标签： 文件上传

【国际视野】美国国家标准与技术研究院推出识别IT漏洞利用的公式

发布于 作者:

【国际视野】美国国家标准与技术研究院推出识别IT漏洞利用的公式 原创 天极智库 天极智库 2025-05-23 10:31 “ 天极按 近日， 网络安全和基础设施安全局（CISA）发布了《联合网络防御协作组织人工智能网络安全协作手册》（Joint Cyber Defense Collaborative (JCDC) Artificial Intelligence (AI) Cybersecurit

继续阅读

Deep Recon 发现未经身份验证的上传和 IDOR 漏洞 — 获得赏金 $$$

发布于 作者:

Deep Recon 发现未经身份验证的上传和 IDOR 漏洞 — 获得赏金 $$$ haidragon 安全狗的自我修养 2025-05-23 07:42 初始阶段——选择目标 在 Bugcrowd 上探索通配符程序时，我偶然发现了一个很有潜力的目标。我决定深入挖掘，进行深入侦察，这是我非常享受的事情。 侦察阶段 我使用了一个侦察 bash 脚本： !/usr/bin/env bashdomai

继续阅读

2025攻防演练必修高危漏洞集合（1.0版）

发布于 作者:

2025攻防演练必修高危漏洞集合（1.0版） 漏洞情报中心 斗象科技 2025-05-22 10:15 高危风险漏洞一直是企业网络安全防护的薄弱点，也成为HW攻防演练期间红队的重要突破口；每年HW期间爆发了大量的高危风险漏洞成为红队突破网络边界防护的一把利器，很多企业因为这些高危漏洞而导致整个防御体系被突破、甚至靶标失守而遗憾出局。 攻防演练在即，斗象XVI扩展漏洞情报依托漏洞盒子的实时海量漏洞数

继续阅读

【渗透实战系列】|54-小程序渗透记录 通过细节挖掘漏洞的艺术

发布于 作者:

【渗透实战系列】|54-小程序渗透记录 通过细节挖掘漏洞的艺术 一天要喝八杯水 Hacking黑白红 2025-05-21 08:29 原文于：https://forum.butian.net/share/4229 原文作者：一天要喝八杯水 奇怪安信攻防社区 如侵权请联系删除。 目录： 一、低价享受高价 二、0元购思路 三、输出点思考 四、全站收货地址泄露   简单的0元 五、%模糊查询配合siz

继续阅读

美特CRM upload3.jsp 任意文件上传漏洞

发布于 作者:

美特CRM upload3.jsp 任意文件上传漏洞 Superhero Nday Poc 2025-05-21 02:49 内容仅用于学习交流自查使用，由于传播、利用本公众号所提供的 POC 信息及 POC对应脚本 而造成的任何直接或者间接的后果及损失，均由使用者本人负责，公众号Nday Poc及作者不为此承担任何责任，一旦造成后果请自行承担！ 01 漏洞概述 美特CRM /common/jsp

继续阅读

EDUSRC | 两个证书站小程序漏洞挖掘思路及方法

发布于 作者:

EDUSRC | 两个证书站小程序漏洞挖掘思路及方法 zkaq-满心欢喜 掌控安全EDU 2025-05-20 04:02 扫码领资料 获网安教程 本文由掌控安全学院 –  满心欢喜 投稿 来Track安全社区投稿~ 千元稿费！还有保底奖励~（ https://bbs.zkaq.cn） 一、信息收集思路及技巧 注：这一段信息收集思路及技巧是笔者借鉴我大湘安无事的大佬–沫颜

继续阅读

若依4.8.0后台rce漏洞复现及内存马利用

发布于 作者:

若依4.8.0后台rce漏洞复现及内存马利用 原创 跟着斯叔唠安全 跟着斯叔唠安全 2025-05-20 00:00 免责声明 ： 请勿利用文章内的相关技术从事非法测试，由于传播、利用此文所提供的信息或者工具而造成的任何直接或者间接的后果及损失，均由使用者本人负责，所产生的一切不良后果与文章作者无关。该文章仅供学习用途使用。 1 Start 前段时间先知（ https://xz.aliyun.co

