月度归档： 2024 年 12 月

昂捷CRM cwsfiledown.asmx 任意文件读取漏洞

发布于 作者:

昂捷CRM cwsfiledown.asmx 任意文件读取漏洞 Superhero nday POC 2024-12-16 02:11 内容仅用于学习交流自查使用，由于传播、利用本公众号所提供的 POC 信息及 POC对应脚本 而造成的任何直接或者间接的后果及损失，均由使用者本人负责，公众号nday poc及作者不为此承担任何责任，一旦造成后果请自行承担！如文章有侵权烦请及时告知，我们会立即删除文

继续阅读

XXE 漏洞检测工具

发布于 作者:

XXE 漏洞检测工具 黑白之道 2024-12-16 02:07 01 工具介绍 这是一个 XXE 漏洞检测工具，支持 DoS 检测（DoS 检测默认开启）和 DNSLOG 两种检测方式，能对普通 xml 请求和 xlsx 文件上传进行 XXE 漏洞检测。 02 使用说明 03 工具下载 *https://github.com/Weijin-wj/XXECheck* 文章来源：夜组安全 黑白之道发

继续阅读

【十步”杀”一车】大众和斯柯达曝12个组合漏洞，攻击者可在10米内无接触入侵

发布于 作者:

【十步”杀”一车】大众和斯柯达曝12个组合漏洞，攻击者可在10米内无接触入侵 原创 红岸基地赵小龙 暗影网安实验室 2024-12-16 02:02 事件经过 近期，安全研究人员发现大众旗下斯柯达部分车型的车载信息娱乐系统存在多个漏洞，这些漏洞可能被攻击者利用以远程控制特定功能并追踪汽车位置。PCAutomotive在黑帽欧洲大会（Black Hat Europe）上披露了

继续阅读

【MalDev红队开发】笔记阶段汇总

发布于 作者:

【MalDev红队开发】笔记阶段汇总 原创 玄鹄安全 高级红队专家 2024-12-16 02:00 1-前言 首先感谢各位大佬客官的支持和鼓励，目前【MalDev红队开发】系列已经完成前两部分共8个章节的实战笔记梳理，基本完全复现教材中的内容，教材中缺失的命令也进行了补全，笔记章节如下： 【MalDev-00】学习环境准备 【MalDev-01】基础入门 【MalDev-02】注入基础与实战 【

继续阅读

SRC漏洞挖掘思路手法（非常详细）

发布于 作者:

SRC漏洞挖掘思路手法（非常详细） 原创 菜狗 富贵安全 2024-12-16 01:15 这段时间挖掘了挺多的SRC漏洞，虽然都是一些水洞，也没有一些高级的漏洞挖掘利用手法，但是闲下来也算是总结一下，说说我对SRC漏洞挖掘的思路技巧。 很多人可能都挖过很多漏洞其中包括一些EDU或者别的野战，但是对于SRC往往无从下手，感觉自己挖不倒SRC漏洞，这里其实最重要的问题还是自己的心理问题，当然必须还有

继续阅读

Clop 勒索软件组织对利用Cleo 0day窃取数据负责

发布于 作者:

Clop 勒索软件组织对利用Cleo 0day窃取数据负责 会杀毒的单反狗 军哥网络安全读报 2024-12-16 01:00 导读 Clop 勒索软件团伙向 BleepingComputer 证实，他们是最近 Cleo 数据盗窃攻击的幕后黑手，利用零日漏洞侵入公司网络并窃取数据。 Cleo 是托管文件传输平台 Cleo Harmony、VLTrader 和 LexiCom 的开发商，公司使用这些

继续阅读

实战渗透-某金融众测价值3k的漏洞（附SRC报告合集免费下载）

发布于 作者:

实战渗透-某金融众测价值3k的漏洞（附SRC报告合集免费下载） 原创 sspsec SSP安全研究 2024-12-16 00:57 在本次金融系统安全测试中，我们从一个日志泄露问题入手，逐步挖掘并利用了系统弱口令和越权访问漏洞，最终实现了对后台系统的高权限接管。本次分享将带您全程回顾漏洞挖掘过程及系统安全的防护建议。 🔍 1. 日志泄露 – 敏感信息曝光 漏洞描述 我们使用自研的Sp

