越来越多的黑客利用defi漏洞窃取加密货币
越来越多的黑客利用defi漏洞窃取加密货币 ang010ela 嘶吼专业版 2022-08-31 12:05 根据Chainalysis数据，2022年第1季度，DeFi加密货币平台频繁成为黑客攻击的目标。2021年，约有25%从DeFi平台窃取的加密货币之后返回给了受害者，而今年没有一起从DeFi窃取的资金返回的案例。 图 加密货币窃取总体情况 根据CertiK的数据，从今年以来，5大跨链平台受
继续阅读标签： 复现
【技术干货】VMware 系列产品之身份验证绕过和JDBC注入漏洞分析
【技术干货】VMware 系列产品之身份验证绕过和JDBC注入漏洞分析 星阑科技 2022-08-29 16:09 xxhzz @PortalLab实验室 前言 在此前分析了CVE-2022-22972 VMware Workspace ONE Access和CVE-2022-22954 VMware Workspace ONE Access SSTI RCE之后，发现当时的安全公告中同时披露了
继续阅读原创Paper | Cisco RV340 wfapp 命令注入漏洞（CVE-2022-20827）分析
原创Paper | Cisco RV340 wfapp 命令注入漏洞（CVE-2022-20827）分析 原创 404实验室 知道创宇404实验室 2022-08-29 09:50 作者：Rivaille@知道创宇404实验室日期：2022年8月29日 漏洞原理 这个漏洞是cisco RV340 和cisco RV160 系列中存在的一个命令注入漏洞，命令注入发生在wfapp 中，漏洞原理如下。
继续阅读GitLab修复了CE、EE版本中一个远程代码执行漏洞
GitLab修复了CE、EE版本中一个远程代码执行漏洞 网络安全应急技术国家工程中心 2022-08-26 15:01 近期，Security Affairs 网站披露，DevOps 平台 GitLab 修复了其社区版(CE)和企业版(EE)中出现的一个关键远程代码执行漏洞，该漏洞被追踪为 CVE-2022-2884(CVSS 评分 9.9)。 据悉，攻击者经过“身份验证”后，可以通过 GitHu
继续阅读GitLab存在严重漏洞，允许通过Github导入实现远程命令执行
GitLab存在严重漏洞，允许通过Github导入实现远程命令执行 看雪学苑 看雪学苑 2022-08-25 18:02 本周一，GitLab发布了其社区版（CE）和企业版（EE）的15.3.1、15.2.3、15.1.5版本，其中包含重要的安全修复程序。 在公告中，GitLab强烈建议用户立即将其GitLab升级到这些版本之一，因GitLab CE/EE中存在一个高危漏洞。 GitLab是一个使
继续阅读2022上半年XIoT安全态势-XIoT环境下信息物理系统的漏洞披露和补救措施
2022上半年XIoT安全态势-XIoT环境下信息物理系统的漏洞披露和补救措施 关键基础设施安全应急响应中心 2022-08-25 15:43 工业网络安全公司Claroty当地时间24日透露，物联网漏洞、供应商自我披露以及完全或部分修复的固件漏洞有所增加。该公司分析了今年前六个月影响扩展物联网(XIoT)环境的漏洞披露和补救措施。它指出，要评估这些关键部门的风险，决策者必须对脆弱性环境有一个完整
继续阅读推特前安全主管控诉存在“令人震惊”的安全漏洞
推特前安全主管控诉存在“令人震惊”的安全漏洞 关键基础设施安全应急响应中心 2022-08-25 15:43 据《华盛顿邮报》 8月23日报道，推特前安全主管Peiter Zatko向美国证券交易委员会(SEC)、联邦贸易委员会(FTC)和司法部提交了一封举报文件。在文件中，Zatko控诉推特在安全实践中存在“令人震惊的”漏洞，在安全、隐私和内容审核方面存在“严重缺陷”。他还认为，推特高管在联邦监
继续阅读【技术干货】CVE-2022-0540 Jira身份验证绕过漏洞分析
