标签： SQL注入

医疗行业数据安全风险评估实践指南（4.3）

发布于 作者:

医疗行业数据安全风险评估实践指南（4.3） 原创 草根老烦 老烦的草根安全观 2025-02-17 05:20 再次重申，本文未经授权不得以任何形式转载、发布或者形成商业活动，本文版权归作者樊山独有。 4.2.4 威胁识别 4.2.4.1 威胁概述 威胁，对评估对象构成潜在影响的实体。在 ISO/IEC 27001:2022 标准中，威胁被定义为“可能对信息安全造成损害的潜在事件或行为。 ” 在《

继续阅读

漏洞预警 | 福建科立讯通信指挥调度管理平台SQL注入漏洞

发布于 作者:

漏洞预警 | 福建科立讯通信指挥调度管理平台SQL注入漏洞 浅安 浅安安全 2025-02-17 01:09 0x00 漏洞编号 – # 暂无 0x01 危险等级 – 高危 0x02 漏洞概述 科立讯指挥调度管理平台是一个专业针对通信行业的管理平台。该产品旨在提供高效的指挥调度喝管理解决方案，以帮助通信运营商或相关机构实现更好的运营效率和服务质量。该平台提供强大的指挥调度功

继续阅读

软件供应链攻击：一次价值50,500美元的重大漏洞发现

发布于 作者:

软件供应链攻击：一次价值50,500美元的重大漏洞发现 原创 安全小白团译文 安全小白团 2025-02-17 00:31 forever young 不论昨天如何，都希望新的一天里，我们大家都能成为更好的人，也希望我们都是走向幸福的那些人 01 引言 安全小白团 2021 年，我还在进攻性安全领域的早期阶段。虽然我已经成功入侵了几家公司，并通过漏洞赏金狩猎（Bug Bounty Hunting）

继续阅读

逻辑漏洞挖掘思路与总结

发布于 作者:

逻辑漏洞挖掘思路与总结 计算机与网络安全 2025-02-16 23:57 资料列表： https://docs.qq.com/doc/DTGJUTmNva1Roc0xQ 逻辑漏洞是指由于程序逻辑不严导致一些逻辑分支处理错误造成的漏洞，在实际开发中，因为开发者水平不一，没有安全意识，而且业务发展迅速，内部测试没有及时到位，所以常常会出现类似的漏洞，导致攻击者可以修改、绕过或者中断整个程序，让程序按

继续阅读

专家发现PostgreSQL漏洞与BeyondTrust零日漏洞在针对性攻击中被串联利用

发布于 作者:

专家发现PostgreSQL漏洞与BeyondTrust零日漏洞在针对性攻击中被串联利用 鹏鹏同学 黑猫安全 2025-02-16 23:00 Rapid7的研究人员发现PostgreSQL的psql工具中存在一个高危SQL注入漏洞，追踪为CVE-2025-1094。专家在调查CVE-2024-12356漏洞的远程代码执行利用时发现了该漏洞。BeyondTrust于2024年12月修复了CVE-2

继续阅读

CISA已将Apple iOS和iPadOS以及Mitel SIP电话的漏洞添加到其已知被利用漏洞目录中

发布于 作者:

CISA已将Apple iOS和iPadOS以及Mitel SIP电话的漏洞添加到其已知被利用漏洞目录中 鹏鹏同学 黑猫安全 2025-02-16 23:00 美国网络安全和基础设施安全局（CISA）已将Apple iOS和iPadOS以及Mitel SIP电话的漏洞添加到其已知被利用漏洞（KEV）目录中。 这两个漏洞分别是： CVE-2025-24200：Apple iOS和iPadOS授权不当

继续阅读

DeepSeek代码审计技术解析：从模型革新到漏洞挖掘实战

发布于 作者:

DeepSeek代码审计技术解析：从模型革新到漏洞挖掘实战 原创 悟剑堂-千里 东方隐侠安全团队 2025-02-16 16:11 隐侠们的日常：关心武林 蛇 年新春前后，隐侠关注到DeepSeek名声大噪， 低成本AI模型的崛起 时代正式到来。 2025年初，中国AI企业深度求索（DeepSeek）凭借开源模型DeepSeek-V3 和DeepSeek-R1 引发全球关注。其模型以仅OpenAI

继续阅读

PowerShell 漏洞 – 现代 APT 及其恶意脚本策略

发布于 作者:

PowerShell 漏洞 – 现代 APT 及其恶意脚本策略 Ots安全 2025-02-16 12:06 在这篇博客中，我们将首先介绍 PowerShell，解释为什么它是红队成员最喜欢的工具。从那里，我们将探索它的内存加载功能，并详细了解 AMSI（反恶意软件扫描接口），包括它的深入运作方式。然后，我将从理论上详细和实践上向您介绍绕过 AMSI 的方法，使用三个简单但有效的 Po