继续阅读

Nuclei 分布式漏洞扫描平台可联动 AssetsDetectAPI 资产搜集

发布于 作者:

Nuclei 分布式漏洞扫描平台可联动 AssetsDetectAPI 资产搜集 evilc0deooo 夜组安全 2024-12-16 00:01 免责声明 由于传播、利用本公众号夜组安全所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，公众号夜组安全及作者不为此承担任何责任，一旦造成后果请自行承担！如有侵权烦请告知，我们会立即删除并致歉。谢谢！ 所有工具安全性自测！！！VX

继续阅读

漏洞预警 | 用友NC SQL注入漏洞

发布于 作者:

漏洞预警 | 用友NC SQL注入漏洞 浅安 浅安安全 2024-12-16 00:00 0x00 漏洞编号 – # 暂无 0x01 危险等级 – 高危 0x02 漏洞概述 用友NC是一款企业级ERP软件。作为一种信息化管理工具，用友NC提供了一系列业务管理模块，包括财务会计、采购管理、销售管理、物料管理、生产计划和人力资源管理等，帮助企业实现数字化转型和高效管理。 0x0

继续阅读

漏洞预警 | 大华DSS数字监控系统任意文件读取漏洞

发布于 作者:

漏洞预警 | 大华DSS数字监控系统任意文件读取漏洞 浅安 浅安安全 2024-12-16 00:00 0x00 漏洞编号 – # 暂无 0x01 危险等级 – 高危 0x02 漏洞概述 大华DSS-平安城市解决方案是大华技术提供的一套全面、可靠的智能安防解决方案，以技术创新为驱动力，致力于提升城市整体安全水平。 0x03 漏洞详情 漏洞类型： 任意文件读取 影响： 获取敏

继续阅读

「漏洞复现」PbootCMS entrance.php SQL注入漏洞

发布于 作者:

「漏洞复现」PbootCMS entrance.php SQL注入漏洞 冷漠安全 冷漠安全 2024-12-16 00:00 0x01 免责声明 请勿利用文章内的相关技术从事非法测试，由于传播、利用此文所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，作者不为此承担任何责任。工具来自网络，安全性自测，如有侵权请联系删除。本次测试仅供学习使用，如若非法他用，与平台和本文作者无关，

继续阅读

记一次验证码绕过修改邮箱地址

发布于 作者:

记一次验证码绕过修改邮箱地址 进击的HACK 2024-12-15 23:55 扫码领资料 获网安教程 本文由掌控安全学院 –  brooke 投稿 来Track安全社区投稿~ 千元稿费！还有保底奖励~（https://bbs.zkaq.cn） 这里我们打开网址，因为没有账号，所以我们需要先注册一个账号 这种验证码绕过的前提就是你先获取到正确的返回参数，进行前端绕过，所以我们先正常走流

继续阅读

微软 MFA 现 AuthQuake 漏洞， 允许无限次暴力破解！

发布于 作者:

微软 MFA 现 AuthQuake 漏洞， 允许无限次暴力破解！ 原创 技术修道场 技术修道场 2024-12-15 23:54 漏洞速递   Oasis Security 的安全研究人员发现微软多因素身份验证 (MFA) 机制存在一个严重漏洞，允许攻击者绕过 MFA 保护， unauthorized access 受害者账户。 漏洞详情 – 漏洞名称:  AuthQuake 漏洞描

继续阅读

如何有效防范勒索软件攻击？最新漏洞与防御策略

发布于 作者:

如何有效防范勒索软件攻击？最新漏洞与防御策略 原创 ITIL之家 信息安全动态 2024-12-15 22:22 点击进入信息安全资料库 一、勒索软件攻击现状解析 （一）近年攻击趋势概述 近年来，勒索软件攻击呈现出愈发严峻的态势，在数量、频次以及危害程度等方面都发生了显著变化。 从攻击数量和频次来看，呈爆发式增长趋势。据不完全统计，Ransomfeed勒索论坛数据显示，2021年至2024年，暗网

