标签： 文件上传

SimpleIAST- 基于污点追踪的灰盒漏洞扫描工具。

发布于 作者:

SimpleIAST- 基于污点追踪的灰盒漏洞扫描工具。 keven1z 夜组安全 2025-01-17 00:01 免责声明 由于传播、利用本公众号夜组安全所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，公众号夜组安全及作者不为此承担任何责任，一旦造成后果请自行承担！如有侵权烦请告知，我们会立即删除并致歉。谢谢！ 所有工具安全性自测！！！VX： baobeiaini_ya

继续阅读

2025最新Invicti-Professional-V25.1 WEB漏洞扫描器更新|近期漏洞合集更新

发布于 作者:

2025最新Invicti-Professional-V25.1 WEB漏洞扫描器更新|近期漏洞合集更新 原创 城北 渗透安全HackTwo 2025-01-16 16:00 前言 内部星球近期漏洞验真合集更新|漏洞威胁情报更新 Invicti 专业 Web 应用程序安全扫描器 自动、极其准确且易于使用的 Web 应用程序安全扫描程序，可自动查找网站、Web 应用程序和 Web 服务中的安全漏洞。

继续阅读

SimpleHelp 多个严重漏洞可导致文件窃取、提权和RCE攻击

发布于 作者:

SimpleHelp 多个严重漏洞可导致文件窃取、提权和RCE攻击 THN 代码卫士 2025-01-16 10:39 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 网络安全研究人员披露了位于 SimpleHelp 远程访问软件中的多个漏洞，可导致信息暴露、提权和远程代码执行等后果。 Horizon3.ai公司的研究员 Naveen Sunkavally 发布技术报告提到，“这些漏洞易于逆

继续阅读

关键的 SimpleHelp 缺陷允许文件盗窃、权限提升和 RCE 攻击

发布于 作者:

关键的 SimpleHelp 缺陷允许文件盗窃、权限提升和 RCE 攻击 信息安全大事件 2025-01-15 19:50 网络安全研究人员披露了 SimpleHelp 远程访问软件中的多个安全漏洞，这些漏洞可能导致信息泄露、权限提升和远程代码执行。 Horizon3.ai 研究员 Naveen Sunkavally 在一份详细介绍调查结果 的技术报告中 表示，“这些漏洞很容易逆转和利用。 已识别

继续阅读

文件包含漏洞从入门到精通

发布于 作者:

文件包含漏洞从入门到精通 船山信安 2025-01-15 17:00 文件包含漏洞 一、什么是文件包含漏洞 漏洞成因： 为了提高代码的复用性和模块化，开发人员通常会将可重复使用的函数或代码段写入到单个文件中。在需要使用这些函数或代码段时，直接调用此文件，而无需再次编写。这种调用文件的过程被称为“包含”。 开发人员没有对用户输入的参数进行正确的过滤和检查，导致攻击者可以在包含文件时控制参数的值，从而

继续阅读

API漏洞挖掘神器API_kit的二开版本|Burp Suite 插件

发布于 作者:

API漏洞挖掘神器API_kit的二开版本|Burp Suite 插件 漏洞挖掘 渗透安全HackTwo 2025-01-15 16:01 0x01 工具介绍  APIKit二开版本是基于Burp Suite的API接口扫描插件，改进自APIKit1.0。新增扫描开关以防止无意扫描，优化页面性能，增强界面交互体验。该插件可主动/被动扫描API泄露文档并生成请求包用于安全测试，支持自定义扫描与自动发

继续阅读

CTF赛前指导 — 文件上传漏洞&一句话木马

发布于 作者:

CTF赛前指导 — 文件上传漏洞&一句话木马 网络安全者 2025-01-15 16:00 本套课程在线学习（网盘地址，保存即可免费观看）地址： https://pan.quark.cn/s/6fd155e6de6b 该内容转载自网络，仅供学习交流，勿作他用，如有侵权请联系删除。 个人微信：ivu123ivu 各 类 学 习 教 程 下 载 合 集 https://pan.qu

