Springboot未授权之httptrace和logfile的实战利用
Springboot未授权之httptrace和logfile的实战利用 迪哥讲事 2024-12-30 12:30 声明：该公众号大部分文章来自作者日常学习笔记，未经授权，严禁转载，如需转载，联系洪椒攻防实验室公众号。请勿利用文章内的相关技术从事非法测试，如因此产生的一切不良后果与文章作者和本公众号无关。 0x00 前言 相信大家在很多项目中，不论是渗透测试还是攻防演练中都遇到过很多spring
继续阅读标签： RCE
近期 Apache Struts 2 严重漏洞开始被利用
近期 Apache Struts 2 严重漏洞开始被利用 三沐 三沐数安 2024-12-30 11:53 研究人员警告称，恶意攻击利用 Apache Struts 2 中最近修补的严重漏洞，导致远程代码执行 (RCE)。 在 Apache Struts 2 中一个严重漏洞被公开披露后不到一个月，威胁行为者就开始利用该漏洞。 该问题被标记为 CVE-2024-53677（CVSS 评分为 9.5）
继续阅读Palo Alto 修复已遭利用的严重PAN-OS DoS 漏洞
Palo Alto 修复已遭利用的严重PAN-OS DoS 漏洞 Ravie Lakshmanan 代码卫士 2024-12-30 10:12 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 Palo Alto Networks 披露了一个影响 PAN-OS 软件的高危漏洞（CVE-2024-3393，CVSS 8.7），它可在易受攻击设备上引发拒绝服务 (DoS) 条件。 该漏洞影响 PA
继续阅读漏洞分析 | Apache SkyWalking SQL注入漏洞分析
漏洞分析 | Apache SkyWalking SQL注入漏洞分析 原创 杂七 杂七杂八聊安全 2024-12-30 03:36 朋友们，现在只对常读和星标的公众号才展示大图推送，建议大家把 杂七杂八聊安全“ 设为星标”， 否则可能就看不到了啦~ 0x01 熟悉Graphql 0x01.1 Graphql环境搭建 通过springboot搭建graphql环境，pom .xml内容如下： 其中
继续阅读AJ-Report 可视化大屏漏洞复现
AJ-Report 可视化大屏漏洞复现 kali笔记 2024-12-30 01:14 AJ-Report是全开源的一个BI平台，酷炫大屏展示，能随时随地掌控业务动态，让每个决策都有数据支撑。多数据源支持，内置mysql、elasticsearch、kudu驱动，支持自定义数据集省去数据接口开发，目前已支持30+种大屏组件/图表，不会开发，照着设计稿也可以制作大屏。 部署相关 在之前的文字中写过，
继续阅读Guns后台任意文件上传漏洞分析
Guns后台任意文件上传漏洞分析 船山信安 2024-12-30 01:12 下载地址： 主项目： https://gitee.com/stylefeng/guns 核心包： https://gitee.com/stylefeng/roses 分析认证逻辑 找个正常的接口访问，发现没有自定义filter， 我们大概看一下spring的filter执行流程是咋样的， 可以看到这里有6个filter，
继续阅读轻量级，免费，百万POC
轻量级，免费，百万POC 菜狗 富贵安全 2024-12-30 00:38 Nuclei 是一款现代的高性能漏洞扫描程序，它利用基于 YAML 的简单模板。它使您能够设计模拟真实情况的自定义漏洞检测场景，从而实现零误报。 用于创建和自定义漏洞模板的简单 YAML 格式。 由数千名安全专家贡献，以解决流行的漏洞。 通过模拟真实世界的步骤来验证漏洞，从而减少误报。 超快速的并行扫描处理和请求聚类。 集
继续阅读警惕！新型 Mirai 僵尸网络来袭，利用未公开漏洞攻击 NVR 和路由器！
警惕！新型 Mirai 僵尸网络来袭，利用未公开漏洞攻击 NVR 和路由器！ 原创 Hankzheng 技术修道场 2024-12-30 00:01 【针对 DigiEver NVR 和 TP-Link 路由器，利用未公开漏洞和旧固件，请速自查！】 安全圈近日发现了一个新型的、基于 Mirai 的僵尸网络 正在疯狂传播，它利用了一个尚未公开编号、且在 DigiEver DS-2105 Pro 网络
