手把手教你审计PHP CMS漏洞 | 某腾CMS漏洞实战案例分析
手把手教你审计PHP CMS漏洞 | 某腾CMS漏洞实战案例分析 原创 C4安全团队运营 Code4th安全团队 2025-02-14 00:05 代码审计是保障Web应用安全的关键环节，但往往被许多开发者和企业忽视。无论是小型的个人网站，还是大型的电商、金融平台，代码的安全性都至关重要。在这个数字化时代，代码漏洞可能直接导致数据泄露、资金损失甚至法律风险，因此，发现并修复代码中的漏洞，是每个开发
继续阅读标签： 文件上传
网安60秒丨文件上传漏洞
网安60秒丨文件上传漏洞 原创 小白学安全 小白学安全 2025-02-13 23:00 无论是社交网站的头像上传，还是论坛的附件分享，只要存在代码设计缺陷，攻击者就能通过这个“入口”轻松控制你的服务器。 01 原理 文件上传漏洞的本质是开发者未对用户上传的文件进行充分的安全校验，导致攻击者可以上传恶意文件并执行。 02 花式绕过 前端校验绕过 修改HTTP请求 黑名单绕过 黑名单机制：禁止上传指
继续阅读Z0SCAN一款基于Python3的主、被动扫描器|漏洞探测
Z0SCAN一款基于Python3的主、被动扫描器|漏洞探测 工具-Cavin小编 渗透安全HackTwo 2025-02-13 16:01 0x01 工具介绍 Z0SCAN是一个基于Python3的主、被动扫描器，旨在进行Web应用安全测试。它支持多种插件，包括SQL注入、XSS、文件上传、目录遍历等漏洞检测，并提供主动和被动扫描方式。Z0SCAN还包含一个MITM代理，用于拦截和分析HTTP/
继续阅读创宇安全智脑 | 网心云设备管理平台未授权访问等130个漏洞可检测
创宇安全智脑 | 网心云设备管理平台未授权访问等130个漏洞可检测 原创 创宇安全智脑 创宇安全智脑 2025-02-13 09:36 创宇安全智脑是基于知道创宇17年来AI+安全大数据在真实攻防场景中的经验积累构建的下一代全场景安全智能算力平台。平台拥有海量真实攻防数据和安全大数据持续生产能力；结合面向多个实战场景的AI智能模型，持续汇聚、萃取和分析，实时输出高精准高价值威胁情报、安全态势、攻防
继续阅读Zer0 Sec团队2025新年首次开班 | 一起解锁技术新高度
Zer0 Sec团队2025新年首次开班 | 一起解锁技术新高度 原创 Syst1m Zer0 sec 2025-02-13 08:50 介绍 【暴躁老哥开课 】第三期红蓝互怼&挖洞速成班！零基础也能白嫖当脚本小子！（战术后仰） ✔️ 课程卖点 ： 👉 手把手教你怎么在甲方爸爸的系统里”合法搞事”（懂的都懂） 👉 新增白嫖级src入门教程！不会挖洞？包教包会 学
继续阅读超1.2万台KerioControl防火墙暴露于远程代码执行漏洞威胁之下
超1.2万台KerioControl防火墙暴露于远程代码执行漏洞威胁之下 汇能云安全 2025-02-13 01:11 2月13日，星期四，您好！中科汇能与您分享信息安全快讯： 01 超1.2万台KerioControl防火墙暴露于远程代码执行漏洞威胁之下 近期，安全研究人员发现，超过1.2万个GFI KerioControl防火墙实例暴露于一个高危的远程代码执行漏洞CVE-2024-52875（
继续阅读拿到了 SpringBoot 开发的系统，该如何代码审计分析漏洞？分享下我的一二三步的思路。
拿到了 SpringBoot 开发的系统，该如何代码审计分析漏洞？分享下我的一二三步的思路。 原创 润霖@闪石星曜 闪石星曜CyberSecurity 2025-02-12 10:19 嗨，大家好，这里是闪石星曜CyberSecurity。 众所周知，Java 语言生态在中大型企业中的使用率居高不下，可谓是如日中天，经久不衰。 使用 SpringBoot 架构来开发的 JavaWeb 系统，更是数
