标签： 暴力破解

独家洞察｜Mallox勒索团伙疑似继续利用产品漏洞攻击投毒国内数百个资产

发布于 作者:

独家洞察｜Mallox勒索团伙疑似继续利用产品漏洞攻击投毒国内数百个资产 运营保障部 中国电信安全 2025-05-28 01:14 2025年2月至5月，中国电信安全公司·MSSP团队及华南区域中心发现，境外高级勒索团伙疑似利用20多款产品的漏洞攻击中国境内数据中心、外贸、教育、医疗及物业管理等行业，涉及数百个企业/部门。 根据多个事件现场排查及全网风险态势分析，多数失陷资产遭勒索木马快速加密数

继续阅读

办公平台存在安全漏洞！某国有企业违反《网络安全法》被处罚

发布于 作者:

办公平台存在安全漏洞！某国有企业违反《网络安全法》被处罚 网信贵港 祺印说信安 2025-05-27 16:01 2025年5月23日，据网信贵港报道：近日，贵港市网信办在工作中发现，我市某国有企业未履行网络安全保护义务，引发网络安全事件。 现将该起案例公布如下： 近期，我市 某国有企业内部办公平台存在安全漏洞，被黑客攻击植入木马，引发网络安全事件。 经查，该企业未依法采取防范计算机病毒和网络攻击

继续阅读

关键基础设施遭受攻击：漏洞成为黑客首选武器

发布于 作者:

关键基础设施遭受攻击：漏洞成为黑客首选武器 数世咨询 2025-05-26 08:00 黑客越来越多地利用漏洞来入侵关键基础设施系统 。IBM X-Force 的数据显示，去年其响应的安全事件中，70%发生在关键基础设施领域，其中超过四分之一是通过漏洞利用实现的。 IBM X-Force 战略威胁分析经理 Michelle Alvarez 表示：“过去一年，我们观察到攻击手段持续转向身份攻击，尤其

继续阅读

某医院小程序系统存在水平越权漏洞被约谈

发布于 作者:

某医院小程序系统存在水平越权漏洞被约谈 网信重庆 祺印说信安 2025-05-25 16:00 2025年5月15日，据网信重庆报道： 近日，在市网信办指导下，重庆高新区网信办联合重庆高新区公安分局 、公共服务局 依法对属地某医院履行网络安全主体责任不到位的行为开展约谈。 经网络安全日常巡查，属地某医院小程序系统存在水平越权漏洞等网络安全问题，该漏洞存在患者敏感数据泄漏风险。重庆高新区网信办高度重

继续阅读

漏洞挖掘 | 简单的弱口令到垂直越权思路分享

发布于 作者:

漏洞挖掘 | 简单的弱口令到垂直越权思路分享 C4安全团队 2025-05-25 12:36 0x1 信息收集+弱口令登录 这里我先拿到这个网站，一看到登录框那么首先肯定想到的是弱口令登录，可以先通过最常见的admin:123456、admin:admin、admin:admin123等最常见的弱口令去尝试下，或者还有就是可以通过sql注入的万能密码 admin’or’1&

继续阅读

汉堡王备份系统RCE漏洞被4000美元售卖

发布于 作者:

汉堡王备份系统RCE漏洞被4000美元售卖 祺印说信安 2025-05-25 08:51 针对全球最大快餐连锁店之一的网络安全威胁已经出现，名为#LongNight 的威胁行为者以4000 美元的价格出售对西班牙汉堡王备份基础设施的远程代码执行 (RCE) 访问权限。 该漏洞专门针对该公司的 AhsayCBS 备份系统，这是其数据管理基础设施的关键组件，负责处理跨多个存储平台的敏感公司信息。 Ah

继续阅读

Linux内核漏洞利用CVE-2025-21756：Vsock 攻击

发布于 作者:

Linux内核漏洞利用CVE-2025-21756：Vsock 攻击 Ots安全 2025-05-24 08:50 w 文章讲的是Linux内核的一个漏洞，CVE-2025-21756，名字还挺酷，叫“Attack of the Vsock”。这个漏洞其实是个Use-After-Free问题，存在于vsock子系统里，主要是因为引用计数处理得不好，导致攻击者能直接提权到root，拿到系统控制权。作

