【安全圈】为网络安全研究人员定制的虚假漏洞利用攻击利用恶意软件
【安全圈】为网络安全研究人员定制的虚假漏洞利用攻击利用恶意软件 安全圈 2025-01-14 11:00 关键词 恶意软件 根据Trend Micro的最新研究，针对CVE-2024-49113这个曾经存在于Microsoft的Windows轻量级目录访问协议(LDAP)中的拒绝服务(DoS)漏洞，识别出了一种名为“LDAPNightmare”的虚假漏洞利用方式。这两个漏洞最初由Safebreac
继续阅读标签： 复现
工信部认可！360荣获车联网产品安全漏洞专业库“优秀技术支撑单位”
工信部认可！360荣获车联网产品安全漏洞专业库“优秀技术支撑单位” 360数字安全 2025-01-14 10:49 近日，由中汽数据有限公司主办的车联网产品安全漏洞专业库（NVDB-CAVD）2024年终总结会在北京圆满落幕。360数字安全集团受邀出席，荣获工业和信息化网络安全威胁和漏洞信息共享平台车联网产品安全漏洞专业库的“优秀技术支撑单位”、“技术支撑单位”称号，并获得“原创漏洞证书”。 本
继续阅读VulScanner：一款专业的红队漏洞检测工具
VulScanner：一款专业的红队漏洞检测工具 泷羽Sec-醉陌离 2025-01-14 10:00 VulScanner 一款适合在渗透测试中随时记录和保存的漏洞检测工具 项目地址：https://github.com/cn-xwhat/VulScanner 文末有详细配置教程 一、 主要模块 主要功能模块 任务管理 ： 支持扫描任务、FOFA 采集、IP 段采集。 任务进度实时可视化，便于跟
继续阅读2025年首个满分漏洞：云攻击者利用Aviatrix Controller漏洞植入恶意软件
2025年首个满分漏洞：云攻击者利用Aviatrix Controller漏洞植入恶意软件 看雪学苑 看雪学苑 2025-01-14 10:00 2025年1月14日，网络安全研究人员发现，云攻击者正在利用一个名为Max-Critical Aviatrix RCE的漏洞（编号CVE-2024-50603），该漏洞在CVSS评分中高达10分（满分10分），能够在受影响系统上执行未经身份验证的远程代码
继续阅读PWN入门之格式化字符串漏洞
PWN入门之格式化字符串漏洞 蚁景网络安全 2025-01-14 09:30 0x00 前言 一声晴空霹雳，鸽王再次更新（手动狗头保个命），Pwn入门系列终于迎来了他的第三次更新，好长时间没更新了，就不给大家说那些没用的了，直接上干货！ 0x01 格式化字符串函数介绍 格式化字符串（Fromat String）：在编码过程中，允许编码人员通过特殊的占位符，将相关对应的信息整合或提取的规则字符串。格
继续阅读使用自动化工具寻找sql注入漏洞
使用自动化工具寻找sql注入漏洞 马哥网络安全 2025-01-14 09:00 对某开源cms进行代码审计 ，发现虽然该cms虽然对参数参数进行了过滤，但是过滤有限，依然可以通过其他方法绕过进行sql注入，本文将将通过正则匹配的方式，并通过自动化查找工具，寻找某cms中存在的sql注入漏洞 对某开源cms进行代码审计 ，发现虽然该cms虽然对参数参数进行了过滤，但是过滤有限，依然可以通过其他方法
继续阅读【漏洞通告】Ivanti多款产品缓冲区溢出漏洞(CVE-2025-0282)
【漏洞通告】Ivanti多款产品缓冲区溢出漏洞(CVE-2025-0282) 启明星辰安全简讯 2025-01-14 08:17 一、漏洞概述 漏洞名称 Ivanti多款产品缓冲区溢出漏洞 CVE ID CVE-2025-0282 漏洞类型 缓冲区溢出 发现时间 2025-01-14 漏洞评分 9.0 漏洞等级 严重 攻击向量 网络 所需权限 低 利用难度 高 用户交互 无 PoC/EXP 未
继续阅读上周关注度较高的产品安全漏洞(20250106-20250112)