继续阅读Apache Tomcat文件包含漏洞（CVE-2020-1938）处置标准作业程序（SOP）
Apache Tomcat文件包含漏洞（CVE-2020-1938）处置标准作业程序（SOP） 原创 SSS 方桥安全漏洞防治中心 2025-02-12 05:00 01 SOP基本信息 SOP名称：Apache Tomcat文件包含（CVE-2020-1938）漏洞处置SOP 编写日期：2024-8-26 修订日期：2024-8-28 编写人员：SSS（Linux系统管理员） 审核人员：T小组
继续阅读赏金猎人| 我利用文件上传功能利用存储型XSS漏洞导致网站访问者凭证被盗，并因此获得了1000美元的赏金。
赏金猎人| 我利用文件上传功能利用存储型XSS漏洞导致网站访问者凭证被盗，并因此获得了1000美元的赏金。 原创 NightTeam 夜组科技圈 2025-02-12 00:06 公众号现在只对常读和星标的才展示大图推送， 建议大家把 夜组科技圈 设为 星标 ，接收一手资讯！ 各位网络安全研究人员和漏洞猎人，大家好，我时隔很久才发布一篇文章。最近我有点忙，因为我要兼顾大学学业，还要学习一些红队技能
继续阅读漏洞预警 | 灵当CRM任意文件上传和信息泄露漏洞
漏洞预警 | 灵当CRM任意文件上传和信息泄露漏洞 浅安 浅安安全 2025-02-12 00:06 0x00 漏洞编号 – # 暂无 0x01 危险等级 – 高危 0x02 漏洞概述 灵当CRM是一款专为中小企业打造的智能客户关系管理工具。 0x03 漏洞详情 漏洞类型： 任意文件上传 影响： 上传恶意脚本文件 简述： 灵当CRM的/crm/uploaddify/uplo
继续阅读GitHub 上的虚假 LDAPNightmware 漏洞传播信息窃取恶意软件
GitHub 上的虚假 LDAPNightmware 漏洞传播信息窃取恶意软件 Rhinoer 犀牛安全 2025-02-11 16:00 GitHub 上针对 CVE-2024-49113（又名“LDAPNightmare”）的欺骗性概念验证 (PoC) 漏洞利用信息窃取恶意软件感染用户，该恶意软件会将敏感数据泄露到外部 FTP 服务器。 这种策略并不新颖，因为在 GitHub 上已经有多起以
继续阅读【burpsuite靶场-服务端】XXE注入漏洞
【burpsuite靶场-服务端】XXE注入漏洞 原创 underatted 泷羽Sec-underatted安全 2025-02-11 07:42 XML外部实体（XXE）注入 在本节中，我们将解释什么是 XML外部实体注入，描述一些常见的示例，解释如何发现和利用各种 XXE 注入，并总结如何防止 XXE 注入攻击。 1. 什么是XML外部实体注入？ XML外部实体注入（也称为XXE）是一个 W
继续阅读XE组织已从信用卡盗刷转向利用零日漏洞。
XE组织已从信用卡盗刷转向利用零日漏洞。 鹏鹏同学 黑猫安全 2025-02-11 01:35 Intezer和Solis Security的研究人员最近的一项调查揭示了XE组织近期行动的细节。XE组织至少从2013年开始活跃，是一个专注于信用卡盗刷和通过供应链攻击窃取密码的网络犯罪集团。Intezer发布的分析报告指出：“XE组织已从信用卡盗刷转向有针对性的信息窃取，这标志着其行动重点的重大转变
继续阅读.NET 代码审计：发现某企业级 OA 系统中任意文件下载漏洞
.NET 代码审计：发现某企业级 OA 系统中任意文件下载漏洞 原创 专攻.NET安全的 dotNet安全矩阵 2025-02-11 00:21 在企业级OA系统的业务交互过程中，文件上传和下载是常见的功能需求。然而，往往会在实现这些功能时忽视安全性，导致系统可能存在一些安全漏洞，特别是文件下载漏洞。 01. 漏洞代码分析 下面通过对某OA系统代码的审计，详细分析如何发现并利用任意文件下载漏洞，以
