前言在近期的一次Web应用测试过程中,我在该应用的SAML(安全声明标记语言)实现中发现了一个安全漏洞。该应用在实现其SAML功能时,采用了不安全的实践方法,再加上其本身的自定义认证机制也存在安全问题,因此导致了该漏洞的存在。在这篇文章中,我们将跟大家演示如何利用该这些不安全的配置并结合有效的钓鱼攻击,来帮助攻击者远程访问那些可能包含敏感信息的安全页面。应用程序概述我们所测试的这个Web应用...