继续阅读

推荐一个专为新手打造的漏洞挖掘实战圈

发布于 作者:

推荐一个专为新手打造的漏洞挖掘实战圈 安全渗透感知 FreeBuf知识大陆APP 2025-05-19 11:30 面对挖洞时毫无头绪？ 你不是一个人在战斗！ 想学习漏洞挖掘，却苦于不知道从哪里开始？ 看着师傅们一边提交漏洞一边领赏，你却连个POC都写不出来？ 打开各类公开资料，零散又重复，学完感觉自己还是什么都不会？ 尝试搭建靶场，环境一堆报错、漏洞复现卡壳，信心受挫？ 这不是你的问题——而是缺

继续阅读

2025年4月企业必修安全漏洞清单

发布于 作者:

2025年4月企业必修安全漏洞清单 腾讯安全 2025-05-19 10:15 前言 所谓必修漏洞，就是运维人员必须修复、不可拖延、影响范围较广的漏洞，被黑客利用并发生入侵事件后，会造成十分严重的后果。 腾讯云安全中心参考“安全漏洞的危害及影响力、漏洞技术细节披露情况、该漏洞在安全技术社区的讨论热度”等因素，综合评估该漏洞在攻防实战场景的风险。当漏洞综合评估为风险严重、影响面较广、技术细节已披露，

继续阅读

安全热点周报：Fortinet 修复了 FortiVoice 攻击中利用的关键零日漏洞

发布于 作者:

安全热点周报：Fortinet 修复了 FortiVoice 攻击中利用的关键零日漏洞 奇安信 CERT 2025-05-19 09:58 安全资讯导视  • 国务院2025年预备制定网络安全等级保护条例 • 美国最大钢铁公司纽柯因网络攻击被迫停产 • 迪奥中国客户信息遭泄露，官方群发短信通知客户 PART01 漏洞情报 1.Google Chrome跨源数据泄露漏洞安全风险通告 5月15日，奇安

继续阅读

【代码审计】命令执行漏洞分析

发布于 作者:

【代码审计】命令执行漏洞分析 Sec探索者 2025-05-19 00:52 点击上方蓝字关注我们 请勿利用文章内的相关技术从事非法测试，由于传播、利用此文所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，作者不为此承担任何责任。如有侵权烦请告知，我们会立即删除并致歉。谢谢！ 01 漏洞简介 在Java代码审计中，命令执行漏洞指应用程序未对用户输入进行严格过滤，直接将外部可控参

继续阅读

若依(RuoYi)框架漏洞战争手册

发布于 作者:

若依(RuoYi)框架漏洞战争手册 Locks_ 李白你好 2025-05-19 00:00 当你在用若依时，黑客已经在用Shiro默认密钥弹你的Shell；当你还在纠结分页查询，攻击者已通过SQL注入接管数据库；而你以为安全的定时任务，不过是他们拿捏服务器的玩具。这份手册，带你用渗透的视角，解剖若依的每一处致命弱点——因为真正的安全，始于知晓如何毁灭它。 文章作者：奇安信攻防社区（  Locks

继续阅读

一次任意文件下载漏洞审计-JAVA

发布于 作者:

一次任意文件下载漏洞审计-JAVA sec0nd安全 2025-05-18 15:15 免责申明 本文章仅用于信息安全防御技术分享，因用于其他用途而产生不良后果,作者不承担任何法律责任，请严格遵循中华人民共和国相关法律法规，禁止做一切违法犯罪行为。 一、前言 突然电脑里面多了一套源码，然后开始审了审，是以jar包启动的，虽然最终拿到了鉴权绕过以及任意文件上传，但是不解析JSP所以没什么用处，这里挑

继续阅读

ruoyi系统 4.8 后台RCE漏洞分析

发布于 作者:

ruoyi系统 4.8 后台RCE漏洞分析 1506847328721267 神农Sec 2025-05-18 01:00 扫码加圈子 获内部资料 网络安全领域各种资源，EDUSRC证书站挖掘、红蓝攻防、渗透测试等优质文章，以及工具分享、前沿信息分享、POC、EXP分享。 不定期分享各种好玩的项目及好用的工具，欢迎关注。加内部圈子，文末有彩蛋（知识星球优惠卷）。 原文链接： https://xz.