继续阅读山西公安“净网2024”专项行动打击网络违法犯罪10起典型案例
山西公安“净网2024”专项行动打击网络违法犯罪10起典型案例 安全学习那些事儿 2025-02-10 23:00 2025年2月10日,据公安部网安局报道：2024年，山西公安机关认真贯彻落实省委省政府和公安部党委决策部署，在厅党委的统一指挥下，深入开展“净网2024”专项行动，聚焦打击整治“网络水军”、网络谣言、网络侵公、网络黑客等危害网络秩序和群众权益的突出违法犯罪，坚持破案件、打团伙、断链
继续阅读富通天下外贸ERPUploadEmailAttr存在任意文件上传漏洞
富通天下外贸ERPUploadEmailAttr存在任意文件上传漏洞 原创 骇客安全 骇客安全 2025-02-10 16:00 四、漏洞复现 POST /JoinfApp/EMail/UploadEmailAttr?name=.ashx HTTP/1.1 Host: User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_7) Appl
继续阅读从数据看风险，从趋势寻策略 | 2024年网络安全漏洞趋势
从数据看风险，从趋势寻策略 | 2024年网络安全漏洞趋势 小V同学 VEDA卫达信息 2025-02-10 05:53 2024年网络安全漏洞趋势 1 漏洞数量持续增长 根据CVE、CNVD、CNNVD的统计数据，2024年漏洞数量持续增长，漏洞的披露频率和暴露的范围不断扩展，主要体现在以下几个方面： （1）全球漏洞总数增加：CVE数据库中的漏洞数量在2024年突破45,000个，相比于2023
继续阅读渗透实战 | 微信小程序EDUSRC渗透漏洞复盘
渗透实战 | 微信小程序EDUSRC渗透漏洞复盘 不秃头的安全 2025-02-09 23:21 微信小程序EDUSRC渗透漏洞复盘 前言：本文中涉及到的相关技术或工具仅限技术研究与讨论， 严禁用于非法用途，否则产生的一切后果自行承担，如有侵权请私聊删除。 还在学怎么挖通用漏洞和src吗？知识星球最后一次优惠，续费也有优惠私聊~~考证请加联系vx咨询 0x1 前言 哈喽，师傅们这次又来给师傅们分享
继续阅读朗速ERP FileUploadApi.ashx 任意文件上传漏洞
朗速ERP FileUploadApi.ashx 任意文件上传漏洞 Superhero nday POC 2025-02-09 08:20 内容仅用于学习交流自查使用，由于传播、利用本公众号所提供的 POC 信息及 POC对应脚本 而造成的任何直接或者间接的后果及损失，均由使用者本人负责，公众号nday poc及作者不为此承担任何责任，一旦造成后果请自行承担！如文章有侵权烦请及时告知，我们会立即删
继续阅读【安全预警】NUUO网络视频录像机upload.php 任意文件上传漏洞
【安全预警】NUUO网络视频录像机upload.php 任意文件上传漏洞 hyuya 安全卫士小帮手 2025-02-08 04:29 来源：微步在线 产商已修复，未更新补丁的请及时更新补丁，验证脚本和方式星球内自取
继续阅读西联软件-移动门店管理系统 StreamToFile 任意文件上传漏洞
西联软件-移动门店管理系统 StreamToFile 任意文件上传漏洞 Superhero nday POC 2025-02-08 03:03 内容仅用于学习交流自查使用，由于传播、利用本公众号所提供的 POC 信息及 POC对应脚本 而造成的任何直接或者间接的后果及损失，均由使用者本人负责，公众号nday poc及作者不为此承担任何责任，一旦造成后果请自行承担！如文章有侵权烦请及时告知，我们会立
继续阅读.NET 通过代码审计发现 ERP 系统中两个任意文件上传漏洞