【技术干货】CVE-2022-0540 Jira身份验证绕过漏洞分析 星阑科技 2022-08-25 11:07 xxhzz @PortalLab实验室 前言 在上篇分析CVE-2022-26135Atlassian Jira Mobile Plugin SSRF漏洞 之后，发现在此之前，jira也曾爆出过身份验证绕过漏洞，CVE编号为cve-2022-0540。趁着环境还热乎，对其产生的原理和代
继续阅读GitLab远程代码执行漏洞 (CVE-2022-2884) 安全风险通告
GitLab远程代码执行漏洞 (CVE-2022-2884) 安全风险通告 安全内参 2022-08-24 19:07 近日，奇安信CERT监测到GitLab官方发布GitLab远程代码执行漏洞(CVE-2022-2884)通告，经过身份认证的远程攻击者可通过GitHub导入功能实现远程代码执行。鉴于此漏洞影响范围较大，建议客户尽快做好自查及防护。 漏洞名称 GitLab 远程代码执行漏洞 公开时
继续阅读2022最危险的五个API安全漏洞
2022最危险的五个API安全漏洞 关键基础设施安全应急响应中心 2022-08-24 14:56 API安全漏洞仍然是企业的眼中钉，访问控制漏洞几乎成了高危漏洞的代名词。 API作为系统功能之间的关键通信方法，在网络服务中扮演着关键作用，已经成为网络攻击的热门目标。 根据API安全公司Wallarm最新发布的“2022年一季度API漏洞”报告，第一季度共发现并报告了48个与API相关的漏洞(下图
继续阅读SourceGuardian代码混淆的还原分析
SourceGuardian代码混淆的还原分析 原创 数据安全实验室 山石网科安全技术研究院 2022-08-24 10:09 1. 前 言 最近无意中拿了两套源码，刚想审计时发现控制器等主逻辑文件做了混淆，内容如： 图 1 混淆代码 简单尝试后发现我解混淆的能力不足以解开这串东西，于是简单搜索了一些关键字，如sg_load 这个函数，会发现这种混淆是一个名为 SourceGuardian 的
继续阅读上周关注度较高的产品安全漏洞(20220815-20220821)
上周关注度较高的产品安全漏洞(20220815-20220821) 国家互联网应急中心CNCERT 2022-08-22 16:46 一、境外厂商产品漏洞 1、SAP BusinessObjects Business Intelligence Platform授权问题漏洞 SAP BusinessObjects Business Intelligence Platform是德国思爱普（SAP）公司
继续阅读雷神众测漏洞周报2022.8.15-2022.8.21
雷神众测漏洞周报2022.8.15-2022.8.21 原创 雷神众测 雷神众测 2022-08-22 15:51 声明 以下内容，均摘自于互联网，由于传播，利用此文所提供的信息而造成的任何直接或间接的后果和损失，均由使用者本人负责，雷神众测以及文章作者不承担任何责任。雷神众测拥有该文章的修改和解释权。如欲转载或传播此文章，必须保证此文章的副本，包括版权声明等全部内容。声明雷神众测允许，不得任意修
继续阅读谷歌修复今年第五个Chrome 0day
谷歌修复今年第五个Chrome 0day Eduard Kovacs 代码卫士 2022-08-18 19:01 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 谷歌发布Chrome 104更新，修复了11个漏洞，其中包含一个已遭利用的0day。 该漏洞编号为CVE-2022-2856，是和在Intents 组件中不受信任输入的验证不充分有关的一个高危漏洞。 虽然谷歌并未共享关于该攻击的任何
继续阅读【安全圈】新谷歌 Chrome 零日漏洞已遭在野利用
【安全圈】新谷歌 Chrome 零日漏洞已遭在野利用 安全圈 2022-08-18 16:47 关键词 谷歌 谷歌周二推出了适用于桌面的Chrome浏览器补丁，来解决在野外积极利用的高严重性零日漏洞。 跟踪为CVE-2022-2856，该漏洞是关于对Intents中不可信输入验证不足的情况。安全研究人员Ashley Shen和谷歌威胁分析集团的Christian Resell于2022年7月19日