继续阅读

攻防实战之若依(RuoYi)框架漏洞战争手册

发布于 作者:

攻防实战之若依(RuoYi)框架漏洞战争手册 Locks_ Z2O安全攻防 2025-05-17 14:00 当你在用若依时，黑客已经在用Shiro默认密钥弹你的Shell；当你还在纠结分页查询，攻击者已通过SQL注入接管数据库；而你以为安全的定时任务，不过是他们拿捏服务器的玩具。这份手册，带你用渗透的视角，解剖若依的每一处致命弱点——因为真正的安全，始于知晓如何毁灭它。 0x00 前言 简介 R

继续阅读

突发！APT组织利用零日漏洞，竟对伊拉克库尔德武装展开 “隐秘监视”！

发布于 作者:

突发！APT组织利用零日漏洞，竟对伊拉克库尔德武装展开 “隐秘监视”！ 原创 紫队 紫队安全研究 2025-05-16 12:52 大家好，我是紫队安全研究。建议大家把公众号“紫队安全研究”设为星标，否则可能就无法及时看到啦！因为公众号只对常读和星标的公众号才能大图推送。操作方法：先点击上面的“紫队安全研究”，然后点击右上角的【…】,然后点击【设为星标】即可。 网络空间看似风平浪静，实

继续阅读

PHPRCE-永恒之蓝-防火墙上线-密码喷射-DC域控提权-weblogic

发布于 作者:

PHPRCE-永恒之蓝-防火墙上线-密码喷射-DC域控提权-weblogic 网络安全者 2025-05-16 01:25 引言 近期利用闲暇时间，我对小迪老师提供的靶场环境进行了全面的渗透测试实战演练。本次记录旨在详细还原整个渗透过程，包括环境搭建、信息收集、漏洞利用、权限提升及内网横向移动等关键环节，以期巩固所学知识并提升实战技能。 环境搭建 项目下载： 链接: https://pan.bai

继续阅读

红队视角下的 .NET 安全审计，记一次 .NET 程序的漏洞发现之旅

发布于 作者:

红队视角下的 .NET 安全审计，记一次 .NET 程序的漏洞发现之旅 专攻.NET安全的 dotNet安全矩阵 2025-05-16 00:40 进行.NET项目的代码安全审计时，往往需要从整体结构入手，逐步深入到每一个关键处理点，特别是用户输入处理、数据库操作、认证与会话管理等敏感环节。由于.NET程序多为“单入口 + 多逻辑分支”结构，加之Visual Studio生成的工程结构较为规整，因

继续阅读

2025攻防演练必修组件漏洞

发布于 作者:

2025攻防演练必修组件漏洞 骇极安全 骇极安全 2025-05-15 08:59 2025年度的各类攻防大赛即将开启，在如今的网络世界里，每一次攻防演练都是一场没有硝烟的战争！看似坚不可摧的系统防线，实则暗藏致命缺口。而在现实世界里，网络攻防演练已成为检验企业安全体系实战能力的关键。攻击者正通过漏洞组合利用、社会工程学及自动化工具，突破传统防御壁垒，构建多维度攻击链。尤其在开发中广泛使用的组件（

继续阅读

安全快报 | 国际APT威胁组织利用SAP NetWeaver严重安全漏洞入侵全球581个关键基础设施系统

发布于 作者:

安全快报 | 国际APT威胁组织利用SAP NetWeaver严重安全漏洞入侵全球581个关键基础设施系统 天懋信息 2025-05-15 02:05 本周安全事件速览 05月08日-05月14日 01 国际APT威胁组织利用SAP NetWeaver严重安全漏洞入侵全球581个关键基础设施系统 简要介绍**** 近期， 一个影响 SAP NetWeaver的严重安全漏洞 被威胁活动集群利用 以

