CISA、FBI要求消除路径遍历漏洞影响
CISA、FBI要求消除路径遍历漏洞影响 何威风 河南等级保护测评 2024-05-08 00:00 美国网络安全机构 CISA 和 FBI 周四发布了安全设计警报，警告路径遍历软件漏洞被利用来针对关键基础设施实体进行攻击。 路径遍历缺陷也称为目录遍历，它依赖于受操纵的用户输入来访问不应访问的应用程序文件和目录。成功利用该漏洞允许威胁行为者操纵任意文件、读取敏感数据，并可能完全破坏系统。 路径遍历
继续阅读月度归档： 2024 年 5 月
0Day CVE-2023-26615：某路由器密码重置漏洞
0Day CVE-2023-26615：某路由器密码重置漏洞 船山信安 2024-05-08 00:00 Part1 漏洞状态 漏洞细节 漏洞POC 漏洞EXP 在野利用 有 有 无 未知 Part2 漏洞描述 漏洞名称 某路由器密码重置漏洞 CVE编号 CVE-2023-26615 漏洞类型 逻辑漏洞 漏洞等级 未知 公开状态 nvd发布日期2023-06-28 Part3 漏洞验证 1.验证
继续阅读大华智慧园区综合管理平台 pay 远程代码执行
大华智慧园区综合管理平台 pay 远程代码执行 原创 SXdysq 南街老友 2024-05-07 23:11 漏洞描述 大华智慧园区综合管理平台是一款综合管理平台，具备园区运营、资源调配和智能服务等功能。该平台旨在协助优化园区资源分配，满足多元化的管理需求，同时通过提供智能服务，增强使用体验。该平台接口存在远程代码执行漏洞，攻击者利用该漏洞可以获取服务器权限。 漏洞检测与利用 鸡汤 成功的秘诀在
继续阅读畅捷通TPlus keyEdit.aspx接口存在SQL注入漏洞
畅捷通TPlus keyEdit.aspx接口存在SQL注入漏洞 南风徐来 南风漏洞复现文库 2024-05-07 22:57 免责声明：请勿利用文章内的相关技术从事非法测试，由于传播、利用此文所提供的信息或者工具而造成的任何直接或者间接的后果及损失，均由使用者本人负责，所产生的一切不良后果与文章作者无关。该文章仅供学习用途使用。 1. 畅捷通TPlus简介 微信公众号搜索：南风漏洞复现文库 该文
继续阅读开源数据大屏AJ-Report存在远程命令执行漏洞
开源数据大屏AJ-Report存在远程命令执行漏洞 南风徐来 南风漏洞复现文库 2024-05-07 22:57 免责声明：请勿利用文章内的相关技术从事非法测试，由于传播、利用此文所提供的信息或者工具而造成的任何直接或者间接的后果及损失，均由使用者本人负责，所产生的一切不良后果与文章作者无关。该文章仅供学习用途使用。 1. 开源数据大屏AJ-Report简介 微信公众号搜索：南风漏洞复现文库 该文
继续阅读LLM 渗透测试：利用代理集成进行 RCE
LLM 渗透测试：利用代理集成进行 RCE Ots安全 2024-05-07 19:57 这篇博文深入研究了称为“提示泄漏”的漏洞类别及其随后通过“提示注入”进行的利用，该漏洞在 LLM 渗透测试期间允许通过 Python 代码注入未经授权地执行系统命令。 在详细的案例研究中，我们将探讨这些漏洞的机制、它们的影响以及利用它们的方法。 在讨论重要问题之前，了解法学硕士是什么及其整合功能的基础知识非常
继续阅读漏洞挖掘 | 使用HaE与CaA组合挖掘高危漏洞
漏洞挖掘 | 使用HaE与CaA组合挖掘高危漏洞 校长 不懂安全的校董 2024-05-07 19:32 0x01 前言 我发现我好久没发过赏金漏洞的挖掘了，今天特此来更新一篇HaE搭配CaA挖掘到高危漏洞的实战案例 这里不得不说一下HaE搭配CaA HaE: https://github.com/gh0stkey/HaE CaA: https://github.com/gh0stkey/CaA
继续阅读微软发现普遍存在于Android应用中的“Dirty Stream”安全漏洞
微软发现普遍存在于Android应用中的“Dirty Stream”安全漏洞 安世加 安世加 2024-05-07 19:00 据报道，微软近日揭露了一个名为“Dirty Stream”的严重安全漏洞，该漏洞普遍存在于Android应用程序中，可能允许攻击者执行恶意代码，进而控制应用程序并窃取有价值的用户信息。据微软的研究显示，此漏洞影响范围广泛，涉及数十亿次下载的流行Android应用程序。 “