继续阅读【0day】朗速ERP UEditorAjaxApi存在文件上传漏洞
【0day】朗速ERP UEditorAjaxApi存在文件上传漏洞 原创 xiachuchunmo 银遁安全团队 2024-12-29 16:01 需要EDU SRC邀请码的师傅可以私聊后台，免费赠送EDU SRC邀请码（邀请码管够） 漏洞简介 郎速ERP是一款功能强大的企业资源计划(ERP)软件，专为中小企业量身打造，旨在帮助企业优化管理流程、提升运营效率。不仅适用于制造业，还广泛适用于零售、
继续阅读像职业黑客一样思考，在漏洞挖掘中可以多赚30000美元（真的吗？）
像职业黑客一样思考，在漏洞挖掘中可以多赚30000美元（真的吗？） 独眼情报 2024-12-29 11:16 在网络安全的世界里，像黑客一样思考是你的最强大武器。白帽黑客，特别是企业SRC，是一个赚大钱（存疑🐶）的领域， 技术娴熟的人通过发现系统中的漏洞来获得奖励和认可。通过培养黑客思维，你可以识别关键漏洞，帮助保障数字资产的安全，并获得显著的收入。以下是如何培养这种思维方式并最大化你的漏洞挖掘
继续阅读紧急预警！热门 WordPress 教育主题 WPLMS 曝严重漏洞，可被黑客完全控制！
紧急预警！热门 WordPress 教育主题 WPLMS 曝严重漏洞，可被黑客完全控制！ 原创 Hankzheng 技术修道场 2024-12-29 00:00 【超2.8万网站受影响，速升级修复！】 安全圈再次敲响警钟！近日，知名 WordPress 安全公司 Patchstack 披露，广受欢迎的在线教育主题 WPLMS 及其配套插件 VibeBP 存在 18 个严重安全漏洞 ，其中 7
继续阅读Delinea 协议处理程序 – 通过更新进程执行远程代码（CVE-2024-12908）
Delinea 协议处理程序 – 通过更新进程执行远程代码（CVE-2024-12908） Ots安全 2024-12-28 06:29 概括 Secret Server 协议处理程序促进 Secret Server 与客户端计算机之间的通信。它还提供启动器运行所需的文件。当用户启动启动器时，协议处理程序： 1. 引导客户端应用程序。 通过 HTTP(S) 与 Secret Serve
继续阅读分享Fastjson反序列化漏洞原理+漏洞复现+实战案例+POC收集
分享Fastjson反序列化漏洞原理+漏洞复现+实战案例+POC收集 原创 神农Sec 神农Sec 2024-12-28 01:05 扫码加圈子获内部资料网络安全领域各种资源，学习文档，以及工具分享、前沿信息分享、POC、EXP分享。不定期分享各种好玩的项目及好用的工具，欢迎关注。 0x1 前言 哈喽师傅们，这篇文章自己写之前先是看了十几篇的Fastjson反序列化漏洞相关的文章，自己也是先学习了
继续阅读Apache MINA CVE-2024-52046：满分漏洞可通过不安全的序列化实现 RCE
Apache MINA CVE-2024-52046：满分漏洞可通过不安全的序列化实现 RCE 会杀毒的单反狗 军哥网络安全读报 2024-12-28 01:00 导读 Apache 软件基金会 (ASF) 已发布补丁来修复MINA Java 网络应用程序框架中一个最高严重性漏洞，该漏洞可能在特定条件下导致远程代码执行。 该漏洞编号为CVE-2024-52046，CVSS 评分为 10.0。该漏洞
继续阅读锐捷云管理平台曝严重漏洞：可从云端劫持WiFi热点
锐捷云管理平台曝严重漏洞：可从云端劫持WiFi热点 网安百色 2024-12-27 11:40 点击上方 蓝字 关注我们吧~ 近日，网络安全研究人员在 锐捷网络 的云管理平台中发现多个严重漏洞，这些漏洞可能使攻击者全面控制网络设备，进而对企业和个人用户的网络安全构成重大威胁。 从云端入侵WiFi接入点 来自工控安全公司Claroty的研究人员NoamMoshe和Tomer Goldschmidt指
继续阅读【安全圈】Apache Traffic Control 中的严重 SQL 注入漏洞 CVSS 评级为 9.9 — 立即修补
