Web篇 | 从防御到绕过：剖析长亭雷池WAF防护机制与SQL注入绕过测试
原文链接: https://mp.weixin.qq.com/s?__biz=Mzk3NTQwMDY1NA==&mid=2247485463&idx=1&sn=fcff1fc7cec09f4a4904d2901369bed0 Web篇 | 从防御到绕过：剖析长亭雷池WAF防护机制与SQL注入绕过测试 原创 零日安全实验室 零日安全实验室 2025-07-01 16:01 免
继续阅读标签： XSS
NASA开放公开的漏洞赏金计划
原文链接: https://mp.weixin.qq.com/s?__biz=MzkwOTE5MDY5NA==&mid=2247506878&idx=1&sn=646896e03d930c8c4ed7eb5db4c3f087 NASA开放公开的漏洞赏金计划 haidragon 安全狗的自我修养 2025-07-01 04:05 官网：http://securitytech.
继续阅读Windows11 Penetration V6.0渗透系统（6月全面升级）一套环境通吃内网、Web、APP安全渗透
原文链接: https://mp.weixin.qq.com/s?__biz=Mzg3ODE2MjkxMQ==&mid=2247492883&idx=1&sn=ebc603921afcded169d999fd46f117ab Windows11 Penetration V6.0渗透系统（6月全面升级）一套环境通吃内网、Web、APP安全渗透 makoto56 渗透安全Hac
继续阅读Grafan存在url重定向&服务端请求伪造漏洞CVE-2025-4123 附POC
原文链接: https://mp.weixin.qq.com/s?__biz=MzIxMjEzMDkyMA==&mid=2247488591&idx=1&sn=c235ea6352df7f47f2fc2bd6408c05c1 Grafan存在url重定向&服务端请求伪造漏洞CVE-2025-4123 附POC 2025-6-13更新 南风漏洞复现文库 2025-06
继续阅读GitLab 修复高危的账户接管和认证缺失漏洞
原文链接: https://mp.weixin.qq.com/s?__biz=MzI2NTg4OTc5Nw==&mid=2247523281&idx=1&sn=39fe6b4ec8cebc0a362c26c8fffbd2c7 GitLab 修复高危的账户接管和认证缺失漏洞 Sergiu Gatlan 代码卫士 2025-06-13 10:34 聚焦源代码安全，网罗国内外最新
继续阅读GitLab曝高危漏洞组合，攻击者可实现完全账户接管
原文链接: https://mp.weixin.qq.com/s?__biz=MjM5NjA0NjgyMA==&mid=2651323069&idx=3&sn=e1a2654d1eb8eb944bf1949b9ed09b40 GitLab曝高危漏洞组合，攻击者可实现完全账户接管 FreeBuf 2025-06-13 10:00 GitLab 社区版（CE）和企业版（EE）平
继续阅读工信部：AI绘图工具ComfyUI多个安全漏洞已被用于实施网络攻击
原文链接: https://mp.weixin.qq.com/s?__biz=MzI4NDY2MDMwMw==&mid=2247514513&idx=1&sn=67e663e82b15ccc4fb808170d7a081dc 工信部：AI绘图工具ComfyUI多个安全漏洞已被用于实施网络攻击 安全内参 2025-06-13 09:23 关注我们 带你读懂网络安全 Comfy
继续阅读【漏洞复现】Kafka Connect任意文件读取漏洞 CVE-2025-27817