继续阅读实战学习|保姆式实战等保测评Windows镜像(邀请码+全流程+未公开漏洞)
实战学习|保姆式实战等保测评Windows镜像(邀请码+全流程+未公开漏洞) 原创 爱州 州弟学安全 2024-05-07 19:00 0x01 前言 思路想法不易、麻烦点个关注赞，只更高质量干货文章 在写这篇文章之前，我在玄机官方群做了一个调研，有很多不知道等保测评是什么的师傅，也有不少师傅表示，现在等保测评都是脚本自动化了，这里我想以我自己的想法表达一下 等保测评是什么 等保测试是我国按照有
继续阅读【安全圈】微软披露严重安全漏洞，受影响App安装量超40亿
【安全圈】微软披露严重安全漏洞，受影响App安装量超40亿 安全圈 2024-05-07 19:00 关键词 安全漏洞 近日，研究人员披露了一个名为“Dirty Stream”的严重安全漏洞，该漏洞可能影响几款下载总量数十亿的 Android 应用程序。 微软威胁情报团队成员 Dimitrios Valsamaras 在一份报告中声明，威胁攻击者可以利用该安全漏洞，执行任意代码以及盗取令牌。一旦成
继续阅读【安全圈】开源编程语言 R 曝光存在 8.8 分代码执行漏洞 CVE-2024-27322，可引发供应链攻击
【安全圈】开源编程语言 R 曝光存在 8.8 分代码执行漏洞 CVE-2024-27322，可引发供应链攻击 安全圈 2024-05-07 19:00 关键词 执行漏洞 安全公司 HiddenLayer 近日发现开源编程语言 R 存在一项允许黑客执行恶意代码的重大漏洞 CVE-2024-27322。 该漏洞风险评级为 8.8 分，允许恶意文件在反序列化时执行任意代码。如果相关代码牵涉到软件包，则可
继续阅读【安全圈】Tinyproxy 曝出严重漏洞，影响全球52000 台主机
【安全圈】Tinyproxy 曝出严重漏洞，影响全球52000 台主机 安全圈 2024-05-07 19:00 关键词 系统漏洞 近日，攻击面管理公司 Censys 分享了一组数据：截至 2024 年 5 月 3 日，在90310台主机中，有 52000 台（约占 57%）运行着有漏洞的 Tinyproxy 版本。 这些可能受到漏洞影响的主机分布于美国（32846 台）、韩国（18358 台）、
继续阅读Citrix悄悄修复相似度极高但严重性不及CitrixBleed的高危漏洞
Citrix悄悄修复相似度极高但严重性不及CitrixBleed的高危漏洞 Jai Vijayan 代码卫士 2024-05-07 17:48 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 Citrix 公司悄悄修复了位于 ADC 和 Gateway 设备中的一个漏洞，它可导致远程未认证攻击者从受影响系统的内存中获得潜在的敏感信息。 该漏洞与 CitrixBleed (CVE-2024-4
继续阅读雷神众测漏洞周报2024.04.29-2024.05.05
雷神众测漏洞周报2024.04.29-2024.05.05 原创 雷神众测 雷神众测 2024-05-07 15:00 摘要 以下内容，均摘自于互联网，由于传播，利用此文所提供的信息而造成的任何直接或间接的后果和损失，均由使用者本人负责，雷神众测以及文章作者不承担任何责任。雷神众测拥有该文章的修改和解释权。如欲转载或传播此文章，必须保证此文章的副本，包括版权声明等全部内容。声明雷神众测允许，不得任
继续阅读CVE-2024-1212
CVE-2024-1212 原创 fgz AI与网安 2024-05-07 07:10 免 责 申 明 ：本文内容为学习笔记分享，仅供技术学习参考，请勿用作违法用途，任何个人和组织利用此文所提供的信息而造成的直接或间接后果和损失，均由使用者本人负责，与作者无关！！！ 01 — 漏洞名称 Progress Kemp LoadMaster 远程命令执行漏洞 02 — 漏洞影响 LoadMaster &