继续阅读

JWT原理及常见漏洞详解

发布于 作者:

JWT原理及常见漏洞详解 小话安全 小话安全 2025-05-22 11:11 一、JWT原理 JSON Web Token（JWT）是一种开放标准（RFC 7519），用于在各方之间安全地传输信息。它通常用于身份验证（Authentication）和授权（Authorization），特别是在分布式系统和无状态服务中。以下是其核心原理和组成部分的详细介绍： 1. JWT 的组成 JWT 由三部分

继续阅读

域0day容易利用吗

发布于 作者:

域0day容易利用吗 蚁景网络安全 2025-05-22 09:54 前言 很久以前的一个例子了 kerberos认证原理 先了解几个概念 认证服务(Authentication server）:简称AS,认证客户端身份提供认证服务。 域控服务器(Domain Control）:即DC。 服务票据(Server Ticket):简称ST，在Kerberos认证中，客户端请求的服务通过ST票据认证。

继续阅读

【AI漏洞预警】Infiniflow Ragflow账户接管漏洞CVE-2025-48187

发布于 作者:

【AI漏洞预警】Infiniflow Ragflow账户接管漏洞CVE-2025-48187 cexlife 飓风网络安全 2025-05-20 15:08 漏洞描述: RAGFlow是由InfiniFlow开发的开源RAG（检索增强生成）引擎,专注于对文档的深入理解,旨在为各类企业提供高效、可扩展的问答系统解决方案,版本0.18.1及更早版本容易受到帐户接管缺陷的影响,该漏洞允许攻击者暴力破解电

继续阅读

逻辑漏洞中一些自己总结关于验证码的漏洞挖掘

发布于 作者:

逻辑漏洞中一些自己总结关于验证码的漏洞挖掘 迪哥讲事 2025-05-19 12:35 0x01 短信轰炸 通过抓取发送短信的数据包，然后可以把该数据包一直重放达到无限制的去发送短信或者是邮件 绕过方法 程序员可能会对发送验证码做一定的限制，但是由于考虑不周全还是可以被绕过 在”phone”字段前后添加字符绕过 +86  //在前面添加 tab %20 + 字母 … C

继续阅读

黑客眼中的NFC：Mifare安全漏洞大揭秘

发布于 作者:

黑客眼中的NFC：Mifare安全漏洞大揭秘 原创 T10Ng7_7 山石网科安全技术研究院 2025-05-19 08:46 你以为手中的门禁卡安全无虞？黑客告诉你，Mifare系统的漏洞可能让你的隐私和安全暴露无遗！ 如今，NFC（近场通信）技术已经广泛应用于我们的生活，从门禁卡到公共交通卡，再到各种会员卡，Mifare作为其中的重要品牌，被广泛认为是安全可靠的解决方案。然而，黑客们却发现了隐

继续阅读

漏洞研究(9)：XXL-JOB调度中心后台任务执行SSRF漏洞 CVE-2024-24113

发布于 作者:

漏洞研究(9)：XXL-JOB调度中心后台任务执行SSRF漏洞 CVE-2024-24113 原创 罗锦海 OneMoreThink 2025-05-18 16:00 组件介绍 原理与危害 影响版本 利用方式 加固措施（单选） 5.1 修改默认口令 5.2 限制端口访问 1. 组件介绍 XXL-JOB是一个分布式任务调度 平台，分为调度中心和执行器两部分。 在调度中心添加执行器后，调度中心可以对执

继续阅读

Windows NTLM 哈希泄漏漏洞被利用来针对政府进行网络钓鱼攻击

发布于 作者:

Windows NTLM 哈希泄漏漏洞被利用来针对政府进行网络钓鱼攻击 Rhinoer 犀牛安全 2025-05-18 16:00 Windows 中存在一个漏洞，它会利用 .library-ms 文件暴露 NTLM 哈希值，而黑客现在正积极利用该漏洞，在针对政府实体和私营公司的网络钓鱼活动中利用该漏洞。 该漏洞编号为CVE-2025-24054 ，已于微软2025 年 3 月补丁星期二发布后修复

继续阅读

重生HW之利用邮箱漏洞寻找突破口打穿目标内网

发布于 作者:

重生HW之利用邮箱漏洞寻找突破口打穿目标内网 sec0nd安全 2025-05-18 15:15 扫码领资料 获网安教程 本文由掌控安全学院 –  flysheep 投稿 来Track安全社区投稿~ 千元稿费！还有保底奖励~（ https://bbs.zkaq.cn） 小编寄语：来看看一线红队打HW的骚操作，tql佬!!!! 由于传播、利用此文所提供的信息而造成的任何直接或者间接的后果

继续阅读

漏洞研究(8)：XXL-JOB调度中心后台日志查看SSRF漏洞 CVE-2022-43183

发布于 作者:

漏洞研究(8)：XXL-JOB调度中心后台日志查看SSRF漏洞 CVE-2022-43183 原创 罗锦海 OneMoreThink 2025-05-16 16:00 组件介绍 原理与危害 影响版本 利用方式 加固措施 修改默认口令 限制端口访问 升级至安全版本 1. 组件介绍 XXL-JOB是一个分布式任务调度 平台，分为调度中心和执行器两部分。 在调度中心添加执行器后，调度中心可以对执行器进行

继续阅读

WEB漏洞扫描器Invicti-Professional-V25.5（自动化爬虫漏洞扫描）更新

发布于 作者:

WEB漏洞扫描器Invicti-Professional-V25.5（自动化爬虫漏洞扫描）更新 原创 城北 渗透安全HackTwo 2025-05-15 16:01 前言 Invicti 专业 Web 应用程序安全扫描器 自动、极其准确且易于使用的 Web 应用程序安全扫描程序，可自动查找网站、Web 应用程序和 Web 服务中的安全漏洞。 Invicti Professional Edition

继续阅读

工具推荐 | 最新开源若依Vue漏洞检测工具

发布于 作者:

工具推荐 | 最新开源若依Vue漏洞检测工具 kk12-30 星落安全团队 2025-05-14 16:01 点击上方 蓝字 关注我们 现在只对常读和星标的公众号才展示大图推送，建议大家能把 星落安全团队 “ 设为星标 ”， 否则可能就看不到了啦 ！ 工具介绍 Ruoyi-Vue-Tools 由开发者 kk12-30 基于 Python 开发的若依 Vue 框架漏洞检测工具 关键特性 技术栈 开发

继续阅读

3个月测一站！漏洞挖掘纯享版

发布于 作者:

3个月测一站！漏洞挖掘纯享版 蚁景网安 2025-05-14 08:30 好久前偶遇一个站点，前前后后大概挖了三个月才基本测试完毕，出了好多漏洞，也有不少高危，现在对部分高危漏洞进行总结分析。 nday进后台： 开局一个登录框： 通过熊猫头插件提取接口，并结合js分析，跑遍了提取到的路径也没有结果。尝试弱口令登录，但是由于连用户名提示都没有，也以失败告终。最后根据页面title关键字搜索找到该平台

继续阅读

漏洞挖掘—利用查询功能获取敏感信息

发布于 作者:

漏洞挖掘—利用查询功能获取敏感信息 原创 haosha 网安日记本 2025-05-14 06:01 免责声明：请勿利用文章内的相关技术从事非法测试，由于传播、利用此文所提供的信息或者工具而造成的任何直接或者间接的后果及损失，均由使用者本人负责，所产生的一切不良后果与文章作者无关。该文章仅供学习用途使用。 前言 上次更新之后说要做到周更， 原本这次是想更新一次通杀思路的，但确实漏洞都还没有审核完成

继续阅读

多个未授权漏洞深度利用实战

发布于 作者:

多个未授权漏洞深度利用实战 原创 锐鉴安全 锐鉴安全 2025-05-11 23:21 声明：请勿利用文章内的相关技术从事非法测试，由于传播、利用此文所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，作者不为此承担任何责任。 关注公众号，设置为星标， 不定期有宠粉福利 Part-01 背景 日常开展Src测试，通过目录扫描发现swagger文档泄露，进一步利用，发现弱口令、数据

继续阅读

从靶场到实战：某双一流高校多个高危漏洞

发布于 作者:

从靶场到实战：某双一流高校多个高危漏洞 蚁景网安 2025-05-09 08:30 本文结合其它用户案例分析讲解挖掘某双一流站点的过程，包含日志泄露漏洞深入利用失败，到不弱的弱口令字典进入后台，再到最后偶遇一个貌似只在靶场遇到过的高危漏洞。 信息搜集： Web站点的话从域名，ip等入手范围太大了，于是决定直接从小程序入手。 微信搜索学校名称，便直接可以通过公众号，小程序寻找目标。这里注意如果你要挖

继续阅读

常见的信息泄露漏洞挖掘（第二部分）

发布于 作者:

常见的信息泄露漏洞挖掘（第二部分） 原创 LA安全 LA安全实验室 2025-05-09 01:02 哈喽，各位大佬们！ 上次的信息泄露漏洞文章被各位点赞，我感动得差点把键盘敲出火星子🔥！为了报答大家的厚爱，我写出了第二弹——这次可是干货满满（其实漏洞很好挖掘），包教包会，学不会算我输！ PS： 文末送小工具，手快有，手慢无哦～ 报错页面信息泄漏 这个就是咱们在正常测试的时候，通过输入一些特殊的字

继续阅读

实战中踩过的坑：我是如何用Ingram搞定摄像头漏洞扫描的

发布于 作者:

实战中踩过的坑：我是如何用Ingram搞定摄像头漏洞扫描的 原创 子午猫 网络侦查研究院 2025-05-09 01:00 去年冬天参与某关键信息基础设施保卫战（HVV行动）时，我盯着Excel表格里密密麻麻的2000多个网络摄像头IP犯了难。这些设备来自海康、大华、宇视、DLink等多个品牌，既有部署在老旧厂区的传统安防设备，也有新上线的智能摄像头。甲方要求72小时内完成漏洞排查，手动逐个验证显

继续阅读

Rscan自动化扫描利器，指纹识别更精准，漏洞扫描更全面|漏洞探测

发布于 作者:

Rscan自动化扫描利器，指纹识别更精准，漏洞扫描更全面|漏洞探测 CRlife 渗透安全HackTwo 2025-05-08 16:00 0x01 工具介绍内网常见的工具fscan想必再也熟悉不过，但是发现一些企业内网中用市面一些工具已经很难达到预期效果，要么是出洞率太低，要么是效率太低，拿fscan为例，内置漏洞插件已经长时间没更新，指纹识别成功率太低，导致错过很多已有漏洞，面对企业大量内网资

继续阅读

出洞如此简单！一次轻松的小程序漏洞挖掘

发布于 作者:

出洞如此简单！一次轻松的小程序漏洞挖掘 sec0nd安全 2025-05-07 04:30 扫码领资料 获网安教程 本文由掌控安全学院 –  zzzxby 投稿 来Track安全社区投稿~ 千元稿费！还有保底奖励~（https://bbs.zkaq.cn） 0x01前言 本文只是记录一次轻松的小程序漏洞挖掘。 0x02漏洞挖掘 小程序一般目标发现都比较随机，直接在小程序搜索小学，中学，

继续阅读

【安全圈】CVE-2025-21756：Linux 内核漏洞如何导致完全 root 权限利用，PoC 发布

发布于 作者:

【安全圈】CVE-2025-21756：Linux 内核漏洞如何导致完全 root 权限利用，PoC 发布 安全圈 2025-05-06 11:03 关键词 Linux 在最近的分析中，安全研究员 Michael Hoefler 揭露了 CVE-2025-21756 的完整细节，这是一个影响 Linux 内核 vsock 子系统的释放后使用 (UAF) 漏洞。最初只是简单的代码调整——修改了几行

继续阅读

多个高危漏洞挖掘实战

发布于 作者:

多个高危漏洞挖掘实战 锐鉴安全 2025-05-06 03:32 声明：请勿利用文章内的相关技术从事非法测试，由于传播、利用此文所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，作者不为此承担任何责任。 关注公众号，设置为星标， 不定期有宠粉福利 0x01 暴力破解 朴实无华的弱口令，我都怀疑是不是交互式蜜罐。 0x02 文件上传 该系统所有文件上传功 能均通过同 一方式进行上

继续阅读