原文链接: https://mp.weixin.qq.com/s?__biz=MzU5MTc1NTE0Ng==&mid=2247486069&idx=1&sn=686dff0eb15fbaf6950e19c95f008dba 【漏洞复现】Kafka Connect任意文件读取漏洞 CVE-2025-27817 YGnight night安全 2025-06-13 09:22
继续阅读关于防范人工智能绘图工具ComfyUI多个安全漏洞的风险提示
原文链接: https://mp.weixin.qq.com/s?__biz=MzA5Nzc4Njg1NA==&mid=2247489260&idx=1&sn=51ba3d6560441abb6d16005aa88ecc6d 关于防范人工智能绘图工具ComfyUI多个安全漏洞的风险提示 NVDB 网络安全威胁和漏洞信息共享平台 2025-06-13 08:38 近日，工业和
继续阅读GitLab 多个漏洞可导致攻击者完全接管账户
GitLab 多个漏洞可导致攻击者完全接管账户 会杀毒的单反狗 军哥网络安全读报 2025-06-13 01:02 导读 GitLab 社区版 (CE) 和企业版 (EE) 平台上存在一系列严重的安全漏洞，攻击者可以利用这些漏洞完全接管帐户并破坏整个开发基础设施。 GitLab发布了紧急补丁版本 18.0.2、17.11.4 和 17.10.8，以解决十个不同的安全漏洞，其中一些漏洞的 CVSS
继续阅读内网对抗-横向移动手法大全
内网对抗-横向移动手法大全 MeteorKai 乌雲安全 2025-06-13 00:31 原文首发在：先知社区 https://xz.aliyun.com/news/18020 收集到域内用户和凭据后，为后续利用各种协议密码喷射通讯上线提供条件。这里注意域内域外是有差异的。 我们需要判断当前获得的权限是域内的还是域外的，如一个计算机有两个角色，一个是Meteor_Kai，对应域外用户，一个是we
继续阅读SAP 2025年6月安全补丁日修复关键NetWeaver漏洞
SAP 2025年6月安全补丁日修复关键NetWeaver漏洞 鹏鹏同学 黑猫安全 2025-06-12 01:20 SAP 2025年6月安全补丁修复了关键NetWeaver漏洞（编号CVE-2025-42989，CVSS评分9.6），该漏洞可能导致攻击者绕过授权检查并提升权限。 根据安全公告显示：”RFC入站处理未对认证用户执行必要的授权检查，导致权限提升。成功利用此漏洞将严重影响
继续阅读深度剖析JSONP注入漏洞：JavaScript回调函数引发的会话弹窗劫持
深度剖析JSONP注入漏洞：JavaScript回调函数引发的会话弹窗劫持 tangkaixing 开心网安 2025-06-12 00:58 免责声明 由于传播、利用本公众号开心网安所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，公众号开心网安 及作者不为此 承担任何责任，一旦造成后果请自行承担！如有侵权烦请告知，我们会立即删除并致歉，谢谢！ 1 概述 在Web应用安全领域
继续阅读撕掉“银狐们”的“隐身衣”：黑产猎人，上线！
撕掉“银狐们”的“隐身衣”：黑产猎人，上线！ 原创 ThreatBook 微步在线 2025-06-12 00:29 当“银狐”变种通过企业微信群发“税务稽查通知”，当医疗机构员工点开伪造的”2025医保结算单更新程序“……如今越来越多企业人员正成为黑产猖狂攻击企业的跳板。而面对技术快速迭代的黑产，企业传统安全防线约等于零防护。 为避免被检测到，黑产团伙从“社工伪装”，到“
继续阅读漏洞挖掘—EDU SRC证书站漏洞挖掘记录（2）