继续阅读

【安全圈】PostgreSQL漏洞与BeyondTrust零日漏洞被联合利用

发布于 作者:

【安全圈】PostgreSQL漏洞与BeyondTrust零日漏洞被联合利用 安全圈 2025-02-16 11:01 关键词 漏洞 根据 Rapid7 的调查结果，利用 BeyondTrust 特权远程访问（PRA）和远程支持（RS）产品中的零日漏洞（CVE-2024-12356）的攻击者，可能还利用了 PostgreSQL 中一个此前未知的 SQL 注入漏洞。 该漏洞被追踪为 CVE-2025

继续阅读

Deepseek 有多强？延时注入检测 POC 只需一步，即可获取完美 POC 模板

发布于 作者:

Deepseek 有多强？延时注入检测 POC 只需一步，即可获取完美 POC 模板 信安之路 搞安全的面具侠 2025-02-16 08:30 上篇文章，在提供了一个漏洞数据包后，一步达到需求，今天来测试一个比较复杂一些的需求，在编写 Nuclei POC 时，针对延时注入的接口，需要请求多次才能让测试结果更加准确，判断条件非常规的关键词匹配，而是根据请求的时间来判断，所以今天使用 Deepse

继续阅读

我如何入侵荷兰政府：利用无辜图像进行远程代码执行

发布于 作者:

我如何入侵荷兰政府：利用无辜图像进行远程代码执行 hai dragon 安全狗的自我修养 2025-02-15 23:03 赋予动机： 在一次安全会议上，我看到一个穿着 T 恤的人，上面写着“我黑了荷兰政府，我得到的只是这件糟糕的 T 恤。 出于好奇，我走近他，问他是怎么得到的。我决心要得到那个很酷的赃物。 照片由  阿德里安  on  Unsplash 范围： 我开始寻找机会，并偶然发现了一份符

继续阅读

用友网络 用友NC linkVoucher 未授权 SQL注入漏洞

发布于 作者:

用友网络 用友NC linkVoucher 未授权 SQL注入漏洞 上汽集团网络安全应急响应中心 2025-02-15 15:56 漏洞情报 用友网络 用友NC linkVoucher 未授权 SQL注入漏洞 【 漏洞编号 】 【 情报等级 】 高危 【 漏洞描述 】 360漏洞云监测到用友NC linkVoucher 接口存在一个SQL注入漏洞，未经授权的攻击者可以通过该漏洞获取数据库敏感信息。

继续阅读

海莲花对MSI文件滥用的新手法——MST文件白加黑复现

发布于 作者:

海莲花对MSI文件滥用的新手法——MST文件白加黑复现 原创 网络保安29 红蓝攻防研究实验室 2025-02-15 11:03 0x00 前言 看到一篇QAX之前对海莲花攻击活动的分析文章： https://mp.weixin.qq.com/s/alaZxCd61gJNI9D01eQzgg 研究了下里面提到的初始钓鱼样本如何复现。原文中的大致样本信息如下： 海莲花组织通过 lnk 执行了如下命令

继续阅读

CVE-2025-0108｜Palo Alto Networks PAN-OS管理界面认证绕过漏洞（POC）

发布于 作者:

CVE-2025-0108｜Palo Alto Networks PAN-OS管理界面认证绕过漏洞（POC） alicy 信安百科 2025-02-15 10:30 0x00 前言 派拓网络（Palo Alto Networks）是一家网络安全公司，总部位于美国加利福尼亚州圣克拉拉市。公司的核心产品为“下一代防火墙”（Next-Generation Firewall）平台，提供网络活动的可视化能力

继续阅读

CVE-2025-25064｜Zimbra存在SQL注入漏洞（POC）

发布于 作者:

CVE-2025-25064｜Zimbra存在SQL注入漏洞（POC） alicy 信安百科 2025-02-15 10:30 0x00 前言 Zimbra提供一套开源协同办公套件包括WebMail，日历，通信录，Web文档管理和创作。它最大的特色在于其采用Ajax技术模仿CS桌面应用软件的风格开发的客户端兼容Firefox,Safari和IE浏览器。 Zimbra的核心产品是Zimbra协作套件

继续阅读

03 漏洞从哪里来？——编程习惯

发布于 作者:

03 漏洞从哪里来？——编程习惯 原创 Richard 方桥安全漏洞防治中心 2025-02-15 06:19 ‍‍ 代码质量直接决定系统安全性。编程习惯，或者“规范”，作为关键因素，直接影响漏洞产生的概率。 注入（OWASP A03:2021， SQL注入、XSS等）、缓冲区溢出（如：CWE-120）等安全漏洞均来源于非常基础的编码缺陷（NIST IR 8397）。 硬编码凭证（CWE-259）