上周关注度较高的产品安全漏洞(20250106-20250112) 国家互联网应急中心CNCERT 2025-01-14 08:15 一、境外厂商产品漏洞 1、Fortinet FortiEDR访问控制错误漏洞（CNVD-2025-00410）**** Fortinet FortiEDR是美国飞塔（Fortinet）公司的一个从头开始构建的端点安全解决方案。Fortinet FortiEDR存在访
继续阅读云连POS-ERP管理系统 download.action 任意文件读取漏洞
云连POS-ERP管理系统 download.action 任意文件读取漏洞 Superhero nday POC 2025-01-14 08:09 内容仅用于学习交流自查使用，由于传播、利用本公众号所提供的 POC 信息及 POC对应脚本 而造成的任何直接或者间接的后果及损失，均由使用者本人负责，公众号nday poc及作者不为此承担任何责任，一旦造成后果请自行承担！如文章有侵权烦请及时告知，我
继续阅读泛洪攻击模拟复现详解
泛洪攻击模拟复现详解 原创 OlIyDg 泷羽Sec-shinyer安全 2025-01-14 00:55 文章仅供学习网络安全技术参考研究使用，请勿使用相关技术做违法操作，文章所提到的网站以及内容，只做学习交流，其他均与本人以及泷羽sec团队无关，切勿触碰法律底线，否则后果自负 我这篇文章讲的是现在比较常见的攻击方式SYN FLOOD泛洪放大攻击 SYN 洪水（半开连接攻击）是一种拒绝服务 (D
继续阅读无独有偶，通过.NET反序列化漏洞实现 Visual Studio 钓鱼攻击
无独有偶，通过.NET反序列化漏洞实现 Visual Studio 钓鱼攻击 原创 专攻.NET安全的 dotNet安全矩阵 2025-01-14 00:39 近期，网络安全从业人员间流传着一个引起广泛关注的事件：某提权工具被植入后门，导致工具使用者的身份信息和敏感数据遭到泄露。根据现有的信息，初步判断此次攻击背后可能是东南亚某APT组织——海莲花（Lotus Blossom）所为。 Visual
继续阅读macos高危漏洞CVE-2024-54498 解析+复现
macos高危漏洞CVE-2024-54498 解析+复现 原创 棉花糖糖糖 棉花糖fans 2025-01-13 19:23 前言: 前两天看到github有公开一个mac的cve，影响了15.2以下的版本，刚好我也用的mac，看看会不会影响到我，特抽时间看了一下，有搞错的地方麻烦大佬补充修改。 原理： 先说下前情提要，苹果的macos有个沙箱机制，每个应用都只能访问自己独立的沙箱数据，如果需要
继续阅读【漏洞预警】Vim缓冲区溢出漏洞可导致拒绝服务
【漏洞预警】Vim缓冲区溢出漏洞可导致拒绝服务 cexlife 飓风网络安全 2025-01-13 14:11 漏洞描述: Vim官方修复了Vim中的一处缓冲区溢出漏洞,该漏洞是由于Vim没有正确结束视觉模式,可能会尝试访问超出缓冲区行尾的位置,用户必须在执行 “:all” 命令时开启了视觉模式时才会触发此漏洞。针对此漏洞,官方已经发布9.1.1003版本,建议受影响用户及时升级到漏洞修复版本。
继续阅读【漏洞工具】某路由器任意文件读取漏洞Goby高级模式利用工具
【漏洞工具】某路由器任意文件读取漏洞Goby高级模式利用工具 原创 儒道易行 儒道易行 2025-01-13 12:00 人生其实就是一场必然的死亡练习，但是人类何尝因为注定要死亡而放弃奋斗呢 免责声明 该文章内容仅用于学习交流自查使用，请勿利用文章内的相关技术从事非法测试，由于传播、利用此文所提供的信息、技术或者工具而造成的任何直接或者间接的后果及损失，均由使用者本人负责，所产生的一切不良后果与
继续阅读每周网安资讯 （1.7-1.13）|Adobe多款产品存在越界读取漏洞
每周网安资讯 （1.7-1.13）|Adobe多款产品存在越界读取漏洞 交大捷普 2025-01-13 10:14 2024[ 每周网安资讯 ]1.7-1.13 网安资讯 1、我国牵头提出的国际标准《信息技术 信息安全事件管理 第4部分：协同》正式发布 近日，我国牵头提出的国际标准ISO/IEC 27035-4:2024《信息技术 信息安全事件管理 第4部分：协同》（Information tec
