发布：2020年2月17日在14:36 UTC
更新：2021年1月5日在14:10 UTC
结果进来了！
后51个提名通过社区投票降至15名决赛入围者，一个专家小组组成尼古拉斯·格雷戈尔，，，，Soroush Dalili，，，，备案者， 和我已授予，投票并选择了2019年的十大新网络黑客技术。beplay体育能用吗
每年，专业的研究人员，经验丰富的五旬节，虫子赏金猎人和学者都会发布大量博客文章，演示文稿，视频和白皮书。无论他们是建议新的攻击技术，重新混合旧攻击技术还是记录发现，其中许多包含可以在其他地方应用的新颖想法。
但是，在这些日子里，配备了徽标和营销团队的脆弱性，对于创新的技术和想法来说，这太容易了，无法错过噪音，仅仅是因为它们的大声播放不够大。这就是为什么我们每年都与社区合作寻找并涵盖我们认为可以承受时间考验的十种技术。
我们认为这十个是去年发表的最具创新性的网络安全研究的奶油。beplay体育能用吗每个条目都包含有抱负的研究人员，五旬节，漏洞赏金猎人以及对网络安全最新发展感兴趣的任何人的见解。beplay体育能用吗
社区最多的投票的参赛作品是大幅度的HTTP DESANC攻击，在其中我恢复了长期被遗忘的技术HTTP请求走私为了赚取超过9万美元的Bug赏金，折衷PayPal的登录页面两次，并为更广泛的社区启动了一波发现。我认为这是我迄今为止最好的研究，但是我做出了战术决定将其排除在官方前十名之外，因为我没有办法写一篇帖子，宣布自己的研究是最好的。迅速移动...
在第10位，我们有一种奇妙的Heartble风格内存安全利用从山姆·库里（Sam Curry）和朋友。这种关键但容易被忽视的漏洞几乎可以肯定会影响其他网站，并提醒我们，即使您是专家，仍然有一个简单地融合并注意任何意外的地方。beplay体育能用吗
在文章中，Abdulrhman Alqabandi混合beplay体育能用吗网络和二进制攻击在PWN中，任何犯错的人都使用微软的新铬供电边缘（又名Edgium）访问其网站。
售价为40,000美元后，现在已经修补了这一点，但它仍然是利用链相结合多个低度脆弱性以实现关键影响的一个明智的例子，并且精美地展示了Web漏洞如何通过特权原始源在您的桌面上流血。beplay体育能用吗它启发了我们更新入侵性通过扫描Chrome对象，可以检测其何时在特权的起源上。
有关在浏览器谷物战场上的Web漏洞混乱的beplay体育能用吗另一个查看，请查看Firefox中的远程代码执行超出内存损坏。
现任冠军橙色泰首次露面meh chang具有多个未经身心的RCESSL VPN中的漏洞。
特权，互联网暴露的位置VPN通常坐落在纯粹的影响方面，这差不多。尽管应用的技术在很大程度上是经典的，但它们使用了一些我不会在这里破坏您的创意曲折。这项研究帮助产生了针对SSL VPN的一波审核，导致许多发现包括Sonicwall漏洞的离合器上周出版。
现代网站是从众beplay体育能用吗多秘密的众多服务中缝合在一起的。当这些泄漏时，信任的网络可能会崩溃。beplay体育能用吗连续集成存储库/日志中泄漏的秘密是常见的情况，并且通过自动化找到它们更加普遍。然而这项研究经过Edoverflow等人系统地阐明了有关被忽视的病例和潜在的未来研究领域的新启示。这也很可能是有趣的网站/工具的灵感sshgit。
监测新颖的研究是我工作的核心部分，但是当我首次发布时，我仍然完全错过了这篇文章。幸运的是，社区中的某人的眼睛更尖锐并提名。
PawełHałdrzyński服用鲜为人知的遗产功能在.NET框架中，并显示了如何将其用于在任意端点上的URL路径中添加任意内容，从而在我们意识到甚至我们自己的网站支持它的情况下引起了一些轻微的恐慌。beplay体育能用吗
让人联想到的相对路径覆盖攻击，这是一块有时可以启动漏洞链的奥ancana。在该帖子中，它用于XSS，但我们强烈怀疑将来会出现其他滥用。