继续阅读

【漏洞预警】用友nc 任意文件上传漏洞

发布于 作者:

【漏洞预警】用友nc 任意文件上传漏洞 原创 MasterC 企业安全实践 2025-01-15 06:44 一、漏洞描述 用友NC是用友软件公司主打互联网平台型的ERP系统。 用友NC系统存在任意文件上传漏洞。攻击者无需账号密码，可利用该漏洞上传恶意文件，进而完全控制主机。 NC及NC CLOUD系统可利用/lfw/core/rpc 接口访问到 PortalSpecServiceImpl 中cr

继续阅读

腾讯云安全中心推出2024年12月必修安全漏洞清单

发布于 作者:

腾讯云安全中心推出2024年12月必修安全漏洞清单 原创 腾讯云安全中心 安全攻防团队 2025-01-15 02:02 所谓必修漏洞，就是运维人员必须修复、不可拖延、影响范围较广的漏洞，被黑客利用并发生入侵事件后，会造成十分严重的后果。 腾讯云安全中心参考“安全漏洞的危害及影响力、漏洞技术细节披露情况、该漏洞在安全技术社区的讨论热度”等因素，综合评估该漏洞在攻防实战场景的风险。当漏洞综合评估为风

继续阅读

Tomcat 弱密码检测 与漏洞利用

发布于 作者:

Tomcat 弱密码检测 与漏洞利用 codervibe 夜组科技圈 2025-01-15 00:01 公众号现在只对常读和星标的才展示大图推送， 建议大家把 夜组科技圈 设为 星标 ，接收一手资讯！ 工具介绍 TomcatScan  是一个用于检测 Tomcat 服务器漏洞的工具，支持以下主要功能： – 检测 CVE-2017-12615 和 CNVD-2020-10487 漏洞。

继续阅读

【漏洞预警】科拓全智能停车收费系统Webservice.asmx存在任意文件上传漏洞

发布于 作者:

【漏洞预警】科拓全智能停车收费系统Webservice.asmx存在任意文件上传漏洞 cexlife 飓风网络安全 2025-01-14 14:17 简介:科拓-全智能停车视频收费系统是一种利用智能技术和视频监控技术实现停车场收费管理的系统,该系统通过安装摄像头和相关设备,能够实时监控停车场的车辆进出情况,并自动识别车牌号码。漏洞描述:科拓全智能停车收费系统接口处存在任意文件上传漏洞,未经身份攻击

继续阅读

VulScanner：一款专业的红队漏洞检测工具

发布于 作者:

VulScanner：一款专业的红队漏洞检测工具 泷羽Sec-醉陌离 2025-01-14 10:00 VulScanner 一款适合在渗透测试中随时记录和保存的漏洞检测工具 项目地址：https://github.com/cn-xwhat/VulScanner 文末有详细配置教程 一、 主要模块 主要功能模块 任务管理 ： 支持扫描任务、FOFA 采集、IP 段采集。 任务进度实时可视化，便于跟

继续阅读

章管家前台任意文件上传漏洞(XVE-2024-19042)

发布于 作者:

章管家前台任意文件上传漏洞(XVE-2024-19042) 原创 Hacker 0xh4ck3r 2025-01-13 04:00 章管家前台任意文件上传漏洞(XVE-2024-19042) 章管家是上海建业信息科技股份有限公司推出的一款针对传统印章风险管理提供的整套解决方案的工具。 该系统存在前台任意文件上传漏洞，攻击者成功利用该漏洞可以上传任意文件，从而获得服务器权限。 fofa app=&q

继续阅读

记一次某OA渗透测试有意思的文件上传漏洞挖掘经历以及分析

发布于 作者:

记一次某OA渗透测试有意思的文件上传漏洞挖掘经历以及分析 黑白之道 2025-01-13 01:59 原文首发在：先知社区 https://xz.aliyun.com/t/16959 登陆 我这边首先找到的是一个文件上传的登陆框 测试了一下sql注入之类的，发现没有 目录扫描 看到api爆出200 ok的那一刻我的心情是激动的，感觉要有很多接口泄露了 一堆ashx文件加上一个UEditor的组件，