继续阅读

【0day】《黄药师》药业管理软件UploadFile存在任意文件上传漏洞

发布于 作者:

【0day】《黄药师》药业管理软件UploadFile存在任意文件上传漏洞 原创 xiachuchunmo 银遁安全团队 2024-12-15 22:00 需要EDU SRC邀请码的师傅可以私聊后台，免费赠送EDU SRC邀请码（邀请码管够） 漏洞简介 **黄药师药店管理是专为零售药店打造的管理软件，集综合进销存管理，会员管理，GSP管理等于一身，其直观的界面，简洁的操作，去繁存精，更易使用，助您

继续阅读

浅析渗透实战中url跳转漏洞

发布于 作者:

浅析渗透实战中url跳转漏洞 船山信安 2024-12-15 17:00 前言 最近在一些厂商项目中开始接触到一些url任意重定向，虽然是低危，奖金较低，（虽然国外已经是几百$）但是一旦找到突破点，几乎整个站的url跳转都可以bypass，一个厂商所有点的url跳转加起来奖金也比较可观，所以将自己挖掘过程中一点点心得分享一下。 简介 先走个流程说些废话，url重定向漏洞也称url任意跳转漏洞，网站

继续阅读

网络钓鱼是数据泄露的无声前兆

发布于 作者:

网络钓鱼是数据泄露的无声前兆 原创 何威风 祺印说信安 2024-12-15 16:00 网络钓鱼不仅仅是一种滋扰，它是破坏性数据泄露的可怕前兆。 网络钓鱼是当今网络威胁领域中最普遍的策略、技术和程序 (TTP) 之一。它通常是数据泄露的门户，可能对组织和个人造成毁灭性后果。例如， 2021 年的 Colonial Pipeline 网络攻击始于与网络钓鱼相关的入侵，导致勒索软件攻击，扰乱了美国各

继续阅读

OpenCVE：一款自动收集NVD、MITRE等多源知名漏洞库的开源工具，累计收录CVE 27万+

发布于 作者:

OpenCVE：一款自动收集NVD、MITRE等多源知名漏洞库的开源工具，累计收录CVE 27万+ 原创 筑梦网安 全栈安全 2024-12-15 13:34 漏洞库在企业中扮演着至关重要的角色，不仅提升了企业的安全防护能力，还支持了安全决策、合规性要求的满足以及智能化管理的发展。前期博文《业界十大知名权威安全漏洞库介绍 》介绍了主流漏洞库，今天给大家介绍一款集成了多款知名漏洞库的开源漏洞预警平台

继续阅读

aiohttp存在目录遍历漏洞(CVE-2024-23334)

发布于 作者:

aiohttp存在目录遍历漏洞(CVE-2024-23334) 闻人语默 老鑫安全 2024-12-15 09:31 aiohttp是一个Python的HTTP客户端/服务器框架，它基于asyncio库实现异步编程模型，可以支持高性能和高并发的HTTP通信。aiohttp用于编写异步的Web服务器、Web应用程序或HTTP客户端，以提供对Web和HTTP资源的访问和操作。近日监测到aiohttp目

继续阅读

通过更智能的开发策略解决软件漏洞

发布于 作者:

通过更智能的开发策略解决软件漏洞 很近也很远 网络研究观 2024-12-15 04:00 介绍了开发人员如何解决复杂系统中的漏洞、组织如何更好地支持安全编码实践，以及语言和框架在安全开发中的作用。 现代软件系统越来越复杂，开发人员可以采取什么策略来解决这种复杂性带来的隐藏漏洞？ 如今，开发人员可以利用一系列相当新颖的策略，这些策略可以显著改善源代码安全性，并消除处理规模和复杂性方面的传统障碍。

