月度归档： 2024 年 12 月

记一次从0到1的漏洞挖掘过程 发现Accesssecret泄露实现权限接管 越权等漏洞|挖洞技巧

发布于 作者:

记一次从0到1的漏洞挖掘过程 发现Accesssecret泄露实现权限接管 越权等漏洞|挖洞技巧 漏洞挖掘 渗透安全HackTwo 2024-12-01 16:00 0x01 前言         通过分析目标系统的前端JS代码，发现了泄露的 heapdump 文件，从中提取云服务的 accesskey 和 accesssecret 实现权限接管。在某通用系统中，利用水平越权删除他人API和垂直越

继续阅读

AD证书服务漏洞使攻击者能够提权

发布于 作者:

AD证书服务漏洞使攻击者能够提权 原创 何威风 祺印说信安 2024-12-01 16:00 Microsoft 的 Active Directory 证书服务 (AD CS) 中存在一个严重漏洞，可能允许攻击者提升权限并可能获得域管理员访问权限。 这个被称为 ESC15 或“EKUwu”的新漏洞是由 TrustedSec 于 2024 年 10 月初发现的，此后被添加到流行的攻击性安全工具中。

继续阅读

秦安：刘纪鹏教授披露的这个股市不公平规则，亿万股民需怒吼叫停

发布于 作者:

秦安：刘纪鹏教授披露的这个股市不公平规则，亿万股民需怒吼叫停 原创 秦安战略 秦安战略 2024-12-01 13:15 股市走到这个地步，真是一手好牌打烂了。我看了粉丝的留言，机构有了一个别称“jigou”，我看还得加一个“不如”。原因在于党和国家最高层面都指挥不动了，中信证券自己的研究报告证明，机构并没有大力入场，而是处于观望的状态。即便是27日股市迎来难得的反弹，依然没有放太大的量，数据不会

继续阅读

知名工业WiFi接入点被曝存在20多个漏洞

发布于 作者:

知名工业WiFi接入点被曝存在20多个漏洞 黑白之道 2024-12-01 07:57 近期，Advantech工业级无线接入点设备被曝光存在近二十个安全漏洞，部分漏洞可被恶意利用以绕过身份验证并执行高权限代码。 网络安全公司Nozomi Networks在周三发布的分析报告中警告称：“这些漏洞带来了严重的安全风险，它们允许未经身份验证的远程代码以根权限执行，全面威胁到受影响设备的保密性、完整性和

继续阅读

CVE-2024-52338：Apache Arrow 存在严重安全漏洞，允许未授权任意代码执行

发布于 作者:

CVE-2024-52338：Apache Arrow 存在严重安全漏洞，允许未授权任意代码执行 计算机与网络安全 2024-12-01 01:57 进网络安全行业群 微信公众号 计算机与网络安全 回复  行业群 Apache软件基金会解决了Apache Arrow R语言包中的一个严重安全漏洞（CVE-2024-52338）。该漏洞影响4.0.0到16.1.0版本，使得攻击者能够在处理恶意制作的

继续阅读

选择一个细分领域，成为专家，或许能发现漏洞甚至 0day 漏洞或逆向 n-day 漏洞，并撰写博客。

发布于 作者:

选择一个细分领域，成为专家，或许能发现漏洞甚至 0day 漏洞或逆向 n-day 漏洞，并撰写博客。 原创 蜘蛛 网安守护 2024-12-01 01:46 即使你没有获得那些 10 万美元的赏金，这也将是迈向 10 万美元工作的垫脚石。 什么细分领域？如何选择？有哪些例子？ 信息安全领域非常广泛，从 web3 安全到 web2、移动端、桌面端、侦察、客户端、服务器端、密码学等等。这些都是笼统的术

继续阅读

CVE-2024-42327｜Zabbix SQL注入漏洞

发布于 作者:

CVE-2024-42327｜Zabbix SQL注入漏洞 alicy 信安百科 2024-12-01 01:30 0x00 前言 Zabbix是一个基于WEB界面的提供分布式系统监视以及网络监视功能的企业级的开源解决方案。 Zabbix能监视各种网络参数，保证服务器系统的安全运营；并提供灵活的通知机制以让系统管理员快速定位/解决存在的各种问题。 Zabbix由2部分构成， Zabbix serv

继续阅读

CVE-2024-11477｜7-Zip代码执行漏洞（POC）

发布于 作者:

CVE-2024-11477｜7-Zip代码执行漏洞（POC） alicy 信安百科 2024-12-01 01:30 0x00 前言 7-Zip（ 7z解压软件） 是一款完全免费的压缩解压缩软件，同其他压缩软件 相比它的压缩速度更快压缩率更好，不仅支持众多主流格式、支持超线程，而且还有强大的AES-256加密算法可以为文件进行加密 ，增强文件的安全性。 它支持多种压缩格式，包括但不限于 7z、Z

继续阅读

Advantech工业级Wi-Fi接入点多个安全漏洞

发布于 作者:

Advantech工业级Wi-Fi接入点多个安全漏洞 锋刃科技 2024-11-30 18:13 Advantech EKI 系列工业级 Wi-Fi 接入点是用于工业自动化和物联网（IoT）环境中的无线网络解决方案。它们设计用于提供高性能的无线连接，并支持远程监控与管理，适用于智能工厂、自动化生产线等应用。 01 漏洞描述 Advantech EKI 系列工业级 Wi-Fi 接入点中，发现了多达

继续阅读

攻击者利用Windows 11整数溢出漏洞提升权限

发布于 作者:

攻击者利用Windows 11整数溢出漏洞提升权限 原创 何威风 祺印说信安 2024-11-30 16:01 Windows 11 中发现了一个严重的安全漏洞，攻击者可以通过整数溢出漏洞获得提升的系统权限。 该漏洞影响ksthunk.sys 驱动程序，并在最近的 TyphoonPWN 2024 活动中成功演示，并获得第二名。 该漏洞存在于ksthunk.sys 的 CKSAutomationTh

继续阅读

德国起草法律保护发现安全漏洞的研究人员

发布于 作者:

德国起草法律保护发现安全漏洞的研究人员 Rhinoer 犀牛安全 2024-11-30 16:00 德国联邦司法部起草了一项法律，为发现并负责任地向供应商报告安全漏洞的安全研究人员提供法律保护。 在规定范围内进行安全研究时，责任人将免于承担刑事责任和被起诉的风险。 联邦司法部长 Marco Buschmann 博士表示：“那些想要弥补 IT 安全漏洞的人应该得到认可，而不是一封检察官的来信。” 部

继续阅读