漏洞挖掘—EDU SRC证书站漏洞挖掘记录（2） 原创 haosha 网安日记本 2025-06-11 23:01 免责声明：请勿利用文章内的相关技术从事非法测试，由于传播、利用此文所提供的信息或者工具而造成的任何直接或者间接的后果及损失，均由使用者本人负责，所产生的一切不良后果与文章作者无关。该文章仅供学习用途使用。 前言 最近工作有些忙，又是好久没有更新了，前端时间EDU SRC新上了一个证书
继续阅读一个$1,337的漏洞
一个$1,337的漏洞 迪哥讲事 2025-06-11 12:30 声明：文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由用户承担全部法律及连带责任，文章作者不承担任何法律及连带责任。 ****# 防走失：https://gugesay.com/archives/4434 **不想错过任何消息？设置星标↓ ↓ ↓ 前言 几个月前，国外白帽小哥在浏览器上禁用
继续阅读某次攻防演练中通过一个弱口令干穿内网
某次攻防演练中通过一个弱口令干穿内网 点击关注👉 马哥网络安全 2025-06-11 09:01 0x1 前言 因为单位过于敏感，所以本文图片将会严格打码以及重要部分仅用文字叙述，避免出现隐私泄露的情况 0x2 外网突破 在裁判下发的资产名单中发现了事业单位的名字，通过鹰图、quake、fofa等空间搜索引擎去搜索资产，结果自然是成功搜索到无数资产一点没有，都是假的 根本找不到对应单位的资产，我都
继续阅读信息安全漏洞周报（2025年第23期）
信息安全漏洞周报（2025年第23期） 原创 CNNVD CNNVD安全动态 2025-06-11 02:59 点击蓝字 关注我们 漏洞情况 根据国家信息安全漏洞库（CNNVD）统计，本周（2025年6月2日至2025年6月8日）安全漏洞情况如下： 公开漏洞情况 本周CNNVD采集安全漏洞854个。 接报漏洞情况 本周CNNVD接报漏洞7280个，其中信息技术产品漏洞（通用型漏洞）272个，网络信
继续阅读等保测评十大高频漏洞：SQL 注入竟不是第一名？
等保测评十大高频漏洞：SQL 注入竟不是第一名？ 原创 牛叫瘦 HACK之道 2025-06-11 02:34 在网络安全领域，等保测评（网络安全等级保护测评）是企业和机构确保信息系统合规性与安全性的重要手段。随着网络攻击技术的不断演进，传统认知中的 “高危漏洞之王” SQL 注入，在近年的等保测评中已不再稳居榜首。这一变化不仅反映了安全防护技术的进步，也揭示了新型攻击手段的崛起。本文将基于最新等
继续阅读实战讲解 Java代码审计之 FreeMarker模版注入漏洞
实战讲解 Java代码审计之 FreeMarker模版注入漏洞 闪石星曜CyberSecurity 2025-06-10 08:38 本篇为代码审计系列SSTI服务器端模板注入漏洞理论篇-FreeMarker第八篇，看完本篇你将掌握关于FreeMarker模版注入漏洞的代码视角原理剖析、基础挖掘漏洞核心能力，看完如有技术错误欢迎评论区指正。 文章引用了FreeMarker官方介绍：http://f
继续阅读SRC 漏洞挖掘中的绕过 WAF 技巧
SRC 漏洞挖掘中的绕过 WAF 技巧 原创 GhostShell 乌雲安全 2025-06-10 01:51 在 SRC 漏洞挖掘中，WAF是挖掘者面临的一大障碍。WAF 能够检测和阻止常见的攻击请求，但挖掘者可通过特定技巧绕过它，下面介绍几种常见的绕过 WAF 技巧。 一、基于正则表达式的绕过 WAF 通常使用正则表达式来匹配和过滤恶意请求。挖掘者可通过修改 payload 的大小写、使用编码
继续阅读信息安全漏洞月报（2025年5月）
信息安全漏洞月报（2025年5月） 原创 CNNVD CNNVD安全动态 2025-06-10 01:10 点击蓝字 关注我们 漏洞态势 根据国家信息安全漏洞库（CNNVD）统计，2025年5月采集安全漏洞共3984个。 本月接报漏洞1238个，其中信息技术产品漏洞（通用型漏洞）1127个，网络信息系统漏洞（事件型漏洞）111个。漏洞平台推送漏洞35083个。 重大漏洞通报 Fortinet多款产