继续阅读

CVE-2024-11053 (CVSS 9.1)：Curl 漏洞在重定向中暴露用户凭证

发布于 作者:

CVE-2024-11053 (CVSS 9.1)：Curl 漏洞在重定向中暴露用户凭证 独眼情报 2024-12-15 02:41 流行的 curl 命令行工具和库中最近发现了一个漏洞，编号为 CVE-2024-11053，CVSS 评分为 9.1，可能导致用户凭据意外泄露。该漏洞源于使用.netrc文件存储凭据与 curl 对 HTTP 重定向的处理之间的交互。 在特定情况下，当 curl 配

继续阅读

关键的Windows UI自动化框架漏洞允许黑客绕过EDR

发布于 作者:

关键的Windows UI自动化框架漏洞允许黑客绕过EDR 老布 FreeBuf 2024-12-15 02:03 一种新近开发的技术，利用了Windows的一个辅助功能框架——UI Automation（UIA），来执行多种恶意活动，同时巧妙地避开了端点检测和响应（EDR）解决方案的监控。 Akamai的安全研究员Tomer Peled在一份与The Hacker News分享的报告中指出：“要

继续阅读

网络资产收集与漏洞扫描工具

发布于 作者:

网络资产收集与漏洞扫描工具 黑白之道 2024-12-15 01:43 工具介绍 hscan是一款网络资产收集与漏洞扫描工具，作者目前已完成以下功能。 探活 服务扫描(常规 & 非常规端口) poc探测(xray v2 & nuclei格式) 数据库等弱口令爆破 内网常见漏洞利用 快速使用 sudo ./hscan -h IP或IP段 sudo ./hscan -hf IP或IP段

继续阅读

大众和斯柯达曝12个组合漏洞，攻击者可在10米内无接触入侵

发布于 作者:

大众和斯柯达曝12个组合漏洞，攻击者可在10米内无接触入侵 网络安全与人工智能研究中心 2024-12-15 01:21 网络安全研究人员发现斯柯达和大众汽车的某些车型的车载娱乐系统中存在多个漏洞，这些漏洞可能让黑客远程跟踪并访问用户的敏感数据。 专门从事汽车网络安全的公司PCAutomotive最近在Black Hat Europe上披露了影响斯柯达Superb III轿车最新型号的12个新的安

继续阅读

实战 | 记一次双排渗透测试漏洞复盘

发布于 作者:

实战 | 记一次双排渗透测试漏洞复盘 原创 Abin/zuohua 神农Sec 2024-12-15 01:00 扫码加圈子 获内部资料 网络安全领域各种资源，学习文档，以及工具分享、前沿信息分享、POC、EXP分享。 不定期分享各种好玩的项目及好用的工具，欢迎关注。 0x1 前言 某天晚上和源哥进行技术交流，期间一起合作对一个站点进行测试，主要就是测试一下能不能出点货。就有了下面的双排渗透测试哈

继续阅读

每周网安态势概览【20241215】050期

发布于 作者:

每周网安态势概览【20241215】050期 网空闲话 网空闲话plus 2024-12-15 00:19 编者按 2024年12月9日至12月15日，网空闲话关注并分享的国际网络安全领域的热点事件，以及每日国际网络安全态势一览。 本周热点 ：上市电力公司遭勒索、美国与菲律宾成功举行海上网络安全和化学品安全演习、Lynxa勒索软件团队浮出 ，等等 。 每日热点追踪 俄罗斯两黑客组织瞄准了美、加、澳

继续阅读

大华DSS数字监控系统 attachment_downloadAtt.action 任意文件读取漏洞

发布于 作者:

大华DSS数字监控系统 attachment_downloadAtt.action 任意文件读取漏洞 冷漠安全 冷漠安全 2024-12-15 00:00 0x01 免责声明 请勿利用文章内的相关技术从事非法测试，由于传播、利用此文所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，作者不为此承担任何责任。工具来自网络，安全性自测，如有侵权请联系删除。本次测试仅供学习使用，如若非

继续阅读