继续阅读Realtek爆出关键漏洞，影响多款网络设备
Realtek爆出关键漏洞，影响多款网络设备 关键基础设施安全应急响应中心 2022-08-18 14:39 Bleeping Computer 网站披露，Realtek 爆出严重漏洞，该漏洞影响到数百万台采用 Realtek RTL819x 系统芯片(SoC)的网络设备。 该漏洞被追踪为 CVE-2022-27255，远程攻击者可以利用其破坏来自各种原始设备制造商 (OEM) 的易受攻击设备。
继续阅读Google Chrome 代码执行漏洞安全风险通告
Google Chrome 代码执行漏洞安全风险通告 原创 QAX CERT 奇安信 CERT 2022-08-17 20:33 奇安信CERT 致力于 第一时间 为企业级用户提供安全风险 通告 和 有效 解决方案。 安全通告 近日，奇安信CERT监测到Google Chrome官方发布安全通告，其中包括Google Chrome 代码执行漏洞(CVE-2022-2856)，由于Intents对不
继续阅读专题·漏洞治理 | 面向实战的漏洞运营实践
专题·漏洞治理 | 面向实战的漏洞运营实践 原创 徐春蕾 隋刚 中国信息安全 2022-08-17 19:05 扫码订阅《中国信息安全》杂志 邮发代号 2-786 征订热线：010-82341063 文│知道创宇 徐春蕾 隋刚 漏洞是引发网络安全问题的重要根源之一，具有数量逐年递增、漏洞信息分散、漏洞公布迟缓、实战性漏洞占比小等特点，导致漏洞管理难以在实战中发挥应有的价值。 在漏洞层出不穷、有效信
继续阅读Django SQL注入漏洞分析｜CVE-2022-34265
Django SQL注入漏洞分析｜CVE-2022-34265 原创 应用安全实验室 山石网科安全技术研究院 2022-08-16 10:47 影响范围 Django 3.2.x prior to 3.2.14 Django 4.0.x prior to 4.0.6 漏洞复现 环境搭建 安装Django python -m pip install Django==4.0.2 创建app start
继续阅读Android APP 漏洞之战——WebView 漏洞详解
Android APP 漏洞之战——WebView 漏洞详解 随风而行aa 看雪学苑 2022-08-15 17:59 本文为看雪论坛精华文章 看雪论坛作者ID：随风而行aa 今天我们进入Android APP漏洞之战系列文章中的一个重要篇幅——WebView漏洞，我们都知道在当下App漏洞中，WebView漏洞的占比是十分巨大的，各种类型的漏洞问题层出不穷，这篇文章就带着大家一起揭开WebVie
继续阅读【技术干货】CVE-2022-26135 Atlassian Jira Mobile Plugin SSRF漏洞分析
【技术干货】CVE-2022-26135 Atlassian Jira Mobile Plugin SSRF漏洞分析 星阑科技 2022-08-15 16:47 xxhzz @PortalLab实验室 漏洞描述 6月29日，Atlassian官方发布安全公告，在Atlassian Jira 多款产品中存在服务端请求伪造漏洞(SSRF)，经过身份验证的远程攻击者可通过向Jira Core REST
继续阅读雷神众测漏洞周报2022.8.8-2022.8.14
雷神众测漏洞周报2022.8.8-2022.8.14 原创 雷神众测 雷神众测 2022-08-15 15:00 声明 以下内容，均摘自于互联网，由于传播，利用此文所提供的信息而造成的任何直接或间接的后果和损失，均由使用者本人负责，雷神众测以及文章作者不承担任何责任。雷神众测拥有该文章的修改和解释权。如欲转载或传播此文章，必须保证此文章的副本，包括版权声明等全部内容。声明雷神众测允许，不得任意修改
继续阅读小米手机可信执行环境安全漏洞
