标签： XSS

寻找IDOR漏洞：Key Endpoints and Resources

发布于 作者:

寻找IDOR漏洞：Key Endpoints and Resources 迪哥讲事 2024-09-23 23:12 寻找IDOR漏洞：Key Endpoints and Resources bugbounty笔记 知识星球优惠券放送 今天，在这篇文章中，我将分享一些常见的可以用来寻找IDOR漏洞的端点。我已经对这个主题进行了深入研究，并将分享一些优秀的资源库，这些资源库可以帮助你发现并利用IDO

继续阅读

SRC挖掘实战之某勒索病毒解密平台命令执行

发布于 作者:

SRC挖掘实战之某勒索病毒解密平台命令执行 Khan安全团队 2024-09-22 16:38 注：漏洞已经上报厂商并且已完成修复。目标：https://lesuobingdu.xxx.cn/ 访问目标网站功能点居少，一般这种只有几个功能的单页很多人会忽略一些功能点 分别测试查询和解密的功能，发现系统会将上传后的文件带入内部病毒库去查询，然后对比md5值或者识别文件内容来判断病毒再响应出解密的方案

继续阅读

2300$：分享4个高危业务逻辑漏洞

发布于 作者:

2300$：分享4个高危业务逻辑漏洞 玲珑安全官方 芳华绝代安全团队 2024-09-21 17:33 关注公众号，阅读优质漏洞挖掘文章 前言 该目标程序是一家提供浏览器服务的公司，其核心功能是网页抓取和多账户登录操作，类似于浏览器中的隐身模式，但更加强大和高效。通过该平台，用户可以轻松管理并同时运行数百个隐身浏览器实例，而不需要复杂的配置。 值得注意的是， 该应用仅提供付费订阅计划。个人用户的订

继续阅读

信息安全漏洞周报（2024年第38期 ）

发布于 作者:

信息安全漏洞周报（2024年第38期 ） CNNVD CNNVD安全动态 2024-09-20 14:15 点击蓝字 关注我们 漏洞情况**** 根据国家信息安全漏洞库（CNNVD）统计，本周（2024年9月9日至2024年9月15日）安全漏洞情况如下： 公开漏洞情况 本周CNNVD采集安全漏洞713个。 接报漏洞情况 本周CNNVD接报漏洞28582个，其中信息技术产品漏洞（通用型漏洞）191个

继续阅读

CISA、FBI督促消除XSS漏洞

发布于 作者:

CISA、FBI督促消除XSS漏洞 Ionut Arghire 代码卫士 2024-09-19 18:09 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 美国网络安全局CISA和FBI针对普遍存在的XSS漏洞发布“设计即安全”的警告，督促组织机构消除产品中的XSS漏洞。 XSS漏洞即跨站点脚本漏洞，CISA和FBI指出，这些漏洞存在的原因是未对用户输入进行正确验证、清理或逃逸，因此导致威胁

继续阅读

手把手edusrc漏洞挖掘和github信息收集

发布于 作者:

手把手edusrc漏洞挖掘和github信息收集 想当文人的黑客 Z2O安全攻防 2024-09-18 21:07 点击上方[蓝字]，关注我们 建议大家把公众号“Z2O安全攻防”设为星标，否则可能就看不到啦！ 因为公众号现在只对常读和星标的公众号才能展示大图推送。操作方法：点击右上角的【…】，然后点击【设为星标】即可。 免责声明 本文仅用于技术讨论与学习，利用此文所提供的信息而造成的任

继续阅读

代码审计 | phpcmsV9.6超详细RCE代审流程

发布于 作者:

代码审计 | phpcmsV9.6超详细RCE代审流程 实战安全研究 2024-09-16 09:01 扫码领资料 获网安教程 本文由掌控安全学院 –  郑居中 投稿 来Track安全社区投稿~ 千元稿费！还有保底奖励~（https://bbs.zkaq.cn） 前言： 在代码审计中，漏洞出现都与数据输入有关。要跟用户输入的数据走，从数据流到控制流，看数据是否绕过，到达控制流 环境搭建

继续阅读

赏金15000美元的 RCE

发布于 作者:

赏金15000美元的 RCE 迪哥讲事 2024-09-15 21:30 声明：文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由用户承担全部法律及连带责任，文章作者不承担任何法律及连带责任。 博客新域名：https://gugesay.com **不想错过任何消息？设置星标↓ ↓ ↓ 预祝各位中秋快乐，身体健康！ 背景介绍 你是否遇到过明知一个端点可能很容

继续阅读

漏洞？忽略！忽略！忽略！

发布于 作者:

漏洞？忽略！忽略！忽略！ 威零安全团队 2024-09-15 15:06 现在只对常读和星标的公众号才展示大图推送，建议大家能把威零安全实验室“设为星标”，否则可能就看不到了啦！ 免责声明 本文章仅用于信息安全防御技术分享，因用于其他用途而产生不良后果,作者不承担任何法律责任，请严格遵循中华人民共和国相关法律法规，禁止做一切违法犯罪行为。 由于传播、利用本公众号所发布的而造成的任何直接或者间接的后