.NET 通过代码审计发现 ERP 系统中两个任意文件上传漏洞 原创 专攻.NET安全的 dotNet安全矩阵 2025-02-08 01:35 文件上传功能是 Web 应用中非常重要且敏感的部分，如果缺乏完善的安全控制，极易成为攻击者利用的突破口。本文通过对 .NET 某 ERP 系统的两个文件上传功能进行代码审计与漏洞分析，揭示了潜在的任意文件上传风险及其危害。 01. 漏洞代码审计 在渗透测
继续阅读Solr 文件上传路径遍历漏洞（CVE-2024-52012）分析漏洞成因
Solr 文件上传路径遍历漏洞（CVE-2024-52012）分析漏洞成因 原创 安全圈我最菜wu 安全圈我最菜wu 2025-02-07 16:24 该漏洞影响运行于 Windows 系统 的 Solr 实例，核心问题在于其 configset 上传 API 对上传的 ZIP 文件未进行严格的路径合法性校验。攻击者可通过构造包含 相对路径（如 ../ ） 的恶意 ZIP 文件，将文件写入系
继续阅读sqlmap Xplus 基于 sqlmap，对经典的数据库注入漏洞利用工具进行二开！V1.6版本
sqlmap Xplus 基于 sqlmap，对经典的数据库注入漏洞利用工具进行二开！V1.6版本 shine 无影安全实验室 2025-02-07 09:23 免责声明： 本篇文章仅用于技术交流， 请勿利用文章内的相关技术从事非法测试 ， 由于传播、利用本公众号无影安全 实验室所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，公众号无影安全实验室及作者不为此承担任何责任，一旦
继续阅读某渐变头像合成网站系统存在任意文件上传漏洞(RCE)
某渐变头像合成网站系统存在任意文件上传漏洞(RCE) 原创 Mstir 星悦安全 2025-02-07 04:36 点击上方 蓝字 关注我们 并设为 星标 0x00 前言 源码介绍 : 渐变头像合成网站的操作简单便捷，用户只需上传自己的头像，选择喜欢的头像框，点击一键合成即可生成专属定制头像。网站提供了167种不同风格的头像框供选择，用户也可以自己添加素材。生成后的头像可以直接下载保存到手机上，还
继续阅读上周关注度较高的产品安全漏洞(20250120-20250126)
上周关注度较高的产品安全漏洞(20250120-20250126) 中国电信安全 2025-02-07 04:01 一、境外厂商产品漏洞 1、Adobe InDesign越界读取漏洞**** Adobe InDesign是美国奥多比（Adobe）公司的一套排版编辑应用程序。Adobe InDesign存在越界读取漏洞，攻击者可利用该漏洞导致敏感内存泄露。 参考链接： https://www.cnv
继续阅读实战 | 微信小程序EDUSRC渗透漏洞复盘
实战 | 微信小程序EDUSRC渗透漏洞复盘 原创 神农Sec 神农Sec 2025-02-07 02:00 扫码加圈子 获内部资料 网络安全领域各种资源，学习文档，以及工具分享、前沿信息分享、POC、EXP分享。 不定期分享各种好玩的项目及好用的工具，欢迎关注。 0x1 前言 哈喽，师傅们这次又来给师傅们分享下最近的一个漏洞挖掘的一个过程，这次跟着一个师傅学习，然后自己动手去挖，也是学习到了不了
继续阅读01 漏洞从哪里来？——综述
01 漏洞从哪里来？——综述 原创 Richard 方桥安全漏洞防治中心 2025-02-07 00:00 漏洞从哪里来？ 漏洞从每一个你想得到和想不到的地方来。 本系列文章拟从 “设计缺陷、编程习惯、认知局限、体系痼疾（制度化）、视而不见（风险偏好）、引狼入室（供应链）、乌合之众（你没错，我没错，咱俩在一起就是错）、技术进步”等8个方面浅析各种导致安全漏洞的直接原因。姑且称为“八方来洞”。 咱们
继续阅读