继续阅读

腾讯云安全中心推出2025年4月必修安全漏洞清单

发布于 作者:

腾讯云安全中心推出2025年4月必修安全漏洞清单 原创 腾讯云安全中心 安全攻防团队 2025-05-15 02:00 所谓必修漏洞，就是运维人员必须修复、不可拖延、影响范围较广的漏洞，被黑客利用并发生入侵事件后，会造成十分严重的后果。 腾讯云安全中心参考“安全漏洞的危害及影响力、漏洞技术细节披露情况、该漏洞在安全技术社区的讨论热度”等因素，综合评估该漏洞在攻防实战场景的风险。当漏洞综合评估为风险

继续阅读

漏洞预警 | 泛微E-Office任意文件上传漏洞

发布于 作者:

漏洞预警 | 泛微E-Office任意文件上传漏洞 浅安 浅安安全 2025-05-15 00:04 0x00 漏洞编号 – # 暂无 0x01 危险等级 – 高危 0x02 漏洞概述 泛微e-office是泛微旗下的一款标准协同移动办公平台。主要面向中小企业,平台全方位覆盖日常办公场景,可以有效提升组织管理与协同效率。 0x03 漏洞详情 漏洞类型： 任意文件上传 影响：

继续阅读

3个月测一站！漏洞挖掘纯享版

发布于 作者:

3个月测一站！漏洞挖掘纯享版 蚁景网安 2025-05-14 08:30 好久前偶遇一个站点，前前后后大概挖了三个月才基本测试完毕，出了好多漏洞，也有不少高危，现在对部分高危漏洞进行总结分析。 nday进后台： 开局一个登录框： 通过熊猫头插件提取接口，并结合js分析，跑遍了提取到的路径也没有结果。尝试弱口令登录，但是由于连用户名提示都没有，也以失败告终。最后根据页面title关键字搜索找到该平台

继续阅读

小迪VPC1红队内网渗透靶场-PHPRCE-永恒之蓝-防火墙上线-密码喷射-DC域控提权-weblogic

发布于 作者:

小迪VPC1红队内网渗透靶场-PHPRCE-永恒之蓝-防火墙上线-密码喷射-DC域控提权-weblogic Pass_security 亿人安全 2025-05-14 03:37 原文链接：https://www.freebuf.com/articles/web/430751.html 引言 近期利用闲暇时间，我对小迪老师提供的靶场环境进行了全面的渗透测试实战演练。本次记录旨在详细还原整个渗透过程

继续阅读

【0day漏洞复现】某华智慧园区综合管理平台文件上传漏洞(CNVD2024-35311)

发布于 作者:

【0day漏洞复现】某华智慧园区综合管理平台文件上传漏洞(CNVD2024-35311) 如棠安全 如棠安全 2025-05-14 00:10 ❝ 「此公众号所分享的网络安全知识、信息及工具仅供学习和研究使用，不得用于非法活动。此文所提供的信息只为网络安全人员对自己所负责的网站、服务器等（包括但不限于）进行检测或维护参考，未经授权请勿利用文章中的技术资料对任何计算机系统进行入侵操作。利用此文所提供

继续阅读

【1day】⼤华智慧园区综合管理平台⽂件上传(CNVD2024-34322)

发布于 作者:

【1day】⼤华智慧园区综合管理平台⽂件上传(CNVD2024-34322) 原创 跟着斯叔唠安全 跟着斯叔唠安全 2025-05-13 23:00 免责声明 ： 请勿利用文章内的相关技术从事非法测试，由于传播、利用此文所提供的信息或者工具而造成的任何直接或者间接的后果及损失，均由使用者本人负责，所产生的一切不良后果与文章作者无关。该文章仅供学习用途使用。 1 Start 系统介绍 大华智慧园区综

继续阅读