标签： 信息泄露

实战攻防之Nacos漏洞

发布于 作者:

实战攻防之Nacos漏洞 zm 亿人安全 2025-04-29 06:30 前言 实战nacos漏洞复现记录一下，大佬勿喷。 小白可以直接收藏下来学习一下很多poc我都直接给出来了，基本就是我的笔记。 如果，有不对的可以指正一下，一起学习。 nacos介绍 Nacos 开放的端口 资产收集 下面可以看到icon图标，除了开始我们上面的一种，下面还有好几个,可以点击ico图标进一步扩大信息收集面 针

继续阅读

漏洞赏金故事 | 通过已删除的文件赚到 6.4 万$

发布于 作者:

漏洞赏金故事 | 通过已删除的文件赚到 6.4 万$ 白帽子左一 白帽子左一 2025-04-29 04:00 扫码领资料 获网安教程 来Track安全社区投稿~ 赢千元稿费！还有保底奖励~（https://bbs.zkaq.cn） 在漏洞赏金领域，很多研究人员都会寻找泄露的密钥，通常是扫描 GitHub 仓库中暴露的凭证。这种方法并不新颖，但我想尝试另一个角度——从已删除的文件中恢复密钥。开发者

继续阅读

BreachForums 显示关于关闭的消息，引用 MyBB 0day 漏洞

发布于 作者:

BreachForums 显示关于关闭的消息，引用 MyBB 0day 漏洞 独眼情报 2025-04-29 02:27 BreachForums 发布了一则 PGP 签名的消息，解释了 2025 年 4 月突然关闭的原因。管理员引用了影响该站点的 MyBB 0day 漏洞，计划回归，否认被查封，并警告克隆网站。 2025 年 4 月初，著名的网络犯罪和数据泄露论坛 BreachForums 在没

继续阅读

第一季度159个CVE遭到野外利用，近三成漏洞24小时内被武器化

发布于 作者:

第一季度159个CVE遭到野外利用，近三成漏洞24小时内被武器化 汇能云安全 2025-04-29 02:13 4月29日，星期二，您好！中科汇能与您分享信息安全快讯： 01 教育云遭遇重创：黑客利用AzureChecker部署加密货币挖矿容器 微软威胁情报团队近日披露，威胁行为者Storm-1977在过去一年中对教育领域的云租户实施了密码喷洒攻击，部署容器进行非法加密货币挖矿活动。 攻击者主要使

继续阅读

CVE-2025-32432（RCE）漏洞被大规模利用，未修复系统可能已遭数据窃取

发布于 作者:

CVE-2025-32432（RCE）漏洞被大规模利用，未修复系统可能已遭数据窃取 sec0nd安全 2025-04-29 01:58 “ Craft CMS高危漏洞 。” 01 — 导语 近期，网络安全机构监测到针对Craft CMS内容管理系统的高危漏洞（CVE-2025-32432）的大规模攻击活动。攻击者通过远程代码执行（RCE）漏洞，已成功入侵全球数百台服务器，窃取敏感数据并部署后门程序

继续阅读

针对Spring-Boot漏洞框架的渗透测试

发布于 作者:

针对Spring-Boot漏洞框架的渗透测试 原创 神农Sec 神农Sec 2025-04-29 01:03 扫码加圈子 获内部资料 网络安全领域各种资源，EDUSRC证书站挖掘、红蓝攻防、渗透测试等优质文章，以及工具分享、前沿信息分享、POC、EXP分享。 不定期分享各种好玩的项目及好用的工具，欢迎关注。加内部圈子，文末有彩蛋（知识星球优惠卷）。 0x1 Spring-Boot漏洞框架信息收集

继续阅读

漏洞预警 | 红帆HFOffice SQL注入漏洞

发布于 作者:

漏洞预警 | 红帆HFOffice SQL注入漏洞 浅安 浅安安全 2025-04-29 00:00 0x00 漏洞编号 – # 暂无 0x01 危险等级 – 高危 0x02 漏洞概述 红帆HFOffice是广州红帆科技有限公司研发的新一代医院智慧管理云平台，它采用了一系列红帆HFOffice是广州红帆科技有限公司研发的新一代医院智慧管理云平台。 0x03 漏洞详情 漏洞类

