如何修复常见的WEB漏洞
如何修复常见的WEB漏洞 xsser xsser的博客 2025-02-28 15:24 常见Web漏洞修复解决方案 一、SQL注入漏洞 漏洞原理 攻击者通过构造恶意输入篡改SQL语句逻辑，绕过身份验证或直接操纵数据库。例如，输入 ‘ OR 1=1– 使查询条件恒为真，泄露全表数据。 虚构修复方案 动态语法树重组（Dynamic Syntax Tree Reshaping, DSTR
继续阅读月度归档： 2025 年 2 月
【漏洞预警】Apache InLong任意文件读取漏洞(CVE-2025-27531)
【漏洞预警】Apache InLong任意文件读取漏洞(CVE-2025-27531) cexlife 飓风网络安全 2025-02-28 14:15 漏洞描述: Aрасhе InLоnɡ是一款用于数据集成的开源框架,广泛应用于大数据处理场景,该漏洞存在于Aрасhе InLоnɡ的JDBC功能中,由于对用户输入的参数处理不当,攻击者可以通过精心构造的请求绕过安全限制,实现任意文件读取。 攻击场
继续阅读DT-高清车牌识别摄像机存在任意文件读取漏洞
DT-高清车牌识别摄像机存在任意文件读取漏洞 原创 骇客安全 骇客安全 2025-02-28 11:51 app="DT-高清车牌识别摄像机" 2、部分界面如下 3、隐患url，验证如下 id: DT-information-leakage info: name: DT-information-leakage author: xxxx severity: high
继续阅读苹果 Find My 网络漏洞让黑客可以悄无声息地追踪任何蓝牙设备
苹果 Find My 网络漏洞让黑客可以悄无声息地追踪任何蓝牙设备 安世加 安世加 2025-02-28 11:30 根据研究人员在博客文章中的解释，他们发现了一种方法，可以将任何设备 (如手机或笔记本电脑) 在用户完全不知情的情况下变成一个 AirTag。之后，黑客就可以远程追踪该设备的位置。 对于不熟悉的人来说，苹果的 Find My 网络的工作原理是通过从 AirTag 和其他兼容的追踪器向
继续阅读渗透测试新利器！EZ漏洞扫描器全面解析
渗透测试新利器！EZ漏洞扫描器全面解析 原创 SecCeo 泷羽Sec-Ceo 2025-02-28 11:06 EZ 工具介绍 EZ是一款集信息收集、端口扫描、服务暴破、URL爬虫、指纹识别、被动扫描为一体的跨平台漏洞扫描器，渗透测试中，可辅助发现常见的SQL注入、XSS、XXE、SSRF之类的漏洞，通过内置的POC辅助发现Apache Shiro、RabbitMQ、Struts2之类的通用组件
继续阅读报告：89%的企业生成式AI使用不可见，或造成严重风险
报告：89%的企业生成式AI使用不可见，或造成严重风险 THN 代码卫士 2025-02-28 10:36 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 组织机构要么已经正在使用生成式AI (GenAI) 解决方案，要么正在评估将这些工具集成到业务计划中的策略，要么这两项工作都在做。要做出明智决策并进行有效规划，硬数据的获取至关重要，但此类数据仍然少得令人惊奇。 LayerX 公司发布《2
继续阅读2024漏洞风险启示录：在攻防的螺旋中寻找「治愈」之道
2024漏洞风险启示录：在攻防的螺旋中寻找「治愈」之道 腾讯安全 2025-02-28 10:24 前言 人类与疾病的抗争史，是一部不断自我超越的史诗。 正如医学的进步从未让病毒消亡，数字世界的安全防御也始终在与漏洞风险进行着一场永恒的博弈 ——安全从业者如同数字世界的「免疫系统」，在浩瀚数字世界中筛查病灶（漏洞感知）、合成抗体（漏洞修复）、构建防线（风险处置），周而复始地维系着企业数字机体的健康
继续阅读《DOM型XSS漏洞之document.write触发》