继续阅读漏洞赏金工具 v1.0
漏洞赏金工具 v1.0 ctkqiang 菜鸟学信安 2025-06-10 00:30 工具介绍 漏洞赏金工具是一款专为安全研究人员和白帽子黑客设计的图形化渗透测试工具集。它集成了多个常用的安全测试工具，提供了直观的用户界面，让漏洞挖掘变得更加简单和高效。 功能演示 主界面 主要特性 美观的图形界面 支持多种主题切换（超级英雄风、赛博朋克、暗黑模式等） 实时日志输出展示 简洁直观的工具选择界面 集
继续阅读直播预告 | “银狐”拉群，为什么防不住？
直播预告 | “银狐”拉群，为什么防不住？ 微步在线 2025-06-10 00:29 最近银狐拉群投毒实在太凶了 从几十人小群到近万人大群 让人感到心力交瘁 6月13日下午3:00 有一场 【 1 小时 】 的闭门直播 聊聊银狐的“防不住”和“怎么防” 报 名 通 道 银狐是一类特定木马吗？貌似不是 最多一天有 数百个 新变种 杀软 快马加鞭 也追不上它的脚步 是特定的黑产团伙吗？貌似也不是 至
继续阅读记一次实战日穿整个系统getshell-共九个漏洞
记一次实战日穿整个系统getshell-共九个漏洞 原创 猎洞时刻 猎洞时刻 2025-06-09 12:12 免责声明 本课程旨在培养具备合法合规网络安全技能的白帽子安全研究人员，专注于网络安全漏洞挖掘与防护技术。任何参与本课程的学员，均需承诺遵守国家法律法规，严格遵守网络安全行业的道德规范。 严禁黑灰产及违法行为：本课程严禁任何从事黑
继续阅读每周网安资讯 （6.4-6.9）| APT组织利用PathWiper恶意软件针对乌克兰关键基础设施
每周网安资讯 （6.4-6.9）| APT组织利用PathWiper恶意软件针对乌克兰关键基础设施 交大捷普 2025-06-09 10:10 2025[ 每周网安资讯 ]6.4-6.9 网安资讯 1、中国人民银行发布《中国人民银行业务领域网络安全事件报告管理办法》 为进一步规范涉及货币信贷、宏观审慎、跨境人民币、银行间市场、金融业综合统计、支付清算、人民币发行流通、经理国库、征信和信用评级、反洗
继续阅读CNVD漏洞周报2025年第21期
CNVD漏洞周报2025年第21期 原创 CNVD CNVD漏洞平台 2025-06-09 09:41 2 0 2 5 年 06 月02日 – 2 0 2 5 年 0 6 月08 日 本周漏洞态势研判情况 本 周 信 息 安 全 漏 洞 威 胁 整 体 评 价 级 别 为 中。 国家信息安全漏 洞共享平台（以下简称CNVD）本周共收集、整理信息安全漏洞488个，其中高危漏洞219个、中
继续阅读网络安全攻防：别再傻傻地等漏洞，主动出击，从JS里挖金矿！
网络安全攻防：别再傻傻地等漏洞，主动出击，从JS里挖金矿！ 龙哥网络安全 龙哥网络安全 2025-06-09 07:30 作者：奇安信攻防社区（中铁13层打工人？也许是深藏不露的扫地僧！） 原文链接？太规矩了！直接搜标题，找不到算我输！ 还在对着WAF日志发呆？还在指望扫描器给你惊喜？醒醒吧！真正的网络安全，是主动出击，是抽丝剥茧，是从看似平静的前端代码里，挖掘出足以撼动整个系统的漏洞！今天，咱们
继续阅读突破常规！文件上传漏洞的6大隐蔽攻击面（多个高危场景剖析）|挖洞技巧
突破常规！文件上传漏洞的6大隐蔽攻击面（多个高危场景剖析）|挖洞技巧 黑白之道 2025-06-09 01:54 0x01 前言 本文系统梳理文件上传相关漏洞挖掘思路，从下载、读取、上传到导出，覆盖各类攻击场景，帮助安全研究者快速定位并利用这些漏洞，包括任意文件读取、路径穿越、XXE等高危场景，并提供实用的测试方法和绕过技巧。 参考文章： https://xz.aliyun.com/news/18
继续阅读