继续阅读雷神众测漏洞周报2025.1.6-2025.1.12
雷神众测漏洞周报2025.1.6-2025.1.12 原创 雷神众测 雷神众测 2025-01-13 09:12 摘要 以下内容，均摘自于互联网，由于传播，利用此文所提供的信息而造成的任何直接或间接的后果和损失，均由使用者本人负责，雷神众测以及文章作者不承担任何责任。雷神众测拥有该文章的修改和解释权。如欲转载或传播此文章，必须保证此文章的副本，包括版权声明等全部内容。声明雷神众测允许，不得任意修改
继续阅读【技术细节公开】Ivanti 多款产品缓冲区溢出漏洞(CVE-2025-0282)安全风险通告
【技术细节公开】Ivanti 多款产品缓冲区溢出漏洞(CVE-2025-0282)安全风险通告 奇安信 CERT 2025-01-13 08:25 ● 点击↑蓝字关注我们，获取更多安全风险通告 漏洞概述 漏洞名称 Ivanti 多款产品缓冲区溢出漏洞 漏洞编号 QVD-2025-1974,CVE-2025-0282 公开时间 2025-01-08 影响量级 十万级 奇安信评级 高危 CVSS 3
继续阅读贡献度排名第一！国舜股份积极支撑工信部车联网产品安全漏洞专业库
贡献度排名第一！国舜股份积极支撑工信部车联网产品安全漏洞专业库 国舜股份 2025-01-13 08:05 近日，工信部网络安全威胁和漏洞信息共享平台车联网产品安全漏洞专业库（NVDB-CAVD）2024年年终总结会成功召开，会上公布了2024年度技术支撑单位积分排名，国舜股份从一众厂商中脱颖而出，贡献度排名第一。 2024年度技术支撑单位积分排名 此排名是对各单位在 NVDB-CAVD一年支撑工
继续阅读2024年度智能网联汽车重点安全漏洞盘点
2024年度智能网联汽车重点安全漏洞盘点 原创 车联网安全实验室 山石网科安全技术研究院 2025-01-13 07:02 01 Telsa TMPS(胎压监测系统)远程命令执行漏洞 事件概述 在2024年Pwn2Own黑客大赛上，Synacktiv的网络安全研究人员David Berard和Thomas Imbert发现了特斯拉Model 3中的一个关键漏洞。该漏洞位于胎压监测系统（TPMS），
继续阅读DNA 测序仪漏洞标志着医疗器械行业固件存在问题
DNA 测序仪漏洞标志着医疗器械行业固件存在问题 原创 很近也很远 网络研究观 2025-01-13 06:36 Eclypsium 安全研究人员发现了 Illumina iSeq 100 DNA 测序仪中的 UEFI 漏洞，但更广泛的问题涉及整个设备开发过程。 在强调广泛使用的 DNA 基因测序设备中的漏洞时，安全研究人员进一步关注医疗设备行业可能存在的糟糕安全状况，该行业的硬件和固件开发通常根
继续阅读【赠书抽奖】发现Web API漏洞居然能赚到400w刀，看懂这本书你也可以！
【赠书抽奖】发现Web API漏洞居然能赚到400w刀，看懂这本书你也可以！ admin 白帽子飙车路 2025-01-13 05:35 关注我们丨文末赠书 知名网络安全公司HackerOne发布的《2023年黑客力量安全报告》透露，已有30名优秀的白帽子各自获得了超100万美元的奖励，而其中最厉害的白帽奖励超过了400万美元。 HackerOne是全球领先的漏洞赏金平台，自2012年成立以来，H
继续阅读【挖洞实战】这不是只要有手就能批量挖Dom Xss漏洞
【挖洞实战】这不是只要有手就能批量挖Dom Xss漏洞 原创 奥村燐 弥天安全实验室 2025-01-13 04:25 网安引领时代，弥天点亮未来 **** 0x00前言描述 我过去经常挖掘Dom Xss漏洞，因此写下了以下文章记录了整个过程。接下来，我计划将其改进为自动化挖掘。 0x01整体过程 假如我发现了一个网站，并想要挖掘其中的 Dom Xss 漏洞。 网站加载了一段 JavaScript
继续阅读【漏洞复现】科荣AIO系统存在代码执行漏洞