《DOM型XSS漏洞之document.write触发》 原创 柠檬赏金猎人 柠檬赏金猎人 2025-02-28 10:22 介绍 使用JavaScript的调用 location.search 获取数据，再通过document.write 函数将数据写入页面。您可以使用网站 URL 进行控制，将数据包含在 select 元素中。 目标 执行跨站点脚本攻击，突破 select 元素并调用 ale
继续阅读2025鱼影安全SRC精品课程第一期重磅来袭！《0基础到高级SRC漏洞赏金猎人！》
2025鱼影安全SRC精品课程第一期重磅来袭！《0基础到高级SRC漏洞赏金猎人！》 原创 落寞的魚丶 鱼影安全 2025-02-28 10:15 点击上方蓝字·关注我们 课程背景： 本次课程由 鱼影安全 团队研发出品！ 落寞的🐟：阿里云博客专家 CSDN博客专家 华为云博客专家 网络安全领域优质创作者 中高职全国职业技能大赛国赛金牌培训讲师 CTF选手 青年工匠 需要比赛培训可以联系我 多次培训出
继续阅读城堡的小门：v8类型混淆漏洞CVE-2024-4761分析
城堡的小门：v8类型混淆漏洞CVE-2024-4761分析 京东安全应急响应中心 2025-02-28 10:09 城堡的小门： v8类型混淆漏洞CVE-2024-4761分析 01 前言 在讲述漏洞之前, 让我们设想这样一个场景: 你有一座设有严密防御的城堡，城墙高大坚固，把敌人挡在外面。你的城堡有唯一的入口，那就是一个重门深锁、有严格守卫检查的大门。然后，为了增加便利性，你决定在城堡的另一侧增
继续阅读2024漏洞风险启示录：在攻防的螺旋中寻找【治愈】之道
2024漏洞风险启示录：在攻防的螺旋中寻找【治愈】之道 云鼎实验室 2025-02-28 09:31 前言 人类与疾病的抗争史，是一部不断自我超越的史诗。 正如医学的进步从未让病毒消亡，数字世界的安全防御也始终在与漏洞风险进行着一场永恒的博弈 ——安全从业者如同数字世界的「免疫系统」，在浩瀚数字世界中筛查病灶（漏洞感知）、合成抗体（漏洞修复）、构建防线（风险处置），周而复始地维系着企业数字机体的健
继续阅读【风险提示】 DeepSeek等大模型私有化服务器部署近九成在“裸奔”，已知漏洞赶紧处理！
【风险提示】 DeepSeek等大模型私有化服务器部署近九成在“裸奔”，已知漏洞赶紧处理！ 奇安信 CERT 2025-02-28 08:33 问题概述 近期，随着国产大模型 DeepSeek 的迅速流行，越来越多的企业和个人选择将其进行私有化部署。然而，根据奇安信资产测绘鹰图平台的监测数据，在 8971 个运行 Ollama 大模型框架的服务器中，有 6449 个活跃服务器，其中 88.9% 的
继续阅读【已复现】Ollama 未授权访问漏洞
【已复现】Ollama 未授权访问漏洞 长亭安全应急响应中心 2025-02-28 07:38 Ollama 是一个开源的大语言模型（LLM）运行环境和工具集，旨在帮助开发者轻松部署、管理和使用模型（如 DeepSeek 等）。近期互联网披露，如果 Ollama 直接暴露服务端口（默认为 11434）于公网，并且未启用身份认证机制，远程攻击者可以在未授权的情况下访问其高危接口。建议受影响的用户尽快
继续阅读关于举办“数据安全技能能手”和移动互联网安全工程师（CAPPSEC）2025年第1期培训班的通知
关于举办“数据安全技能能手”和移动互联网安全工程师（CAPPSEC）2025年第1期培训班的通知 赛查查 2025-02-28 06:44 各相关单位： 为深入学习贯彻党的二十大精神，提升专业人才在数据安全领域的知识水平和技能素养，加强各行业数据安全人才队伍建设，在中国软件评测中心（工业和信息化部软件与集成电路促进中心）和数据安全关键技术与产业应用评价工业和信息化部重点实验室联合指导下，中国计算机
继续阅读【吃瓜】gitlab 出现一个有手就行的漏洞，获取34,000 美元的赏金
【吃瓜】gitlab 出现一个有手就行的漏洞，获取34,000 美元的赏金 独眼情报 2025-02-28 04:11 概括 我找到了一种通过密码重置表单更改 GitLab 帐户密码的方法，并成功检索最终的重置链接，无需用户交互，仅使用其电子邮件地址即可。 重现步骤 转到“忘记密码？”链接输入受害者的电子邮件并通过 Burp Suite 拦截提交请求。然后右键单击 Burp Suite 内的 HT
