月度归档： 2025 年 2 月

APP渗透测试 — ZipEntry漏洞

发布于 作者:

APP渗透测试 — ZipEntry漏洞 网络安全者 2025-02-07 16:00 本套课程在线学习（网盘地址，保存即可免费观看）地址： 链接：https://pan.quark.cn/s/eaad210c3229 00:00 – APP安全检测及on chip解压缩漏洞解析 对话首先介绍了通过在线工具如360、腾讯等对APK文件进行静态分析的检测方法，以及这些方法可能

继续阅读

Google 是如何做漏洞管理的？

发布于 作者:

Google 是如何做漏洞管理的？ 原创 tonghuaroot RedTeam 2025-02-07 14:35 前言 凌晨3点，又收到 200 条漏洞告警，先修哪个？修慢了被黑客利用怎么办？修错了业务挂了谁背锅？ 这可能是无数企业信息安全建设者的噩梦。随着业务的不断发展变化，漏洞数量呈指数级增长，传统”救火式”漏洞应急响应早已失效。 修复漏洞的速度永远赶不上攻击者的步伐

继续阅读

深入了解宽字节注入漏洞

发布于 作者:

深入了解宽字节注入漏洞 Lynn逸 小趴菜网安学习路 2025-02-07 14:22 后台回复 宽字节注入 领pdf版本 “22年笔记” 1.基本概念 – 宽字节是相对于ascII这样单字节而言的；两个ascii单字节组合为双字节; 像GB2312、GBK、GB18030、BIG5、Shift_JIS等这些都是常说的宽字节，实际上只有两字节。 GBK是一种多字

继续阅读

Microsoft Outlook高危在野漏洞正被积极利用

发布于 作者:

Microsoft Outlook高危在野漏洞正被积极利用 SecHaven 赛哈文 2025-02-07 13:04 Microsoft Outlook 中的一个严重漏洞（跟踪为 CVE-2024-21413）正在被广泛利用，对全球组织构成重大威胁。此漏洞的 CVSS 评分为 9.8 分（满分 10 分），允许攻击者远程执行任意代码，只需用户打开恶意电子邮件即可。 该漏洞由 Check Poin

继续阅读

微软Outlook严重漏洞

发布于 作者:

微软Outlook严重漏洞 网安百色 2025-02-07 11:50 点击上方 蓝字 关注我们吧~ 该漏洞由 Check Point 漏洞研究员 Haifei Li 发现并跟踪为 CVE-2024-21413，该漏洞是由于使用易受攻击的 Outlook 版本打开带有恶意链接的电子邮件时输入验证不当造成的。 攻击者获得了远程代码执行能力，该漏洞允许绕过受保护视图（该视图应该通过以只读模式打开来阻止

继续阅读

【漏洞预警】Apache Struts2代码注入漏洞

发布于 作者:

【漏洞预警】Apache Struts2代码注入漏洞 cexlife 飓风网络安全 2025-02-07 11:39 漏洞详情: Nginx官方发布安全公告,披露了Nginx Plus和Nginx Open Source中存在的一处凭证管理不当漏洞,该漏洞是由于当基于名称的虚拟主机配置为使用TLS 1.3和OpenSSL共享相同的IP地址和端口组合时,先前经过身份验证的攻击者可以使用会话恢复来绕过

继续阅读

Zyxel多款旧DSL设备存在2个零日漏洞，无修复措施

发布于 作者:

Zyxel多款旧DSL设备存在2个零日漏洞，无修复措施 Zicheng FreeBuf 2025-02-07 11:15 Zyxel周二发布消息称，涉及多款旧DSL用户端设备（CPE）产品中的两个零日漏洞将不再提供修复措施。 此前，威胁情报公司GreyNoise曾发出警告，有1500多台设备受到一个严重的命令注入漏洞影响，而且这个漏洞正在被基于Mirai的僵尸网络大肆利用。 GreyNoise公司

继续阅读

【安全圈】CISA将Microsoft Outlook、Sophos XG Firewall等漏洞列入已知被利用漏洞目录

发布于 作者:

【安全圈】CISA将Microsoft Outlook、Sophos XG Firewall等漏洞列入已知被利用漏洞目录 安全圈 2025-02-07 11:00 关键词 安全漏洞 美国网络安全和基础设施安全局 (CISA) 将 Microsoft Outlook、Sophos XG 防火墙和其他漏洞添加到其已知被利用的漏洞目录中。 美国网络安全和基础设施安全局（CISA） 将以下漏洞添加到其已知

继续阅读

DeepSeek 相关安全事件分析报告

发布于 作者:

DeepSeek 相关安全事件分析报告 原创 DRP 鹰眼威胁情报中心 2025-02-07 10:55 一、引言 近期，DeepSeek 作为一家迅速崛起的中国 AI 公司，凭借其先进的 AI 模型吸引了全球关注。然而，随着其知名度的提升，各类安全问题也接踵而至。网络犯罪分子纷纷利用 DeepSeek 的热度，发起多种恶意攻击活动，给用户带来了极大的安全风险。本报告将对近期 DeepSeek 相

继续阅读

【2025-02-07】黑客新闻摘要——“Cisco漏洞修复：Java序列化的‘坑’填平了！”

发布于 作者:

【2025-02-07】黑客新闻摘要——“Cisco漏洞修复：Java序列化的‘坑’填平了！” 知机安全 知机安全 2025-02-07 10:39 1. 2025年领导力议程中PAM的角色——网络安全转型 随着PAM(特权访问管理)在现代网络安全战略中的地位日益凸显，从技术需求转变为关键支柱，组织在该领域的投资预计到2037年将达到429.6亿美元。PAM的转型性影响不仅在于其增强安全和合规，还

继续阅读

CVE-2024-6387 OpenSSH 任意代码执行漏洞 PoC 漏洞发布

发布于 作者:

CVE-2024-6387 OpenSSH 任意代码执行漏洞 PoC 漏洞发布 Ots安全 2025-02-07 10:22 针对严重 OpenSSH 漏洞 CVE-2024-6387（也称为“regreSSHion”）的概念验证 (PoC) 漏洞已发布，引起了整个网络安全社区的警惕。 该漏洞影响全球数百万台 OpenSSH 服务器，允许未经身份验证的远程攻击者在特定条件下以 root 权限执行任

继续阅读

微软示警 ASP.NET 重大安全漏洞，超3000公开密钥恐致服务器沦陷

发布于 作者:

微软示警 ASP.NET 重大安全漏洞，超3000公开密钥恐致服务器沦陷 看雪学苑 看雪学苑 2025-02-07 09:59 微软近期发出重要安全示警，指出攻击者正在利用网上公开的ASP.NET静态密钥，通过ViewState代码注入攻击部署恶意软件。 微软威胁情报专家发现，一些开发者在软件开发中使用了在代码文档和代码库平台上公开的ASP.NET validationKey和decryption

继续阅读

sqlmap Xplus 基于 sqlmap，对经典的数据库注入漏洞利用工具进行二开！V1.6版本

发布于 作者:

sqlmap Xplus 基于 sqlmap，对经典的数据库注入漏洞利用工具进行二开！V1.6版本 shine 无影安全实验室 2025-02-07 09:23 免责声明： 本篇文章仅用于技术交流， 请勿利用文章内的相关技术从事非法测试 ， 由于传播、利用本公众号无影安全 实验室所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，公众号无影安全实验室及作者不为此承担任何责任，一旦

继续阅读

CISA将Microsoft Outlook、Sophos XG Firewall等漏洞列入已知被利用漏洞目录

发布于 作者:

CISA将Microsoft Outlook、Sophos XG Firewall等漏洞列入已知被利用漏洞目录 邑安全 2025-02-07 08:27 更多全球网络安全资讯尽在邑安全 美国网络安全与基础设施安全局（CISA）将Microsoft Outlook、Sophos XG Firewall等漏洞列入已知被利用漏洞目录 美国网络安全与基础设施安全局（CISA）近日将以下漏洞添加至其已知被利

继续阅读

宏景eHRDisplayFiles存在任意文件读取漏洞

发布于 作者:

宏景eHRDisplayFiles存在任意文件读取漏洞 原创 骇客安全 骇客安全 2025-02-07 06:53 一、漏洞简介 宏景人力资源信息管理系统是一款全面覆盖人力资源管理各模块的软件，旨在帮助企事业单位构建高绩效组织，推动组织健康成长，提升组织软实力。系统功能包括人员、组织机构、档案、合同、薪资、保险、绩效、考勤、招聘、培训、干部任免和人事流程等业务的管理，以及人事、绩效、培训、招聘、考

继续阅读

【漏洞通告】Go Darwin 构建代码执行漏洞(CVE-2025-22867)

发布于 作者:

【漏洞通告】Go Darwin 构建代码执行漏洞(CVE-2025-22867) 启明星辰安全简讯 2025-02-07 06:35 一、漏洞概述 漏洞名称 Go Darwin 构建代码执行漏洞 CVE   ID CVE-2025-22867 漏洞类型 代码执行 发现时间 2025-02-07 漏洞评分 7.5 漏洞等级 高危 攻击向量 网络 所需权限 无 利用难度 低 用户交互 无 PoC/EX