【安全圈】Apache Traffic Control 中的严重 SQL 注入漏洞 CVSS 评级为 9.9 — 立即修补 安全圈 2024-12-27 11:01 关键词 安全漏洞 Apache 软件基金会 (ASF) 已发布安全更新来修复流量控制中的一个严重安全漏洞，如果成功利用该漏洞，攻击者可以在数据库中执行任意结构化查询语言 (SQL) 命令。 该 SQL 注入漏洞的编号为CVE-2024
继续阅读Mitel MiCollab 企业协作平台 任意文件读取漏洞(CVE-2024-41713)
Mitel MiCollab 企业协作平台 任意文件读取漏洞(CVE-2024-41713) Superhero nday POC 2024-12-27 08:38 内容仅用于学习交流自查使用，由于传播、利用本公众号所提供的 POC 信息及 POC对应脚本 而造成的任何直接或者间接的后果及损失，均由使用者本人负责，公众号nday poc及作者不为此承担任何责任，一旦造成后果请自行承担！如文章有侵权
继续阅读EDU-Kesion科汛开发的在线教育建站系统存在SQL注入漏洞 (大量存在含POC新接口) | 漏洞预警
EDU-Kesion科汛开发的在线教育建站系统存在SQL注入漏洞 (大量存在含POC新接口) | 漏洞预警 原创 漏洞复现Tony 渗透安全HackTwo 2024-12-27 08:06 0x01 产品简介 科汛网校KesionEDU是KESION科汛开发的在线教育建站系统，支持在线直播教学、课程点播、录播授课等多种教学方式，满足不同场景下的教学需求。提供问答互动、学习点评、在线
继续阅读Apache MINA 存在严重的满分漏洞，可导致RCE
Apache MINA 存在严重的满分漏洞，可导致RCE DO SON 代码卫士 2024-12-27 06:36 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 用于构建高性能和可口站网络应用的热门网络应用框架 Apache MINA 中存在一个严重漏洞，CVE-2024-52046，CVSS评分为满分10分，可导致攻击者在易受攻击系统上执行任意代码。用户应立即修复该漏洞。 Apache
继续阅读工具集：TsojanScan【BurpSuite漏洞探测插件】
工具集：TsojanScan【BurpSuite漏洞探测插件】 wolven Chan 风铃Sec 2024-12-27 05:30 工具介绍 TsojanScan 提供了多种扫描模块，支持主动和被动的漏洞探测，优化了扫描性能和兼容性，是一个强大的渗透测试工具。本着市面上各大漏洞探测插件的功能比较单一，TsojanScan 在已有框架的基础上修改并增加常用的漏洞探测POC，会以最少的数据包请求来准
继续阅读锐捷网络云平台漏洞使大量设备面临远程攻击风险
锐捷网络云平台漏洞使大量设备面临远程攻击风险 龙猫 星尘安全 2024-12-27 02:00 点击上方 蓝字 关注我们 网络安全研究人员在锐捷网络开发的云管理平台中发现了几个严重安全漏洞，这些漏洞可能允许攻击者控制网络设备。 “这些漏洞会影响 Reyee 平台以及 Reyee OS 网络设备，”Claroty 研究人员 Noam Moshe 和 Tomer Goldschmidt 在最近的一项分
继续阅读Apache MINA严重漏洞 ：CVE-2024-52046 (CVSS 10)，可能允许远程代码执行
Apache MINA严重漏洞 ：CVE-2024-52046 (CVSS 10)，可能允许远程代码执行 E安全 2024-12-27 01:01 E安全消息，网络应用框架Apache MINA发现一个严重漏洞。漏洞被追踪为CVE-2024-52046，CVSS得分10，可能允许攻击者在系统上执行任意代码。 Apache MINA框架用于构建高性能和可扩展的网络应用，以其事件驱动异步API而闻名。
继续阅读9.9分的SQL注入漏洞，可获admin权限！