继续阅读【PoC】Windows Hyper-V NT 内核集成 VSP 提权漏洞
【PoC】Windows Hyper-V NT 内核集成 VSP 提权漏洞 独眼情报 2025-02-28 04:11 CVE-2025-21333-POC 这是一个利用 CVE-2025-21333 在 vkrnlintvsp.sys 中的漏洞的概念验证（不太可靠，详见需求和限制部分）。参考部分列出了对想要研究此漏洞利用的人非常有用的资源。 该漏洞被发现正在被威胁行为者积极利用。 已在 Wi
继续阅读0Day CNVD-2025-00727 某路由器未授权命令执行漏洞分析
0Day CNVD-2025-00727 某路由器未授权命令执行漏洞分析 原创 CSX安全实验室 安帝Andisec 2025-02-28 03:57 Part1 漏洞状态 漏洞细节 漏洞PoC 漏洞EXP 在野利用 有 有 无 未知 Part2 漏洞描述 漏洞名称 0Day 某路由器未授权命令执行漏洞 CVE编号 CNVD-2025-00727 漏洞类型 命令执行 漏洞等级 10.0 高危 (
继续阅读PbootCMS最新代码注入漏洞（CNVD-2025-01710、CVE-2024-12789）
PbootCMS最新代码注入漏洞（CNVD-2025-01710、CVE-2024-12789） 原创 护卫神 护卫神说安全 2025-02-28 03:39 PbootCMS是一套高效、简洁、 强悍的可免费商用的CMS源码，使用PHP+MySQL开发，能够满足各类企业网站开发建设的需要。 国家信息安全漏洞共享平台于2025-01-14公布该程序存在代码注入漏洞。 漏洞编号：CNVD-2025-0
继续阅读分享一次组合漏洞挖掘拿下目标
分享一次组合漏洞挖掘拿下目标 原创 flowerwind 长个新的脑袋 2025-02-28 02:46 前言 背景为多年前的某次红队在钓鱼、常规打点无果的情况下获取到了一份和目标单位某站点相匹配的代码，自此开始对这套代码进行审计。最终挖掘了众多小漏洞，在目标为springboot的情况下，利用jdk的懒加载特性巧妙串联诸多漏洞后拿下了该站点的shell。 漏洞挖掘和利用 JWT Token伪造漏
继续阅读百万赏金漏洞猎人带挖,进阶解锁美刀收入（3月10日开课）
百万赏金漏洞猎人带挖,进阶解锁美刀收入（3月10日开课） 来给你一口甜 扶楹安全 2025-02-28 02:33 ⏳ 报名倒计时2024年3月9日截止报名（仅剩最后6个席位，已有4位学员锁定资格！） 🚀 课程核心价值 ✅ 小班制授课 ：1v1漏洞思维指导 ✅ SRC实战全覆盖 ：Bugcrowd/HackerOne/漏洞盒子/补天等平台TOP案例解析 ✅ 红队视角突破 ：从漏洞挖掘到攻击链构建的
继续阅读大模型微调爆出致命漏洞：可导致模型“黑化”
大模型微调爆出致命漏洞：可导致模型“黑化” GoUpSec 2025-02-28 02:12 GoUpSec点评：大模型微调作为当前AI应用落地的热点，正推动AI技术在各行业的深度融合。然而，一个与微调相关的巨大风险逐渐浮出水面：大模型微调不当，不仅会影响目标功能，还可能引发模型在其他领域发生紊乱，输出异常甚至有害的结果，导致整个大模型的黑化。这一发现凸显了大模型对齐的脆弱性，以及大模型微调的潜在
继续阅读74cms 最新 getshell 漏洞
74cms 最新 getshell 漏洞 1398133550745333 神农Sec 2025-02-28 01:01 扫码加圈子 获内部资料 网络安全领域各种资源，EDUSRC证书站挖掘、红蓝攻防、渗透测试等优质文章，以及工具分享、前沿信息分享、POC、EXP分享。 不定期分享各种好玩的项目及好用的工具，欢迎关注。 加内部圈子，文末有彩蛋 （知识星球 优惠卷）。 原文链接：https://xz
继续阅读棉花糖居然被开盒了！
