Hoang's Blogspot

Hi guys, Intigriti (Bug bounty platform) has released a nice XSS challenge at  https://challenge.intigriti.io/2/#aW50aWdyaXRpLWNoYWxsZW5nZQ== The challenge is over, so I think I have to write something :D Here their banner In short, we have to exploit this vulnerable script to trigger a DOM-Based XSS < script > var b64img = window . location . hash . substr ( 1 ); var xhttp = new XMLHttpRequest (); xhttp . onreadystatechange = function () { if ( this . readyState == 4 && this . status == 200 ) {    var reader = new FileReader ();    reader . onloadend = function () {      document . write ( `       <a href=" ${ b64img } " alt=" ${ atob ( b64img ) } ">         <img src=" ${ reader . result } ">       </a>` );   }    reader . readAsDat...

Khi làm việc với dữ liệu văn bản hoặc mã nguồn, Sublime Text là công cụ yêu thích nhất của tôi. Do đặc thù công việc thường gặp các dạng Encoding như Base64/Hexa/URL, thông thường phải sao chép qua Terminal để xử lý nhanh bằng Python, tốn khá nhiều thao tác, nên tôi có tìm hiểu để viết Plugin xử lý trực tiếp các dạng Encoding này trực tiếp trên SublimeText. Bạn đọc có thể sử dụng nếu thấy phù hợp. Plugin này rất đơn giản, sau khi chọn đoạn Text cần xử lý, right-click ta sẽ có một danh sách các chức năng: - Base64 Encode/Decode - Hex Encode/Decode - URL Encode/Decode - MD5/SHA1 Về mã nguồn và cách cài đặt bạn đọc có thể tham khảo trên Github của tôi:  https://github.com/doantranhoang/sublime-secutils Do chỉ phục vụ cho nhu cầu công việc nên Plugin chỉ dừng ở mức độ sử dụng được, có thể sẽ xảy ra một số Exception. Ở một bài viết khác tôi có trình bày chi tiết hơn cách viết Plugin này tại đây , nếu ai quan có thể tham khảo để biết cách hoạt động của một SublimeText Plug...

Project CrimeFlare is a large database collecting sensitive data with client using CloudFlare as a reverse proxy. One of the most important info is Real-IP of backend server behind CloudFlare. Many clients (System Administrators) think they are hided, protected by behind CloudFlare and hackers cannot know their backend servers to attack, so they ignore many of the best pratices for protecting their backend server. More info about this CrimeFlare here http://www.crimeflare.com Get the Real-IP of backend server here http://www.crimeflare.com/cfs.html I tried to verify with many websites and CrimeFlare work like a charm, for example with haveibeenpwned.com ( https://www.cloudflare.com/case-studies/troy-hunt/ ) You can do some basic checks to make sure (maybe) they're using CF Verify this IP This is exactly IP of haveibeenpwned.com

[Update] Hiện tại XaoMi đã update Firmware + MobileApp cho phép đổi mật khẩu default của YiCam rồi, bài này giờ  #Just4Fun :3 Mới mua cái Xiaomi - Yi Sport Camera về, nói chung về chất lượng hình ảnh so với giá tiền đối với mình thì khá tuyệt :D Thiết bị có thể được điều khiển, cấu hình bởi Android App sử dụng kết nối Wireless: Yi Mobile App <----> [wireless] <---> Yi Camera (WiFi Hotspot) Yi Camera có IP tĩnh là 192.168.42.1, Yi Mobile App sẽ Scan các Wireless có SSID với tiền tố YDXJ_ cộng thêm 7 số nguyên. Thử connect từ HotSpot từ Laptop được yêu cầu nhập Password. Vậy passphare sẽ nằm trong Mobile App (hiển nhiên :3). Dùng Jadx để decompile Yi App. Code được obfuscate dạng đổi tên Class, function, variable,.. thành tên không có nghĩa. Nhìn mớ code trace theo chắc khá mất thời gian. Tự nhiên hứng lên grep thử IP trong source: Thấy tùm lum IP, nhiều Public IP móc qua bên nước láng giềng không biết làm gì, thôi tạm bỏ qua, quên mất đang ...

Solved the first challenge in New Year on #codefights :D We must say goodbye 2015 welcome 2016. Just Try Your Best!

Google ! Từ này đã quá nổi tiếng. Nếu chúng ta không biết gì hãy “hỏi” Google thử, phần lớn sẽ tìm được thứ mình cần, phần lớn vì để đạt được chính xác thông tin cần thiết với nhu cầu còn phụ thuộc vào yếu tố người “google”. May mắn thay thuật toán tìm kiếm của Google rất tốt và chúng ta thường thỏa mãn với kết quả trả về. Nhưng với lượng thông tin khổng lồ từ internet, không có gì bảo đảm Google luôn hiểu chúng ta đang cần chính xác thông tin nào để hiển thị nó ở trang đầu tiên. Với kinh nghiệm sử dụng Google Search để lục lọi các thông tin mình cần trên internet, tôi có chút chia sẻ để mọi người có thể sử dụng nó tốt hơn nhằm lấy được các thông tin đúng với nhu cầu và nhanh nhất.