继续阅读

全文干货！Redis漏洞利用详解 （上）

发布于 作者:

全文干货！Redis漏洞利用详解 （上） 原创 LULU 红队蓝军 2024-09-13 18:10 redis漏洞利用原理 Redis是一套开源的使用ANSI C编写、支持网络、可基于内存亦可持久化的日志型、键值存储数据库，并提供多种语言的API。Redis 提供了2种不同的持久化方式，RDB方式和AOF方式. Redis默认情况下是绑定在0.0.0.0:6379端口的，如果没有设置密码（一般密

继续阅读

未知技术大揭秘，让XSS漏洞无处遁形！0x2

发布于 作者:

未知技术大揭秘，让XSS漏洞无处遁形！0x2 迪哥讲事 2024-09-09 23:09 forever young 不论昨天如何，都希望新的一天里，我们大家都能成为更好的人，也希望我们都是走向幸福的那些人 01 通过SVG文件上传的存储型XSS 安全小白团 书接上回《未知技术大揭秘，让XSS漏洞无处遁形！0x1 》 关键词：文件上传——手动测试。 在完成信息收集后，我查找了aquatone的结果

继续阅读

Zyxel（合勤科技）路由器中的严重漏洞

发布于 作者:

Zyxel（合勤科技）路由器中的严重漏洞 网络研究观 网络研究观 2024-09-07 22:00 Zyxel （ 合勤科技）已发布补丁来解决影响多个企业路由器型号的严重 漏洞 ，并可能允许未经身份验证的攻击者执行命令注入。 合勤科技还修复了其他产品中的近十几个 漏洞。 所有已修复的漏洞中最危险的漏洞的标识符为  CVE-2024-7261   ，其CVSS 评分为 9.8，被认为是严重漏洞。 该

继续阅读

实战 | 测试文件上传漏洞的5个小tips

发布于 作者:

实战 | 测试文件上传漏洞的5个小tips 渗透安全团队 2024-09-07 21:49 作为红队成员、渗透测试人员和 赏金猎人——我们都喜欢在我们的目标中看到文件上传功能。 但有时我们必须处理不寻常的应用程序，这些应用程序可能会受到“简单”Webshell 上传的良好保护（即存在过滤），因此我们需要采用更具创意的方法。 大多数人都已经熟悉以“传统方式”（文件扩展名、内容类型等）测试上传功能 ，

继续阅读

尽快更新！Zyxel 路由器曝出 OS 命令注入漏洞，影响多个版本

发布于 作者:

尽快更新！Zyxel 路由器曝出 OS 命令注入漏洞，影响多个版本 小薯条 FreeBuf 2024-09-06 19:12 近日，Zyxel 发布安全更新，以解决影响其多款商用路由器的关键漏洞，该漏洞可能允许未经认证的攻击者执行操作系统命令注入。 该漏洞被追踪为 CVE-2024-7261，CVSS v3 得分为 9.8，是一个输入验证故障，由用户提供的数据处理不当引起，允许远程攻击者在主机操作

继续阅读

【安全圈】LiteSpeed 曝出严重漏洞，致使超 600 万 WordPress 网站遭攻击

发布于 作者:

【安全圈】LiteSpeed 曝出严重漏洞，致使超 600 万 WordPress 网站遭攻击 安全圈 2024-09-06 19:01 关键词 安全漏洞 近日，Patchstack 的 Rafie Muhammad 在 LiteSpeed Cache 插件中发现了一个严重漏洞，该插件主要用于加快超 600 万个 WordPress 网站的用户浏览速度。该漏洞被追踪为 CVE-2024-44000

继续阅读

总结RCE漏洞(常见RCE的组合案例）

发布于 作者:

总结RCE漏洞(常见RCE的组合案例） 原创 LULU 红队蓝军 2024-09-06 18:02 RCE原理 RCE(remote command/code execute) 即远程命令/代码执行。可以让攻击者直接向后台服务器远程注入操作系统命令或者代码，从而控制后台系统。RCE分为远程命令执行ping和远程代码执行evel。 在 Web 应用中有时候程序员为了考虑灵活性、简洁性，会在代码调用代

继续阅读

【安全圈】尽快更新！Zyxel 路由器曝出 OS 命令注入漏洞，影响多个版本

发布于 作者:

【安全圈】尽快更新！Zyxel 路由器曝出 OS 命令注入漏洞，影响多个版本 安全圈 2024-09-04 19:00 关键词 安全漏洞 近日，Zyxel 发布安全更新，以解决影响其多款商用路由器的关键漏洞，该漏洞可能允许未经认证的攻击者执行操作系统命令注入。 该漏洞被追踪为 CVE-2024-7261，CVSS v3 得分为 9.8，是一个输入验证故障，由用户提供的数据处理不当引起，允许远程攻击

继续阅读

合勤提醒注意路由器中的严重OS命令注入漏洞

发布于 作者:

合勤提醒注意路由器中的严重OS命令注入漏洞 Bill Toulas 代码卫士 2024-09-04 17:18 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 合勤科技发布安全更新，修复了影响多款商业路由器中的一个严重漏洞 (CVE-2024-7261)，可能导致未认证攻击者执行OS命令注入。 该漏洞的CVSSv3评分为9.8，是一个因用户提供数据处理不当引发的输入验证漏洞，可导致远程攻击者

继续阅读

sign加密小程序漏洞挖掘

发布于 作者:

sign加密小程序漏洞挖掘 eeknight 迪哥讲事 2024-09-03 22:00 公众号：安全客资讯平台（ID：anquanbobao）作者：（eeknight） 前言 通过本篇论文，你可以了解两个知识点： 1. sign加密解密 小程序漏洞挖掘 漏洞发现 注册的时候点击一个获取手机号 这里通过burp可以看到微信小程序获取手机号的三个关键参数，decryptData，sessionKey

继续阅读

一个$1600赏金奖励的漏洞

发布于 作者:

一个$1600赏金奖励的漏洞 迪哥讲事 2024-09-01 22:23 声明：文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由用户承担全部法律及连带责任，文章作者不承担任何法律及连带责任。 ****# 背景介绍 白帽小哥（debu8er）喜欢分享自己的漏洞发现过程，前不久白帽小哥开始在一个VDP（漏洞披露计划）中对 20 个漏洞报告进行分类，在这个过程中

继续阅读

人工智能AI漏洞扫描工具PRO版SmartScanner-1.23.0-Pro版补丁更新|漏洞检测

发布于 作者:

人工智能AI漏洞扫描工具PRO版SmartScanner-1.23.0-Pro版补丁更新|漏洞检测 原创 城北 渗透安全HackTwo 2024-09-01 12:12 前言 自动渗透测试 SmartScanner提供的自动渗透测试简化了评估计算机系统安全性的过程。本质上，它进行授权的模拟网络攻击，以评估系统对潜在威胁的防御能力。 使用SmartScanner，启动渗透测试毫不费力。只需输入您的网

继续阅读

CORS漏洞学习

发布于 作者:

CORS漏洞学习 Whoisa 黑客白帽子 2024-08-31 10:42 感谢师傅 · 关注我们 由于，微信公众号推送机制改变，现在需要设置为星标才能收到推送消息。大家就动动发财小手设置一下呗！啾咪~~~ CORS漏洞 CORS（Cross-Origin Resource Sharing）是一种用于Web应用程序的安全机制，用于控制在浏览器中一个网页能够访问来自另一个源（域名、协议或端口）的资

继续阅读

[译] 威胁分析报告：12.APT29利用spy软件供应商创建的IOS、Chrome漏洞

发布于 作者:

[译] 威胁分析报告：12.APT29利用spy软件供应商创建的IOS、Chrome漏洞 原创 Eastmount 娜璋AI安全之家 2024-08-31 09:04 “ 2024年4月28日是Eastmount的安全星球 —— 『网络攻防和AI安全之家』正式创建和运营的日子，该星球目前主营业务为 安全零基础答疑、安全技术分享、AI安全技术分享、AI安全论文交流、威胁情报每日推送、网络攻防技术总结

继续阅读

存在严重供应链安全风险，MLOps平台曝20多个漏洞

发布于 作者:

存在严重供应链安全风险，MLOps平台曝20多个漏洞 网络安全应急技术国家工程中心 2024-08-28 15:24 网络安全研究人员警告称，在发现20多个漏洞后，机器学习（ML）软件供应链存在安全风险，这些漏洞可能被利用来针对MLOps平台。这些漏洞被描述为固有和实现方面的缺陷，可能会产生严重后果，从任意代码执行到加载恶意数据集。 MLOps平台提供了设计和执行ML模型管道的能力，模型注册表作为

继续阅读

一款强大的自动化漏洞发现与验证工具 | 抽奖送《黑神话悟空》

发布于 作者:

一款强大的自动化漏洞发现与验证工具 | 抽奖送《黑神话悟空》 老谢 H4ll0 H4ck3r 2024-08-27 21:35 声明: 由于传播、利用此文所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，H4ll0 H4ck3r及文章作者不为此承担任何责任。 H4ll0 H4ck3r拥有对此文章的修改和解释权。如欲转载或传播此文章，必须保证此文章的完整性，包括版权声明等全部内容

继续阅读

【安全圈】存在严重供应链安全风险，MLOps平台曝20多个漏洞

发布于 作者:

【安全圈】存在严重供应链安全风险，MLOps平台曝20多个漏洞 安全圈 2024-08-27 19:00 关键词 安全漏洞 网络安全研究人员警告称，在发现20多个漏洞后，机器学习（ML）软件供应链存在安全风险，这些漏洞可能被利用来针对MLOps平台。这些漏洞被描述为固有和实现方面的缺陷，可能会产生严重后果，从任意代码执行到加载恶意数据集。 MLOps平台提供了设计和执行ML模型管道的能力，模型注册

继续阅读