继续阅读

2025 最佳漏洞赏金书籍和网站

发布于 作者:

2025 最佳漏洞赏金书籍和网站 原创 破天KK KK安全说 2025-02-15 05:14 为知识付费，如果您对漏洞赏金狩猎非常推崇，那么投资购买合适的书籍可以加快您的学习进度，提高您的技能，并帮助您获得高额赏金。这些书籍和网站不仅仅是指南；它们是由行业专家精心设计的路线图，充满了现实世界的黑客场景、分步方法和高级技术，可将您的网络安全游戏提升到一个新的水平。 一、书籍篇： 无论您是刚刚起步，

继续阅读

jeecgBoot漏洞利用工具

发布于 作者:

jeecgBoot漏洞利用工具 CH1N CH1N安全 2025-02-14 17:11 免责声明 请勿利用文章内的相关技术从事非法测试，此文章只用于学习记录，由于传播、利用此文所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，作者不为此承担任何责任。工具来自网络，安全性自测，如有侵权请联系删除。 01 工具介绍 支持queryFieldBySql Freemarker模板注入

继续阅读

PostgreSQL 漏洞与 BeyondTrust 零日漏洞一起被利用进行针对性攻击

发布于 作者:

PostgreSQL 漏洞与 BeyondTrust 零日漏洞一起被利用进行针对性攻击 Rhinoer 犀牛安全 2025-02-14 16:00 根据 Rapid7 的调查结果，2024 年 12 月利用 BeyondTrust 特权远程访问 (PRA) 和远程支持 (RS) 产品中零日漏洞的攻击者可能也利用了 PostgreSQL 中以前未知的 SQL 注入漏洞。 该漏洞编号为CVE-2025

继续阅读

Google Goland 代码注入漏洞

发布于 作者:

Google Goland 代码注入漏洞 上汽集团网络安全应急响应中心 2025-02-14 15:55 漏洞情报 Google  Goland 代码注入漏洞 【 漏洞编号 】 CVE-2025-22867 【 情报等级 】 高危 【 漏洞描述 】 360漏洞云监测到Goland官方发布安全公告，其中公开了一个代码注入漏洞，在Darwin平台上，构建一个包含CGO的Go模块，当使用Apple版本的

继续阅读

【国际视野】美国网络安全和基础设施安全局和联邦调查局联合发布《设计安全警报：消除缓冲区溢出漏洞》

发布于 作者:

【国际视野】美国网络安全和基础设施安全局和联邦调查局联合发布《设计安全警报：消除缓冲区溢出漏洞》 原创 天极智库 天极智库 2025-02-14 10:00 “ 天极按 近日， 网络安全和基础设施安全局（CISA）发布了《联合网络防御协作组织人工智能网络安全协作手册》（Joint Cyber Defense Collaborative (JCDC) Artificial Intelligence

继续阅读

Ollama zipslip 远程代码执行漏洞

发布于 作者:

Ollama zipslip 远程代码执行漏洞 原创 枇杷哥 黑伞安全 2025-02-14 07:14 通过ollama/ollama中的 zipslip 执行远程代码 概括 该ZipSlip漏洞可能允许攻击者将任意文件写入文件系统。因此，攻击者可以通过创建恶意 zip 文件 ( ) 来实现远程代码执行 ( /etc/ld.so.preloadRCE vuln.so) application/z

继续阅读

近期暗网 0day 威胁情报预警

发布于 作者:

近期暗网 0day 威胁情报预警 原创 独眼情报 独眼情报 2025-02-14 03:59 0day漏洞市场近期呈现双轨化发展态势，地下交易与合法渠道同步活跃：暗网市场中高频流转针对主流操作系统、虚拟化平台及工业控制系统的高危漏洞，而全球漏洞赏金市场规模已突破50亿，头部企业单漏洞奖励达百万级别，与此同时漏洞利用周期从披露到武器化平均压缩至7天，攻击面持续扩展（物联网设备漏洞同比激增300%，云

继续阅读

Deepseek 有多强？延时注入检测 POC 只需一步，即可获取完美 POC 模板！

发布于 作者:

Deepseek 有多强？延时注入检测 POC 只需一步，即可获取完美 POC 模板！ 原创 xazlsec 信安之路 2025-02-14 03:12 上篇文章，在提供了一个漏洞数据包后，一步达到需求，今天来测试一个比较复杂一些的需求，在编写 Nuclei POC 时，针对延时注入的接口，需要请求多次才能让测试结果更加准确，判断条件非常规的关键词匹配，而是根据请求的时间来判断，所以今天使用 De

继续阅读