小米手机可信执行环境安全漏洞 ang010ela 嘶吼专业版 2022-08-15 12:00 Check Point研究人员小米手机TEE中发现一个安全漏洞。 Check Point 安全研究人员在依赖联发科芯片提供可信执行环境（TEE）进行签名的小米手机中发现一个安全漏洞，攻击者利用该漏洞可以使用第三方没有权限的应用对虚假支付包进行签名。 在小米使用的可信APP格式中发现一个安全漏洞，漏洞C
继续阅读CVE-2018-18708 TENDA缓冲区溢出漏洞
CVE-2018-18708 TENDA缓冲区溢出漏洞 The_Itach1 看雪学苑 2022-08-13 17:59 本文为看雪论坛精华文章 看雪论坛作者ID：The_Itach1 相比于之前的CVE-2018-5767，这个cve影响的路由器挺多，有arm架构，有mips架构的，本次实验的就是一个mips架构的Tenda AC9 US_AC9V3.0RTL_V15.03.06.42_mult
继续阅读使用AFL++复现历史CVE
使用AFL++复现历史CVE Azyka 看雪学苑 2022-08-12 19:07 本文为看雪论坛优秀文章 看雪论坛作者ID：Azyka 这是我做Fuzzing101的一些笔记，通过复现CVE的方式熟悉AFL++的基本使用方式，过程对我这样的萌新十分友好，同时中间涉及到的代码审计等方面还是值得后续学习的。 Exercise 1 – Xpdf CVE-2019-13288（ https
继续阅读密码学赛题复现：2021-CryptoCTF（三）
密码学赛题复现：2021-CryptoCTF（三） 原创 核心基础实验室 山石网科安全技术研究院 2022-08-12 10:43 Crypto CTF is an online competition for hackers to test, evaluate, and expand their cryptography exploiting skills. In this CTF, we w
继续阅读VMware vRealize Operations多个漏洞安全风险通告
VMware vRealize Operations多个漏洞安全风险通告 安全内参 2022-08-11 19:42 近日，奇安信CERT监测到VMware官方发布VMware vRealize Operations多个漏洞安全通告，其中包括： VMware vRealize Operations身份验证绕过漏洞(CVE-2022-31675)； VMware vRealize Operation
继续阅读【安全圈】黑客利用域名开放重导向漏洞，发送骗取M365凭证的信件
【安全圈】黑客利用域名开放重导向漏洞，发送骗取M365凭证的信件 安全圈 2022-08-11 16:00 关键词 open redirect 安全厂商发现，黑客利用美国运通（American Express）及Snapchat域名的开放重导向（open redirect）漏洞，发送以骗取用户帐密为目的的钓鱼信件。 重导向（redirect）是将用户从其目的地网站引导到另一网站。最主要用途是利用广
继续阅读DrayTek 路由器爆远程代码执行漏洞
DrayTek 路由器爆远程代码执行漏洞 关键基础设施安全应急响应中心 2022-08-11 15:39 DrayTek 路由器远程代码执行漏洞，CVSS评分10分。 DrayTek是一家位于中国台湾的网络设备制造商，其生产的设备主要包括路由器、交换机、防火墙以及VPN设备等。Trellix Threat实验室研究人员在DrayTek Vigor 3910路由器中发现了一个非认证远程代码执行漏洞，
继续阅读密码学赛题复现：2021-CryptoCTF（二）
密码学赛题复现：2021-CryptoCTF（二） 原创 核心基础实验室 山石网科安全技术研究院 2022-08-11 10:30 Crypto CTF is an online competition for hackers to test, evaluate, and expand their cryptography exploiting skills. In this CTF, we wi
继续阅读