Google搜索框可能是地球上测试最多的输入，因此如何Masato KinugawaXSS设法是无法理解的，直到他通过与同事的合作揭示了所有人LiveOverFlow。
这两个视频提供了有关如何查找DOM解析错误通过阅读文档和模糊，也给稀有看这种宏伟的利用背后的创造力。
橙色泰（Orange Tsai）带着詹金斯（Jenkins）的预言返回，描述了两个帖子。这身份验证旁路很好，但是我们最喜欢的创新是使用元编程面对许多环境限制，创建在编译时执行的后门。我们希望将来再次看到元编程。
这也是研究延续的一个很好的例子，因为随后漏洞由多个研究人员改进。
这个演示文稿从本·萨德格（Ben Sadeghipour）和科迪·布罗克（Cody Brocious）首先从现有的概述SSRF技术，显示如何将它们适应并应用于服务器端PDF发电机，然后将DNS重新插入混合物中以良好的方法。
针对PDF生成器的工作是对特征类别的洞察力，这是非常容易被忽略的。我们第一次看到DNS重新插入服务器端浏览器出现在2018年提名列表，HTTPRebind的发布应有助于使这次攻击比以往任何时候都更容易访问。
最后，我可能对此错了，但我怀疑这个演讲可能值得一提，因为最终说服亚马逊考虑了确保其EC2元数据端点。
跨站点泄漏已经很长时间了。首先记录十多年前，爬进我们的去年前十名，正是在2019年，人们对这种攻击阶级的意识及其庞大的疯狂变化爆炸了。
很难以这样的规模分配信用，但我们显然要归功于爱德华多·维拉（Eduardo Vela）'简洁的引言通过一种新颖的技术来概念，建立公众的协作努力已知XS裂谷矢量列表，以及将XS-Leaks技术应用于巨大的效果。
XS-Leaks已经对Web安全环境产生了持久的影响，因为它们在浏览器XSS过滤器的死亡中发挥了重要beplay体育能用吗作用。Block-Mode XSS滤波是XS-Leak向量的主要来源，它与过滤模式的问题更糟说服Edge和后来的Chrome都将其过滤器丢弃，以赢得网络安全的胜利，并为Web安全研究人员造成灾难。beplay体育能用吗
在这个学术白皮书，，，，Sajjad Arshad等待Omer Gil的beplay体育能用吗Web缓存欺骗Technique（在2017年的前10名中排名第二），并在Alexa前5000个网站上分享了对Web Cache欺骗漏洞的系统探索。beplay体育能用吗
出于法律原因，大多数进攻性安全研究是在专业审核期间或具有漏洞赏金计划的网站上进行的，但是通过仔细的道德步法，这项研究可瞥见更广泛的网络上的安全状况。beplay体育能用吗借助精心制作的方法，可以轻松地适应其他技术，他们证明Web Cache欺骗仍然是普遍的威胁。beplay体育能用吗
除了方法之外，另一个关键的创新是引入五种新颖的路径混乱技术，这些技术扩大了脆弱网站的数量。beplay体育能用吗与许多提供商本身相比，他们还可以在记录网络服务提供商的缓存行为方面做得更好。beplay体育能用吗总体而言，这是社区朝着新方向进行现有研究的绝妙典范，以及当之无愧的第一名！
我们今年看到了一系列特别有力的提名，因此许多出色的研究都没有进入前10名。因此，我建议您检查一下完整的提名列表。对于那些有兴趣在发布2020年研究的人来说，我们最近创建了R/beplay体育能用吗WebScurityResearchsubreddit和@beplay官网可以赌portswiggerresTwitter帐户以促进著名的研究。您还可以在此处找到过去一年的十大列表：
2018，，，，2017，，，，2015，，，，2014，，，，2013，，，，2012，，，，2011，，，，2010年，，，，2009，，，，2008，，，，2007，，，，2006。
年复一年地，我们看到伟大的研究来自于基于其他人的想法，因此我们要感谢所有花时间发布他们的发现的人，无论是否提名。最后，我们要感谢更广泛的社区的热情参与。没有您的提名和投票，这将是不可能的。
直到明年！