继续阅读

漏洞预警 | 昂捷CRM SQL注入漏洞

发布于 作者:

漏洞预警 | 昂捷CRM SQL注入漏洞 浅安 浅安安全 2025-04-29 00:00 0x00 漏洞编号 – # 暂无 0x01 危险等级 – 高危 0x02 漏洞概述 昂捷CRM是深圳市昂捷信息技术股份有限公司提供的一款专注于零售行业客户关系管理的系统。 0x03 漏洞详情 漏洞类型： SQL注入 影响： 获取敏感信息 简述： 昂捷 CRM 的/EnjoyRMIS_

继续阅读

安全热点周报：黑客精心设计 Craft CMS 漏洞链，用于零日攻击窃取数据

发布于 作者:

安全热点周报：黑客精心设计 Craft CMS 漏洞链，用于零日攻击窃取数据 奇安信 CERT 2025-04-28 10:01 安全资讯导视  • 金融监管总局拟制定《银行业保险业网络安全管理办法》 • 远程控制、窃密、挖矿！我国境内捕获“银狐”木马病毒变种 • 马来西亚多家券商系统遭境外攻击，大量交易账户被操纵买卖股票 PART01 新增在野利用 1.Craft CMS 远程代码执行漏洞(CV

继续阅读

《2025年提升全民数字素养与技能工作要点》印发，提出营造安全有序数字环境；PoC攻击暴露Linux安全工具核心设计缺陷 |牛览

发布于 作者:

《2025年提升全民数字素养与技能工作要点》印发，提出营造安全有序数字环境；PoC攻击暴露Linux安全工具核心设计缺陷 |牛览 安全牛 2025-04-28 09:33 新闻速览 •《2025年提升全民数字素养与技能工作要点》印发，提出营造安全有序数字环境 •全球能源巨头成为目标：揭秘”电力寄生虫”多语言钓鱼攻击 •教育云遭遇重创：黑客利用AzureChecker部署加密

继续阅读

CNVD漏洞周报2025年第16期

发布于 作者:

CNVD漏洞周报2025年第16期 原创 CNVD CNVD漏洞平台 2025-04-28 08:43 2 0 2 5 年 0 4 月 21 日 – 2 0 2 5 年 0 4月27日 本周漏洞态势研判情况 本 周 信 息 安 全 漏 洞 威 胁 整 体 评 价 级 别 为中 。 国家信息安全漏洞共享平台（以下简称CNVD）本周共收集、整理信息安全漏洞484个，其中高危漏洞250个、中

继续阅读

Ruby 服务器中存在 Rack::Static 漏洞，可导致数据遭泄露

发布于 作者:

Ruby 服务器中存在 Rack::Static 漏洞，可导致数据遭泄露 Ravie Lakshmanan 代码卫士 2025-04-28 08:39 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 网络安全研究员披露了位于 Rack Ruby web 服务器界面中的多个安全漏洞。如遭成功利用，它们可导致攻击者越权访问文件、注入恶意数据并在某些情况下篡改日志。 这些漏洞如下： CVE-202

继续阅读

雷神众测漏洞周报2025.4.21-2025.4.27

发布于 作者:

雷神众测漏洞周报2025.4.21-2025.4.27 雷神众测 雷神众测 2025-04-28 07:00 摘要 以下内容，均摘自于互联网，由于传播，利用此文所提供的信息而造成的任何直接或间接的后果和损失，均由使用者本人负责，雷神众测以及文章作者不承担任何责任。 雷神众测拥有该文章的修改和解释权。如欲转载或传播此文章，必须保证此文章的副本，包括版权声明等全部内容。声明雷神众测允许，不得任意修改或

继续阅读

记一次某大学附属医院漏洞挖掘

发布于 作者:

记一次某大学附属医院漏洞挖掘 Tai 不秃头的安全 2025-04-28 06:40 记一次某大学附属医院漏洞挖掘 前言：本文中涉及到的相关技术或工具仅限技术研究与讨论，严禁用于非法用途，否则产生的一切后果自行承担，如有侵权请私聊删除。还在学怎么挖通用漏洞和src吗？知识星球，续费也有优惠私聊~~想要入交流群在最下方，考安全证书请联系vx咨询。 前情提要 开局一个登录框 ![图形用户界面, 应用程

继续阅读

面对零日漏洞：如何提高应对能力？

发布于 作者:

面对零日漏洞：如何提高应对能力？ 原创 deepsec 深安安全 2025-04-28 06:37 在网络安全领域，”零日漏洞”（Zero-Day Vulnerability）是最令企业和个人头疼的威胁之一。攻击者利用尚未被公开或修复的漏洞发起攻击，而防御方往往措手不及。近年来，零日漏洞攻击事件频发，如SolarWinds供应链攻击、微软Exchange漏洞等，均造成了巨大

继续阅读

地理数据的背叛：坐标风暴漏洞讲解

发布于 作者:

地理数据的背叛：坐标风暴漏洞讲解 原创 地图大师挖漏洞 地图大师的漏洞追踪指南 2025-04-28 02:19 嘿嘿，亲爱的师傅们好呀~ 最近收到好多小伙伴的贴心反馈：”大师的实验性漏洞研究超干货！但对着视频记笔记实在不方便啊…” ⚡️所以以后打算随着视频同步推出文章，当然都是免费的哈哈！ 文章一般首发于地图大师自己的网站：https://www.dituse

继续阅读

攻防演练大考将至，企业如何防范人员安全漏洞？

发布于 作者:

攻防演练大考将至，企业如何防范人员安全漏洞？ 原创 值得信赖得 众安天下Allsec 2025-04-28 01:30 随着年度网络攻防演练的临近，企业的网络安全防护能力将面临全面检验。尽管多数组织在技术层面已构建起多层次的防护体系，但人员安全漏洞正逐渐成为网络攻击的主要突破口，构成企业安全的“阿喀琉斯之踵”。 人员漏洞成为企业最大的安全短板 根据Verizon发布的《2024年数据泄露调查报告》

继续阅读

2024全球高危漏洞预警报告（含POC）

发布于 作者:

2024全球高危漏洞预警报告（含POC） 原创 鲸落 Rot5pider安全团队 2025-04-28 01:04 点击上方蓝字  关注安全知识   2024全球高危漏洞预警报告（完整版） TOP 10漏洞全披露（含PoC状态） 一、高危漏洞TOP 10完整榜单 1. CVE-2024-12345：Apache Log4j 2.21.1 反序列化漏洞 CVSS评分 ：9.8（严重） PoC状态 ：

继续阅读

DslogdRAT 恶意软件利用 Ivanti ICS 0day漏洞（CVE-2025-0282）攻击日本

发布于 作者:

DslogdRAT 恶意软件利用 Ivanti ICS 0day漏洞（CVE-2025-0282）攻击日本 会杀毒的单反狗 军哥网络安全读报 2025-04-28 01:03 导读 网络安全研究人员警告称，一种名为 DslogdRAT 的新恶意软件在利用 Ivanti Connect Secure (ICS) 中现已修补的安全漏洞部署。 JPCERT/CC 研究员 Yuma Masubuchi在周

继续阅读

别怪技术不够硬，网络钓鱼拿捏的就是“人性漏洞”

发布于 作者:

别怪技术不够硬，网络钓鱼拿捏的就是“人性漏洞” 安小圈 2025-04-28 00:45 安小圈 第655期 数据安全 · 勒索软件 网络钓鱼依旧是重要的网络安全威胁，即便受过良好教育、具备专业网络安全人员也难以幸免。钓鱼攻击早已摆脱最初粗糙的垃圾邮件形态，转而走向高度个性化与精细化，足以欺骗世界各地的企业用户。其成功原因不仅在于安全意识不足，更在于攻击者借助社工手法，利用人在压力下的思维与行为模

继续阅读

我如何从已删除的文件中赚取 64 美元 — 一个漏洞赏金故事

发布于 作者:

我如何从已删除的文件中赚取 64 美元 — 一个漏洞赏金故事 haidragon 安全狗的自我修养 2025-04-27 23:26 TL;DR  —  我构建了一个自动化功能，克隆和扫描了数以万计的公共 GitHub 存储库以查找泄露的机密信息。对于每个存储库，我恢复了已删除的文件，找到了悬空的 blob 和解压缩的 .pack  文件，以便在其中搜索公开的 API 密钥、令牌和凭据。最终报告了

继续阅读

记一次漏洞复现威胁情报导致的漏洞

发布于 作者:

记一次漏洞复现威胁情报导致的漏洞 原创 湘南第一深情 湘安无事 2025-04-27 14:12 声明： 由于传播、利用本公众号湘安无事所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，请勿利用文章内的相关技术从事非法测试，如因此产生的一切不良后果与文章作者和本公众号无关。如有侵权烦请告知，我们会立即删除并致歉。谢谢！ 0x00前言 起因是 3月份下班坐地铁 无聊 在wx公众号

继续阅读

今天省 1 千漏洞修复费，明天赔 10 万应急款：漏洞沉默成本到底如何算？

发布于 作者:

今天省 1 千漏洞修复费，明天赔 10 万应急款：漏洞沉默成本到底如何算？ sec0nd安全 2025-04-27 14:05 友情提醒 本文阅读时间推荐10min 如想讨论 以下内容 ▼ 欢迎关注公众号联系我哟 ▼ OSCP备考经验（已通过认证） CISSP备考经验（已通过认证） CCSK（云安全）（已通过认证） ISO/IEC 27001 Foundation（已通过认证） 01 文章背景 在

继续阅读

CVSS10分！Erlang/OTP SSH远程代码执行漏洞安全风险通告

发布于 作者:

CVSS10分！Erlang/OTP SSH远程代码执行漏洞安全风险通告 应急响应中心 亚信安全 2025-04-27 10:07 今日，亚信安全CERT监控到安全社区研究人员发布安全通告，Erlang/OTP存在一个远程代码执行漏洞，编号为 CVE-2025-32433。攻击者可以通过构造特定 SSH 协议消息，在未进行身份验证的情况下在受影响的系统上执行任意代码。这一漏洞使得攻击者能够获取系统

继续阅读

【文章转载】DragonForce与Anubis再掀风暴：勒索软件“加盟制”全面升级，你的数据还安全吗？

发布于 作者:

【文章转载】DragonForce与Anubis再掀风暴：勒索软件“加盟制”全面升级，你的数据还安全吗？ solarsec solar应急响应团队 2025-04-27 07:41 点击蓝字 关注我们 尽管国际执法部门成功打击了多个知名勒索软件组织，但网络犯罪分子依然展现出极强的韧性和适应能力。2025年，Secureworks® 威胁对抗中心（Counter Threat Unit™，简称CTU

继续阅读

BleedingTooth：Linux 蓝牙零点击远程代码执行

发布于 作者:

BleedingTooth：Linux 蓝牙零点击远程代码执行 Ots安全 2025-04-27 05:36 介绍 我注意到 syzkaller 已经对网络子系统进行了广泛的模糊测试，但对蓝牙等子系统的覆盖程度较低。总体而言，对蓝牙主机攻击面的研究似乎相当有限——蓝牙中大多数公开的漏洞仅影响固件 或 规范 本身 ，并且仅允许攻击者窃听和/或操纵信息。 但是，如果攻击者可以完全控制设备会怎么样呢？最

继续阅读

智能汽车漏洞挖掘案例分享

发布于 作者:

智能汽车漏洞挖掘案例分享 锐鉴安全 2025-04-27 05:21 声明：请勿利用文章内的相关技术从事非法测试，由于传播、利用此文所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，作者不为此承担任何责任。 关注公众号，设置为星标， 不定期有宠粉福利 前言 随着人工智能、5G通信与车联网技术的深度融合，智能网联汽车正从理论验证阶段快速迈进规模化商用时代。截至目前，我国L3-L4

继续阅读