【漏洞复现】科荣AIO系统存在代码执行漏洞 devildollking 新势界NewFrontier 2025-01-13 03:01 免责声明 该公众号大部分文章来自作者日常学习笔记，也有部分文章是经过作者授权和其他公众号白名单转载，未经授权，严禁转载，如需转载，联系开白。请勿利用文章内的相关技术从事非法测试，如因此产生的一切不良后果与文章作者和本公众号无关。公众号现在只对常读和星标的公众号才展
继续阅读记一次某OA渗透测试有意思的文件上传漏洞挖掘经历以及分析
记一次某OA渗透测试有意思的文件上传漏洞挖掘经历以及分析 黑白之道 2025-01-13 01:59 原文首发在：先知社区 https://xz.aliyun.com/t/16959 登陆 我这边首先找到的是一个文件上传的登陆框 测试了一下sql注入之类的，发现没有 目录扫描 看到api爆出200 ok的那一刻我的心情是激动的，感觉要有很多接口泄露了 一堆ashx文件加上一个UEditor的组件，
继续阅读泛微-云桥e-Bridge addTasteJsonp SQL注入漏洞
泛微-云桥e-Bridge addTasteJsonp SQL注入漏洞 Superhero nday POC 2025-01-13 01:19 内容仅用于学习交流自查使用，由于传播、利用本公众号所提供的 POC 信息及 POC对应脚本 而造成的任何直接或者间接的后果及损失，均由使用者本人负责，公众号nday poc及作者不为此承担任何责任，一旦造成后果请自行承担！如文章有侵权烦请及时告知，我们会立
继续阅读一次敏感信息泄露引发的逻辑漏洞挖掘
一次敏感信息泄露引发的逻辑漏洞挖掘 菜狗 富贵安全 2025-01-13 01:18 根据手头上的信息，最大化的利用，一次简单的漏洞挖掘，感觉过程很有意思分享一下~ 0x01初始 收集子域，也是渗透的初始。这里我只是简单用了fofa发现了该公司用来管理合作的一些子域名然后发现是登录管理页面，深入然后发现很多的敏感信息。也是从其中的一处敏感泄露，引发了众多漏洞的挖掘。整个测试其实就花了半个小时不到。
继续阅读GitHub 上的虚假 LDAPNightmware 漏洞投放信息窃取恶意软件
GitHub 上的虚假 LDAPNightmware 漏洞投放信息窃取恶意软件 会杀毒的单反狗 军哥网络安全读报 2025-01-13 01:01 导读 GitHub 上针对 CVE-2024-49113（又名“LDAPNightmare”）的欺骗性概念验证 (PoC) 漏洞利用通过信息窃取恶意软件感染用户，该恶意软件会将敏感数据泄露到外部 FTP 服务器。 这种策略并不新颖，因为在 GitHub
继续阅读漏洞预警 | 圣乔ERP系统任意文件读取漏洞
漏洞预警 | 圣乔ERP系统任意文件读取漏洞 浅安 浅安安全 2025-01-13 00:01 0x00 漏洞编号 – # 暂无 0x01 危险等级 – 高危 0x02 漏洞概述 互慧急诊综合管理平台是用于管理门诊急诊病人的系统，主要包括门诊急诊业务和急诊物资管理两部分。 0x03 漏洞详情 漏洞类型： 任意文件读取 影响： 窃取敏感信息 简述： 互慧急诊综合管理平台的/d
继续阅读漏洞预警 | 快云服务器助手任意文件读取漏洞
漏洞预警 | 快云服务器助手任意文件读取漏洞 浅安 浅安安全 2025-01-13 00:01 0x00 漏洞编号 – # 暂无 0x01 危险等级 – 高危 0x02 漏洞概述 快云服务器助手是一款针对云计算环境下的服务器管理与监控工具，旨在帮助企业用户更加便捷、高效地管理其云服务器。 0x03 漏洞详情 漏洞类型： 任意文件读取 影响： 获取敏感信息 简述： 快云服务器
继续阅读漏洞预警 | 朗速ERP SSRF漏洞
漏洞预警 | 朗速ERP SSRF漏洞 浅安 浅安安全 2025-01-13 00:01 0x00 漏洞编号 – # 暂无 0x01 危险等级 – 高危 0x02 漏洞概述 朗速ERP是一款由朗速科技推出的企业资源计划软件，旨在帮助企业实现资源的高效管理和全面优化。 0x03 漏洞详情 漏洞类型： SSRF 影响： 上传恶意文件**** 简述： 朗速ERP的/Api/UEd
继续阅读