继续阅读

赛诸葛数字化智能中台系统 login SQL注入漏洞

发布于 作者:

赛诸葛数字化智能中台系统 login SQL注入漏洞 Superhero nday POC 2025-02-07 06:09 内容仅用于学习交流自查使用，由于传播、利用本公众号所提供的 POC 信息及 POC对应脚本 而造成的任何直接或者间接的后果及损失，均由使用者本人负责，公众号nday poc及作者不为此承担任何责任，一旦造成后果请自行承担！如文章有侵权烦请及时告知，我们会立即删除文章并致歉。

继续阅读

某渐变头像合成网站系统存在任意文件上传漏洞(RCE)

发布于 作者:

某渐变头像合成网站系统存在任意文件上传漏洞(RCE) 原创 Mstir 星悦安全 2025-02-07 04:36 点击上方 蓝字 关注我们 并设为 星标 0x00 前言 源码介绍 : 渐变头像合成网站的操作简单便捷，用户只需上传自己的头像，选择喜欢的头像框，点击一键合成即可生成专属定制头像。网站提供了167种不同风格的头像框供选择，用户也可以自己添加素材。生成后的头像可以直接下载保存到手机上，还

继续阅读

上周关注度较高的产品安全漏洞(20250120-20250126)

发布于 作者:

上周关注度较高的产品安全漏洞(20250120-20250126) 中国电信安全 2025-02-07 04:01 一、境外厂商产品漏洞 1、Adobe InDesign越界读取漏洞**** Adobe InDesign是美国奥多比（Adobe）公司的一套排版编辑应用程序。Adobe InDesign存在越界读取漏洞，攻击者可利用该漏洞导致敏感内存泄露。 参考链接： https://www.cnv

继续阅读

安科瑞环保用电监管云平台 GetEnterpriseInfoY SQL注入漏洞

发布于 作者:

安科瑞环保用电监管云平台 GetEnterpriseInfoY SQL注入漏洞 Superhero nday POC 2025-02-07 02:58 内容仅用于学习交流自查使用，由于传播、利用本公众号所提供的 POC 信息及 POC对应脚本 而造成的任何直接或者间接的后果及损失，均由使用者本人负责，公众号nday poc及作者不为此承担任何责任，一旦造成后果请自行承担！如文章有侵权烦请及时告知，

继续阅读

实战 | 微信小程序EDUSRC渗透漏洞复盘

发布于 作者:

实战 | 微信小程序EDUSRC渗透漏洞复盘 原创 神农Sec 神农Sec 2025-02-07 02:00 扫码加圈子 获内部资料 网络安全领域各种资源，学习文档，以及工具分享、前沿信息分享、POC、EXP分享。 不定期分享各种好玩的项目及好用的工具，欢迎关注。 0x1 前言 哈喽，师傅们这次又来给师傅们分享下最近的一个漏洞挖掘的一个过程，这次跟着一个师傅学习，然后自己动手去挖，也是学习到了不了

继续阅读

小技巧 – 文件读取漏洞原来也这么严重

发布于 作者:

小技巧 – 文件读取漏洞原来也这么严重 原创 Vipersec SecretTeam安全团队 2025-02-07 01:42 朋友们现在只对常读和星标的公众号才展示大图推送，建议大家把 SecretTeam安全团队 “设为星标 ”， 否则可能就看不到了啦！ 免责声明 “本文档所提供的信息旨在帮助网络安全专业人员更好地理解并维护他们负责的网站和服务器等系统。我们鼓励在获得适

继续阅读

【漏洞复现】XXL-JOB-Admin 前台api未授权 hessian2反序列化

发布于 作者:

【漏洞复现】XXL-JOB-Admin 前台api未授权 hessian2反序列化 孤独成诗 Sec探索者 2025-02-07 01:13 点击下方名片，关注公众号，一起探索网络安全技术 请勿利用文章内的相关技术从事非法测试，由于传播、利用此文所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，作者不为此承担任何责任。如有侵权烦请告知，我们会立即删除并致歉。谢谢！ 01 漏洞描

继续阅读

微软Sysinternals工具中的0day漏洞允许攻击者对Windows 发起 DLL 注入攻击

发布于 作者:

微软Sysinternals工具中的0day漏洞允许攻击者对Windows 发起 DLL 注入攻击 会杀毒的单反狗 军哥网络安全读报 2025-02-07 01:00 导读 几乎所有 Microsoft Sysinternals 工具中都发现一个严重的 0-Day 漏洞，这对依赖这些实用程序进行系统分析和故障排除的 IT 管理员和开发人员构成了重大风险。 该漏洞概述了攻击者如何利用DLL 注入技术

继续阅读