月度归档： 2025 年 2 月

【安全研究】如何用 DeepSeek AI 去跟进最新的CVE漏洞研究

发布于 作者:

【安全研究】如何用 DeepSeek AI 去跟进最新的CVE漏洞研究 原创 Mstir 星悦安全 2025-02-18 06:22 点击上方 蓝字 关注我们 并设为 星标 0x00 前言 众所周知，CVE的最新漏洞往往是安全研究人员的一大乐趣，而CVE最新的漏洞的Github是发布在下方链接中的，每日都会更新最新漏洞及全部的CVE漏洞压缩包.https://github.com/CVEProje

继续阅读

SonicWall防火墙认证绕过漏洞正遭大规模利用

发布于 作者:

SonicWall防火墙认证绕过漏洞正遭大规模利用 邑安科技 邑安全 2025-02-18 04:22 更多全球网络安全资讯尽在邑安全 网络安全公司警告称，SonicWall防火墙中存在的一个严重认证绕过漏洞正在被积极利用，该漏洞编号为CVE-2024-53704 。2025年2月10日，随着Bishop Fox的研究人员公开发布了概念验证（PoC）漏洞利用代码，未修补设备组织面临的风险大大增加。

继续阅读

同源策略漏洞初步学习

发布于 作者:

同源策略漏洞初步学习 原创 Caigensec 菜根网络安全杂谈 2025-02-18 04:05 点击标题下「蓝色微信名」可快速关注 免责声明：本文仅用于合法范围的学习交流，若使用者将本文用于非法目的或违反相关法律法规的行为，一切责任由使用者自行承担。请遵守相关法律法规，勿做违法行为！本公众号尊重知识产权，如有侵权请联系我们删除。 01 同源策略是什么意思 1、概念 同源策略是浏览器的一个安全功

继续阅读

记一次src通杀漏洞挖掘

发布于 作者:

记一次src通杀漏洞挖掘 原创 zkaq – 98k 掌控安全EDU 2025-02-18 04:00 扫码领资料 获网安教程 本文由掌控安全学院 –  98k 投稿 来Track安全社区投稿~ 千元稿费！还有保底奖励~（https://bbs.zkaq.cn） 0x1 前言 这是我第一次写漏洞分享的文章，主要是最近跟着几个厉害的师傅一起学习，挖了几个比较简单的漏洞，今天拿

继续阅读

漏洞赏金实战分享 | 发现并利用开放的 SMB 服务

发布于 作者:

漏洞赏金实战分享 | 发现并利用开放的 SMB 服务 白帽子左一 白帽子左一 2025-02-18 04:00 扫码领资料 获网安教程 来Track安全社区投稿~ 赢千元稿费！还有保底奖励~（https://bbs.zkaq.cn） 大家好！这次我要分享的是在测试某个目标时，发现的 SMB 服务器配置错误及其利用过程。 img 服务器消息块（SMB） 是一种通信协议，用于在网络中的节点之间共享文件

继续阅读

腾讯云安全中心推出2025年1月必修安全漏洞清单

发布于 作者:

腾讯云安全中心推出2025年1月必修安全漏洞清单 原创 腾讯云安全中心 安全攻防团队 2025-02-18 03:32 所谓必修漏洞，就是运维人员必须修复、不可拖延、影响范围较广的漏洞，被黑客利用并发生入侵事件后，会造成十分严重的后果。 腾讯云安全中心参考“安全漏洞的危害及影响力、漏洞技术细节披露情况、该漏洞在安全技术社区的讨论热度”等因素，综合评估该漏洞在攻防实战场景的风险。当漏洞综合评估为风险

继续阅读

Palo Alto防火墙又被黑：最新漏洞披露后第二天就遭利用

发布于 作者:

Palo Alto防火墙又被黑：最新漏洞披露后第二天就遭利用 e安在线 e安在线 2025-02-18 03:32 Palo Alto Networks于2月12日发布了针对CVE-2025-0108的补丁和缓解措施。该漏洞允许未经身份验证的攻击者访问防火墙管理界面并执行特定的PHP脚本。 GreyNoise于2月13日透露，其已开始检测到针对CVE-2025-0108的攻击尝试。截至2月14日上

继续阅读

Docker容器5大致命配置错误，一个疏忽就是大规模漏洞

发布于 作者:

Docker容器5大致命配置错误，一个疏忽就是大规模漏洞 原创 VlangCN HW安全之路 2025-02-18 03:30 引言 Docker 是一项革命性的技术，使开发者能够以轻量级、可移植且高效的方式构建、部署和维护应用程序。它通过容器（Containers）  封装应用程序及其依赖项，从而实现环境一致性，并极大地提升应用的可扩展性和部署效率。 容器类似于虚拟机（VM），但具有更显著的优势

继续阅读

用友NC checkekey SQL 注入漏洞(XVE-2024-37013)

发布于 作者:

用友NC checkekey SQL 注入漏洞(XVE-2024-37013) Superhero nday POC 2025-02-18 03:15 内容仅用于学习交流自查使用，由于传播、利用本公众号所提供的 POC 信息及 POC对应脚本 而造成的任何直接或者间接的后果及损失，均由使用者本人负责，公众号nday poc及作者不为此承担任何责任，一旦造成后果请自行承担！如文章有侵权烦请及时告知，

继续阅读

“挖漏洞换酒钱？通过信息收集挖到企业的严重漏洞全纪录思路分享 | 干货

发布于 作者:

“挖漏洞换酒钱？通过信息收集挖到企业的严重漏洞全纪录思路分享 | 干货 蜜汁叉烧 渗透安全团队 2025-02-18 03:07 关于无问社区 无问社区-官网：http://www.wwlib.cn 本文来自社区成员，蜜汁叉烧饭投稿。欢迎大家投稿，投稿可获得无问社区AI大模型的使用红包哦！ 无问社区：网安文章沉浸式免费看！ 无问AI大模型不懂的问题随意问！ 全网网安资源智能搜索只等你来！ 0x01

继续阅读

Catcher外网打点指纹识别+Nday漏洞验证工具|指纹识别

发布于 作者:

Catcher外网打点指纹识别+Nday漏洞验证工具|指纹识别 island 深白网安 2025-02-18 02:29 免责声明：文章中内容来源于互联网，涉及的所有内容仅供安全研究与教学之用，读者将其信息做其他用途而造成的任何直接或者间接的后果及损失由用户承担全部法律及连带责任。文章作者不承担任何法律及连带责任！如有侵权烦请告知，我们会立即删除整改并向您致以歉意。 0x01: 简介 Catche

继续阅读

蓝凌EIS智慧协同平台 fi_message_receiver.aspx SQL注入漏洞(CVE-2025-22214)

发布于 作者:

蓝凌EIS智慧协同平台 fi_message_receiver.aspx SQL注入漏洞(CVE-2025-22214) Superhero nday POC 2025-02-18 02:04 内容仅用于学习交流自查使用，由于传播、利用本公众号所提供的 POC 信息及 POC对应脚本 而造成的任何直接或者间接的后果及损失，均由使用者本人负责，公众号nday poc及作者不为此承担任何责任，一旦造成

继续阅读

如何找到越权漏洞？

发布于 作者:

如何找到越权漏洞？ 柠檬赏金猎人 2025-02-18 01:57 流程大概如下： – • 不可预测的userid • 寻找获取userid接口 • 替换userid • 判断是否存在漏洞 • 交给你举一反三 目标为 bounty.redacted.net。我决定在该目标上寻找漏洞，注册了一个帐户。正如我所想，该目标应用程序中有很多功能。我花了4-5小时分析每个功能及其不同的权限。完成

继续阅读

实战 | EDU 某些985/211证书站 (漏洞挖掘)

发布于 作者:

实战 | EDU 某些985/211证书站 (漏洞挖掘) 湘安无事 2025-02-17 23:04 声明 漏洞已上报至相关漏洞平台并已经修复，文中敏感信息均已做打码处理，请勿利用文章内的相关技术从事非法测试。若因此产生一切后果与本公众号及本人无关 前言 平时偶然挖一下edu，也有些许收获，索性抽空时间写下这篇文章，分享一下思路，希望此篇文章能给各位师傅一些技术提升的帮助， 文中若有疏漏或不当之处

继续阅读

新型 “whoAMI” 攻击利用AWS AMI 名称混淆实现远程代码执行

发布于 作者:

新型 “whoAMI” 攻击利用AWS AMI 名称混淆实现远程代码执行 THN 代码卫士 2025-02-17 17:50 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 网络安全研究人员披露了名称混淆攻击 “whoAMI”，它可使发布具有特定名称的亚马逊机器镜像 (AMI) 的任何人在AWS账户中获取代码执行权限。 Datadog Security Labs 公司的安全研究员 Seth

继续阅读

Go语言ssti漏洞

发布于 作者:

Go语言ssti漏洞 船山信安 2025-02-17 16:00 简介 SSTI 漏洞是一种通过不安全地处理模板引擎输入而导致的漏洞。攻击者利用 SSTI 漏洞，可以注入恶意代码或表达式到模板引擎中，从而在服务器上执行任意代码，或获取敏感数据。Go中常用的模板引擎如 html/template  和 text/template ，如果使用不当，可能会导致 SSTI 漏洞。 Go中的模板引擎 Go语

继续阅读

Aboutxxl-job最新漏洞利用工具（2月14日更新）

发布于 作者:

Aboutxxl-job最新漏洞利用工具（2月14日更新） charonlight Web安全工具库 2025-02-17 16:00 =================================== 免责声明请勿利用文章内的相关技术从事非法测试，由于传播、利用此文所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，作者不为此承担任何责任。工具来自网络，安全性自测，如有侵权

继续阅读

锐明Crocus系统Service.do接口存在任意文件读取漏洞 附POC

发布于 作者:

锐明Crocus系统Service.do接口存在任意文件读取漏洞 附POC 2025-2-17更新 南风漏洞复现文库 2025-02-17 15:21 免责声明：请勿利用文章内的相关技术从事非法测试，由于传播、利用此文所提供的信息或者工具而造成的任何直接或者间接的后果及损失，均由使用者本人负责，所产生的一切不良后果与文章作者无关。该文章仅供学习用途使用。 1. 锐明Crocus系统简介 微信公众号

继续阅读

Apache Tomcat 条件竞争致远程代码执行漏洞（CVE-2024-50379）

发布于 作者:

Apache Tomcat 条件竞争致远程代码执行漏洞（CVE-2024-50379） 菜鸡小z 无影安全实验室 2025-02-17 14:35 免责声明： 本篇文章仅用于技术交流， 请勿利用文章内的相关技术从事非法测试 ， 由于传播、利用本公众号无影安全 实验室所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，公众号无影安全实验室及作者不为此承担任何责任，一旦造成后果请自行

继续阅读

【漏洞预警】jsonpath-plus存在远程代码执行漏洞(CVE-2025-1302)

发布于 作者:

【漏洞预警】jsonpath-plus存在远程代码执行漏洞(CVE-2025-1302) cexlife 飓风网络安全 2025-02-17 14:27 洞描描述: 版本号为10.3.0之前的јѕоnраth-рluѕ软件包存在远程代码执行（RCE）漏洞,原因是输入验证不当,攻击者可以通过利用不安全的默认еvаl=’ѕаfе’模式执行系统上的任意代码。 影响产品: json

继续阅读

每周网安资讯 （2.11-2.17）|Jsish存在跨界内存写漏洞

发布于 作者:

每周网安资讯 （2.11-2.17）|Jsish存在跨界内存写漏洞 交大捷普 2025-02-17 10:14 2024[ 每周网安资讯 ]2.11-2.17 网安资讯 1、市场监管总局公开征求《标准数字化标准体系建设指南 （征求意见稿）》意见 为深入贯彻落实党中央、国务院关于推动标准化工作向数字化、网络化、智能化转型的决策部署，实施《国家标准化发展纲要》和《质量强国建设纲要》，充分发挥标准的基础

继续阅读

pocsuites安全工具源码分析

发布于 作者:

pocsuites安全工具源码分析 原创 大白 蚁景网络安全 2025-02-17 09:43 pocsuite3 是由 知道创宇 404实验室 开发维护的开源远程漏洞测试和概念验证开发框架。为了更好理解其运行逻辑，本文将从源码角度分析该项目的初始化，多线程函数，poc模板等等源码 项目结构 api：对要导入的包重命名，方便后续导入调用 data：存储用户需要使用的文档数据 lib：项目核心代码

继续阅读

腾讯偷偷接入了DeepSeek，也偷偷公布了大模型框架的漏洞和CVE

发布于 作者:

腾讯偷偷接入了DeepSeek，也偷偷公布了大模型框架的漏洞和CVE 原创 吉祥 吉祥讲安全 2025-02-17 09:33 今天中午腾讯应急响应中心发布了AI相关的安全漏洞，并且提供了扫描工具。 并且还贴心的给大家说了如何去搜索这样的洞。 除此之外还把扫描工具给到了大家： 开源地址：https://github.com/Tencent/AI-Infra-Guard/下载地址（根据系统下载自己系

继续阅读

04 漏洞从哪里来？——认知局限

发布于 作者:

04 漏洞从哪里来？——认知局限 原创 Richard 方桥安全漏洞防治中心 2025-02-17 09:01 软件安全漏洞的根源不仅是技术缺陷，更是人类认知局限的后果 。 复杂的多层架构（如Log4j2漏洞）和滞后的技术认知（如HTTP明文传输）进一步扩大了攻击面。 开发人员 缺乏安全编码训练（如输入验证不足）、 管理者 业务优先级偏差（如安全投入不足）以及 认知盲区的叠加， 正是 安全漏洞 的

继续阅读

Hoverfly 任意文件读取漏洞（CVE-2024-45388）

发布于 作者:

Hoverfly 任意文件读取漏洞（CVE-2024-45388） 蚁景网安 2025-02-17 08:30 漏洞简介 Hoverfly 是一个为开发人员和测试人员提供的轻量级服务虚拟化/API模拟/API模拟工具。其 /api/v2/simulation 的 POST 处理程序允许用户从用户指定的文件内容中创建新的模拟视图。然而，这一功能可能被攻击者利用来读取 Hoverfly 服务器上的任意

继续阅读

24%的网络漏洞在被修补前已被利用

发布于 作者:

24%的网络漏洞在被修补前已被利用 数世咨询 2025-02-17 08:13 根据VulnCheck的分析报告，2024年期间，被利用的安全漏洞（CVE）数量增加了五分之一。这一增长部分归因于透明度增加以及监控能力的提升。然而，应对这些安全威胁仍需采取积极的预防措施。 去年发现的大约四分之一（24%）的已知可被利用的安全漏洞，在对应的CVE公开披露之时或者之前就已经遭到了利用。 根据安全公司Vu

继续阅读

[小记] 共享其他人使用Ollama部署的AI模型

发布于 作者:

[小记] 共享其他人使用Ollama部署的AI模型 原创 心态与度量 随心记事 2025-02-17 07:29 以下是涉及到的一些工具或者软件介绍，分别是 Ollama、FOFA、 ChatWise。 关于 Ollama Ollama 是一个用于本地运行大型语言模型（LLM，Large Language Models）的软件，它允许用户在自己的计算机上使用开源的 LLM，而无需依赖云服务。这意味

继续阅读