继续阅读最新Linux_Nessus2024.5.6版本主机漏洞扫描/探测工具下载Linux/Windows版
最新Linux_Nessus2024.5.6版本主机漏洞扫描/探测工具下载Linux/Windows版 原创 城北 渗透安全HackTwo 2024-05-07 00:00 前言 Nessus号称是世界上最流行的漏洞扫描程序，全世界有超过75000个组织在使用它。该工具提供完整的电脑漏洞扫描服务，并随时更新其漏洞数据库。Nessus不同于传统的漏洞扫描软件，Nessus可同时在本机或远端上遥控，进
继续阅读有手就会？记一次绕过防重放的漏洞挖掘
有手就会？记一次绕过防重放的漏洞挖掘 数据安全合规交流部落 2024-05-06 23:27 1 前言 随着当前攻防水平的不断提高，实战攻防过程中，经常能遇到前端的参数被各种各样的方式加密的情况。毫无疑问，这种方式能够防止很多脚本小子的脚步，但是很多网站就存在“金玉其外，败絮其内“的情况，将传递的参数加密了事，忽略很多系统本身存在的安全风险。本文以实战角度出发，介绍面对这种防重放的情况下的攻防技巧
继续阅读记一次绕过防重放的漏洞挖掘
记一次绕过防重放的漏洞挖掘 迪哥讲事 2024-05-06 23:00 1 前言 随着当前攻防水平的不断提高，实战攻防过程中，经常能遇到前端的参数被各种各样的方式加密的情况。毫无疑问，这种方式能够防止很多脚本小子的脚步，但是很多网站就存在“金玉其外，败絮其内“的情况，将传递的参数加密了事，忽略很多系统本身存在的安全风险。本文以实战角度出发，介绍面对这种防重放的情况下的攻防技巧。 2 背景 某次渗透
继续阅读用友时空KSOA linksframe/linkadd.jsp接口存在SQL注入漏洞
用友时空KSOA linksframe/linkadd.jsp接口存在SQL注入漏洞 南风徐来 南风漏洞复现文库 2024-05-06 22:56 免责声明：请勿利用文章内的相关技术从事非法测试，由于传播、利用此文所提供的信息或者工具而造成的任何直接或者间接的后果及损失，均由使用者本人负责，所产生的一切不良后果与文章作者无关。该文章仅供学习用途使用。 1. 用友时空KSOA简介 微信公众号搜索：南
继续阅读图创图书馆集群管理系统SSOServlet接口存在未授权访问漏洞
图创图书馆集群管理系统SSOServlet接口存在未授权访问漏洞 南风徐来 南风漏洞复现文库 2024-05-06 22:56 免责声明：请勿利用文章内的相关技术从事非法测试，由于传播、利用此文所提供的信息或者工具而造成的任何直接或者间接的后果及损失，均由使用者本人负责，所产生的一切不良后果与文章作者无关。该文章仅供学习用途使用。 1. 图创图书馆集群管理系统简介 微信公众号搜索：南风漏洞复现文库
继续阅读图创图书馆集群管理系统 updOpuserPw接口存在SQL注入漏洞
图创图书馆集群管理系统 updOpuserPw接口存在SQL注入漏洞 南风徐来 南风漏洞复现文库 2024-05-06 22:56 免责声明：请勿利用文章内的相关技术从事非法测试，由于传播、利用此文所提供的信息或者工具而造成的任何直接或者间接的后果及损失，均由使用者本人负责，所产生的一切不良后果与文章作者无关。该文章仅供学习用途使用。 1. 图创图书馆集群管理系统简介 微信公众号搜索：南风漏洞复现
继续阅读打靶训练——Netlogon域提权（CVE-2020-1472）
打靶训练——Netlogon域提权（CVE-2020-1472） 原创 joyboy fly的渗透学习笔记 2024-05-06 22:06 环境搭建： 攻击机kali（192.168.1.109） win server2008（192.168.1.104）双网卡（域内机器） 域控server2016：xxxx 漏洞描述： CVE-2020-1472是一个windows域控中严重的远程权限提升漏洞
继续阅读【护网必问】Vcenter后渗透漏洞应用！