9.9分的SQL注入漏洞，可获admin权限！ 流苏 乌雲安全 2024-12-27 00:01 Apache软件基金会（ASF）已发布安全更新，修复了Traffic Control中的一个关键安全漏洞。若此漏洞被成功利用，攻击者便能在数据库中执行任意结构化查询语言（SQL）命令。该SQL注入漏洞被标识为CVE-2024-45387，在CVSS评分系统中获得了9.9分（满分为10分）。 项目维护人
继续阅读CVE-2024-50379 Tomcat 漏洞深度分析及 POC（严重性 9.8）
CVE-2024-50379 Tomcat 漏洞深度分析及 POC（严重性 9.8） Ots安全 2024-12-27 00:01 介绍 在不断发展的网络安全格局中，预防漏洞对于保护敏感系统至关重要。最近，全球使用最广泛的 Web 应用服务器之一 Apache Tomcat 中发现了一个严重的安全漏洞 — CVE-2024–50379 。该漏洞的严重性评分为9.8，具有重大风险，可能允许攻击者执行
继续阅读Apache 修复 Tomcat Web 服务器中的远程代码执行绕过问题
Apache 修复 Tomcat Web 服务器中的远程代码执行绕过问题 胡金鱼 嘶吼专业版 2024-12-26 18:39 Apache 发布了一个安全更新，解决了 Tomcat Web 服务器中的一个重要漏洞，该漏洞可能导致攻击者实现远程代码执行。 Apache Tomcat 是一种开源 Web 服务器和 Servlet 容器，广泛用于部署和运行基于 Java 的 Web 应用程序。它为 J
继续阅读最新Nacos 综合漏洞利用检测工具12月更新|漏洞探测
最新Nacos 综合漏洞利用检测工具12月更新|漏洞探测 漏洞挖掘 渗透安全HackTwo 2024-12-26 16:00 0x01 工具介绍 NacosExploit是一款用于检测Nacos服务中已知漏洞的工具，支持自定义内存马功能，使渗透测试更加灵活。通过简单的FOFA查询语法，可以快速识别目标Nacos实例的认证绕过等问题。 下载地址在末尾 0x02 功能简介支持漏洞| PoC | Ex
继续阅读Jenkins漏洞利用精华总结
Jenkins漏洞利用精华总结 原创 simeon的文章 小兵搞安全 2024-12-26 14:33 1.1.1简介 1.Jenkins简介 Jenkins是一个开源软件项目，最开始被称作 Hudson，基于Java开发的一种使用非常广泛的持续集成工具，用于监控持续重复的工作。由于易于使用并且具有良好的扩展性，Jenkins深受用户喜爱，在持续集成领域的市场份额居于主导地位，其被各种规模的团队用
继续阅读9.9分的SQL注入漏洞，可获admin权限
9.9分的SQL注入漏洞，可获admin权限 流苏 FreeBuf 2024-12-26 11:02 Apache软件基金会（ASF）已发布安全更新，修复了Traffic Control中的一个关键安全漏洞。若此漏洞被成功利用，攻击者便能在数据库中执行任意结构化查询语言（SQL）命令。该SQL注入漏洞被标识为CVE-2024-45387，在CVSS评分系统中获得了9.9分（满分为10分）。 项目维
继续阅读Apache Traffic Control存在严重的SQL注入漏洞，可在数据库中执行任意命令
Apache Traffic Control存在严重的SQL注入漏洞，可在数据库中执行任意命令 综合编译 代码卫士 2024-12-26 10:23 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 Apache 软件基金会 (ASF) 已发布安全更新，修复了 Traffic Control 中的一个严重漏洞CVE-2024-45387（CVSS评分9.9）。该漏洞可导致攻击者在数据库中执行任
继续阅读操作系统主机安全测试：脆弱点与漏洞分析
操作系统主机安全测试：脆弱点与漏洞分析 小智 智检安全 2024-12-26 09:45 免责声明： 涉及到的所有技术仅用来学习交流，严禁用于非法用途，未经授权请勿非法渗透，否则产生的一切后果自行承担！ 一、引言 在当今数字化飞速发展的时代，信息技术如同纵横交错的神经网络，深度嵌入社会运行的每一寸肌理。从支撑跨国企业全球协同运作的复杂信息架构，到守护普通民众日常线上交互的各类应用平台，系统安全已然
继续阅读