继续阅读

GitHub 上的虚假 LDAPNightmware 漏洞投放信息窃取恶意软件

发布于 作者:

GitHub 上的虚假 LDAPNightmware 漏洞投放信息窃取恶意软件 会杀毒的单反狗 军哥网络安全读报 2025-01-13 01:01 导读 GitHub 上针对 CVE-2024-49113（又名“LDAPNightmare”）的欺骗性概念验证 (PoC) 漏洞利用通过信息窃取恶意软件感染用户，该恶意软件会将敏感数据泄露到外部 FTP 服务器。 这种策略并不新颖，因为在 GitHub

继续阅读

记一次某SRC信息管理系统多个漏洞组合Getshell|挖洞技巧

发布于 作者:

记一次某SRC信息管理系统多个漏洞组合Getshell|挖洞技巧 漏洞挖掘 渗透安全HackTwo 2025-01-12 16:00 0x01 前言         记一次某SRC信息管理系统多个漏洞组合Getshell，并已提交至 SRC 平台修复。过程包括发现未授权访问漏洞、利用 SQL 注入获取邮箱账号、爆破弱口令登录后台、利用目录遍历漏洞找到上传路径，并通过条件竞争成功绕过黑名单上传 we

继续阅读

古河大佬发现CVE-2024-49113 被黑客利用，发布恶意 PoC（好害怕发布带毒 poc 啊）

发布于 作者:

古河大佬发现CVE-2024-49113 被黑客利用，发布恶意 PoC（好害怕发布带毒 poc 啊） 独眼情报 2025-01-12 04:24 GitHub 上针对 CVE-2024-49113（又名“LDAPNightmare”）的欺骗性概念验证 (PoC) 漏洞利用信息窃取恶意软件感染用户，该恶意软件会将敏感数据泄露到外部 FTP 服务器。 这种策略并不新颖，因为在 GitHub 上已经有多

继续阅读

基于大模型（LLM）的黑盒RCE漏洞挖掘

发布于 作者:

基于大模型（LLM）的黑盒RCE漏洞挖掘 原创 比心皮卡丘 暴暴的皮卡丘 2025-01-11 09:00 简介 远程代码执行（Remote Code Execution，RCE）漏洞是最危险的网络安全漏洞之一，攻击者可以通过此类漏洞远程执行任意代码，进而控制目标系统。由于RCE漏洞的危害性极大，因此发现和修复这些漏洞是网络安全领域的重要任务。传统的漏洞挖掘方法依赖于手动渗透测试和静态分析，效率较

继续阅读

实战 | 攻防演练某x医院内网拿下集权

发布于 作者:

实战 | 攻防演练某x医院内网拿下集权 渗透安全团队 2025-01-10 03:16 前言 医院还是比较好打的 ‍ 外网打点 ‍ ‍ ‍ ‍ 通过目标某医院资产发现一个协同办公系统，这样登录界面（厚码保命） 登录没有验证码，admin变种字典爆破启动，经过很快获得正确密码adminxxx 然后找到文件上传设置，增加上传后缀 随便找一个上传点，传上去后访问失败，然后换免杀马，直接报500，随后想到

继续阅读

一款漏洞及指纹库图形化工具-强大的漏洞库及指纹库|漏洞探测

发布于 作者:

一款漏洞及指纹库图形化工具-强大的漏洞库及指纹库|漏洞探测 漏洞挖掘 渗透安全HackTwo 2025-01-09 16:01 0x01 工具介绍  James_synthesis_tooL 研发目的：旨在帮助技术人员在日常渗透测试或攻防演练中对于漏洞及指纹的积累，形成自己强大的漏洞库及指纹库。相比于nuclei脚本可能会相对无脑简化！且采用GUI设置，使用起来也更加方便！ 下载地址在末尾 0x0

继续阅读

2024年零日漏洞攻击的七大演变趋势

发布于 作者:

2024年零日漏洞攻击的七大演变趋势 sec0nd安全 2025-01-09 15:35 本文阅读大约需要10分钟； 未修复的漏洞一直是攻陷企业系统的关键手段。然而，围绕某些零日漏洞的攻击活动所呈现的趋势，更值得网络安全团队警惕。2024年，零日漏洞的数量再次大幅增长。由于没有可用的补丁，零日漏洞让攻击者在网络安全防御团队面前占据了先机，成为攻击企业系统的强大武器。虽然所有零日漏洞都值得首席信息安

继续阅读

漏洞预警 | 数字通云平台智慧政务敏感信息泄露和任意文件上传漏洞

发布于 作者:

漏洞预警 | 数字通云平台智慧政务敏感信息泄露和任意文件上传漏洞 浅安 浅安安全 2025-01-09 00:01 0x00 漏洞编号 – # 暂无 0x01 危险等级 – 高危 0x02 漏洞概述 数字通云平台智慧政务OA产品是基于云计算、大数据、人工智能等先进技术，为政府部门量身定制的智能化办公系统。 0x03 漏洞详情 漏洞类型： 敏感信息泄露 影响： 接管服务***

继续阅读

渗透测试速查表

发布于 作者:

渗透测试速查表 原创 破天KK KK安全说 2025-01-07 10:05 渗透测试 (pentesting) 是识别和解决系统、网络和应用程序中的漏洞的关键过程。随着组织越来越依赖数字基础设施，确保强大的安全性变得至关重要。此渗透测试备忘单旨在作为初学者和经验丰富的渗透测试人员的实用指南，涵盖工具、技术和方法。 1. 准备渗透测试 1.1 定义范围 确定要测试的系统、网络和应用程序。 了解测试

继续阅读

快讯丨工信部：关于防范Apache Struts2任意文件上传超危漏洞的风险提示

发布于 作者:

快讯丨工信部：关于防范Apache Struts2任意文件上传超危漏洞的风险提示 工业安全产业联盟平台 2025-01-06 10:56 近日，工业和信息化部网络安全威胁和漏洞信息共享平台（NVDB）监测发现，开源应用框架Apache Struts2存在任意文件上传超危漏洞，可被恶意利用实现远程代码执行，导致敏感数据泄露和系统受控。 Apache Struts2是一款开源Java Web应用程序开

继续阅读

海康威视iSecure Center综合安防管理平台center任意文件上传漏洞

发布于 作者:

海康威视iSecure Center综合安防管理平台center任意文件上传漏洞 原创 菜鸟学渗透 菜鸟学渗透 2025-01-06 02:50 使用说明：本文章仅用于学习技术研究，请勿用于违法用途，造成任何后果自负与本人无关，请自觉遵守国家法律法规。 1、漏洞描述 HIKVISION iSecure Center综合安防管理平台是一套“集成化”、“智能化”的平台，通过接入视频监控、一卡通、停车场

继续阅读

Jeecg框架漏洞利用工具

发布于 作者:

Jeecg框架漏洞利用工具 SecHub网络安全社区 2025-01-06 02:01 点击蓝字 关注我们 免责声明 本文发布的工具和脚本，仅用作测试和学习研究，禁止用于商业用途，不能保证其合法性，准确性，完整性和有效性，请根据情况自行判断。 如果任何单位或个人认为该项目的脚本可能涉嫌侵犯其权利，则应及时通知并提供身份证明，所有权证明，我们将在收到认证文件后删除相关内容。 文中所涉及的技术、思路及

继续阅读

【漏洞复现】快云服务器助手GetDetail接口文件任意文件读取漏洞

发布于 作者:

【漏洞复现】快云服务器助手GetDetail接口文件任意文件读取漏洞 FL_Clover 网络安全007 2025-01-06 01:01 漏洞介绍 在当今复杂多变的网络安全环境中， 快云服务器助手存在的 GetDetail 任意文件读取漏洞，是一个具有较高安全风险的隐患。该漏洞使得不法分子有可能利用其机制上的缺陷，通过构造特定的请求等方式，突破正常的权限限制，实现对服务器上任意文件进行读取操作。

继续阅读