget chain – For Learning Purposes
nhienit 