【护网必问】Vcenter后渗透漏洞应用！ 进击的HACK 2024-05-06 21:51 点击蓝字，立即关注 前言：通过未授权前台上传shell成功拿到webshell，这几天面试题问的多，就先尝试一下Vcenter后渗透 漏洞版本->6.71 https://10.128.23.123/sdk/vimServiceVersions.xml VMware vCenter Server 7
继续阅读Ncast高清智能录播系统存在任意文件读取漏洞
Ncast高清智能录播系统存在任意文件读取漏洞 原创 RockSec Rock sec 2024-05-06 20:16 漏洞简介 Ncast 录播系统能将授课或演讲者之影像、声音及上课讲义，以全硬件设备方式即时记录成标准的网络流媒体格式，并通过网络及服务器同步直播。 FOFA语句 title==”高清智能录播系统” 测试截图 POC如下： GET /developLog/
继续阅读微软披露严重安全漏洞，受影响App安装量超40亿
微软披露严重安全漏洞，受影响App安装量超40亿 小王斯基 FreeBuf 2024-05-06 19:01 左右滑动查看更多 近日，研究人员披露了一个名为「Dirty Stream」的严重安全漏洞，该漏洞可能影响几款下载总量数十亿的 Android 应用程序。 微软威胁情报团队成员 Dimitrios Valsamaras 在一份报告中声明，威胁攻击者可以利用该安全漏洞，执行任意代码以及盗取令牌
继续阅读如何使用resource-counter统计跨Amazon区域的不同类型资源数量
如何使用resource-counter统计跨Amazon区域的不同类型资源数量 Alpha_h4ck FreeBuf 2024-05-06 19:01 关于resource-counter resource-counter是一款功能强大的命令行工具，该工具基于纯Python 3开发，可以帮助广大研究人员跨Amazon区域统计不同类型资源的数量。 该工具在统计完不同区域的各类资源数量后，可以在命令
继续阅读3.5倍！组织修补CISA KEV列表中的漏洞比其他漏洞要快
3.5倍！组织修补CISA KEV列表中的漏洞比其他漏洞要快 疯狂冰淇淋 FreeBuf 2024-05-06 19:01 therecord网站消息，研究人员发现，联邦政府维护的已知被利用漏洞（KEV）目录对联邦政府内外的组织机构产生了实质性的影响。 网络安全和基础设施安全局（CISA）的KEV目录已经运行了近三年，早已迅速成为全球黑客积极利用的软件和硬件漏洞的首选存储库。对此，网络安全扫描公司
继续阅读SploitScan帮你发现最新漏洞
SploitScan帮你发现最新漏洞 原创 黑客驰HackerChi 黑客驰 2024-05-06 18:36 ❝ 欢迎访问我们的网站和关注我们的公众号，获取最新的 免费资源、安全知识、信息流。 网站：https://hackerchi.top 信息流：https://hackerchi.top/Feeds.html 公众号： 黑客驰 ❞ 💡 免
继续阅读微软披露Android应用中普遍存在的严重漏洞，受影响应用安装量超40亿次
微软披露Android应用中普遍存在的严重漏洞，受影响应用安装量超40亿次 看雪学苑 看雪学苑 2024-05-06 17:59 微软近日发现了一种名为“Dirty Stream”的攻击技术，可能允许黑客控制应用程序并窃取敏感数据，影响多个广泛使用的Android应用程序，数十亿设备面临风险。 据微软公告，“Dirty Stream”是一种与路径遍历相关的攻击模式，该漏洞可能被恶意应用程序利用来覆
继续阅读谷歌安卓应用的RCE漏洞最高赏金45万美元
谷歌安卓应用的RCE漏洞最高赏金45万美元 Zeljka Zorz 代码卫士 2024-05-06 17:52 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 谷歌大幅增加了赏金猎人能通过从谷歌所开发和维护的安卓应用中找到漏洞能获得的赏金。 谷歌信息安全工程师 Kristoffer Blasiak 指出，“我们对某些类别内的赏金额最高增加到原来的10倍（如第一级别应用中的远程任意代码执行漏洞
继续阅读