棉花糖居然被开盒了！ 棉花糖糖糖 阿乐你好 2025-02-28 01:00 前情提要： 由于我被逆天哥开盒，所以本文将带领大家细说这位逆天开盒哥：红岸基地赵小龙的逆天事迹。 有些师傅不知道赵小龙是谁，给大家讲一下。 暗影网安实验室，红岸基地网络安全，这俩公众号都是他的 （有一说一，红岸、暗影，中不中二啊….自己起名字的时候笑没笑） ，我的好友列表甚至还有不少关注，看到这篇文章请你自行
继续阅读紧急预警！Windows磁盘清理工具惊现高危漏洞，你的电脑可能面临被控制风险！
紧急预警！Windows磁盘清理工具惊现高危漏洞，你的电脑可能面临被控制风险！ 云梦DC 云梦安全 2025-02-28 00:48 漏洞概述 CVE ID：CVE-2025-21420 漏洞类型：DLL劫持（DLL Sideloading）引发的权限提升（EoP） 影响组件：Windows磁盘清理工具（cleanmgr.exe） 攻击复杂度：低（需用户交互或自动化触发） 权限需求：需具备用户级文
继续阅读Auto SSRF BurpSuite自动化SSRF漏洞探测插件
Auto SSRF BurpSuite自动化SSRF漏洞探测插件 云梦DC 云梦安全 2025-02-28 00:48 Auto SSRF简介 Auto-SSRF是一款基于BurpSuite MontoyaApi的自动SSRF漏洞探测插件, 捕获BurpSuite 流经Passive Audit、Proxy、Repeater的流量进行SSRF漏洞探测分析。 运行原理 捕获参数中存在URL链接特征的
继续阅读.NET 逻辑绕过漏洞审计思路和挖掘
.NET 逻辑绕过漏洞审计思路和挖掘 原创 专攻.NET安全的 dotNet安全矩阵 2025-02-28 00:34 在 .NET 应用程序中，安全漏洞时常成为攻击者突破防线的关键入口。近日，一项逻辑绕过漏洞的发现引起了广泛关注。攻击者只需构造一个特定的URL请求，便能实现让接口泄露管理员敏感信息，包括用户名和密码， 因此，在日常的代码审计和评估的环节需要格外留意该漏洞类型引发的安全漏洞。 01
继续阅读标准研讨 | 《软件供应链漏洞管理平台能力要求》第一次标准研讨会通知
标准研讨 | 《软件供应链漏洞管理平台能力要求》第一次标准研讨会通知 CAICT可信安全 2025-02-28 00:31 Background 背景 软件供应链漏洞管理平台用于识别、分析和缓解系统和软件安全漏洞，助力企业进行漏洞管理、评估现有的安全状况、潜在威胁的优先级和漏洞管理计划的有效性等，保障软件供应链安全。企业可通过漏洞和资产信息的关联和展现，快速定位可能存在漏洞的资产，提升安全事件响应
继续阅读告别CVE焦虑！KEV：已知被利用漏洞才是真威胁!
告别CVE焦虑！KEV：已知被利用漏洞才是真威胁! 华顺信安 2025-02-28 00:31 “ “截至2025年，全球新增漏洞数量屡屡突破新高，漏洞洪峰的来临，传统基于CVSS评分和SLA的漏洞管理策略已全面失效，面对漏洞治理效率困境，我们正在用20世纪的手术刀，应对21世纪的数字疫情。” ” 在当前复杂的网络安全环境中，稍具规模的企业通常会面临着数量庞大的漏洞基数，这使得全面修复所有漏洞变得
继续阅读(0day)漏洞预警 | 时空智友企业信息管理系统任意文件读取漏洞
(0day)漏洞预警 | 时空智友企业信息管理系统任意文件读取漏洞 原创 深潜sec安全团队 深潜sec安全团队 2025-02-28 00:21 0x01 漏洞编号 • 暂无 0x02 危险等级 • 高危 0x03 漏洞概述 北京时空智友科技有限公司是一家经营范围包括技术开发、技术推广、技术转让、技术咨询、技术服务等的公司。 0x04 漏洞详情 漏洞类型：任意文件读取漏洞 影响：获取敏感信息 简
继续阅读警惕！全景框架Krpano漏洞遭大规模利用，350+网站被植入垃圾广告
警惕！全景框架Krpano漏洞遭大规模利用，350+网站被植入垃圾广告 原创 Hankzheng 技术修道场 2025-02-28 00:18 近日，知名虚拟导览框架Krpano的一个跨站脚本（XSS）漏洞被黑客大规模利用，超过350个网站被注入恶意脚本，用于操纵搜索结果并推广垃圾广告。 安全研究员Oleg Zaytsev发现了一场名为“360XSS”的网络攻击活动，该活动利用了虚拟导览框架Krp
继续阅读