标签： 漏洞

雷神众测漏洞周报2024.11.18-2024.11.24

发布于 作者:

雷神众测漏洞周报2024.11.18-2024.11.24 原创 雷神众测 雷神众测 2024-11-25 07:00 摘要 以下内容，均摘自于互联网，由于传播，利用此文所提供的信息而造成的任何直接或间接的后果和损失，均由使用者本人负责，雷神众测以及文章作者不承担任何责任。雷神众测拥有该文章的修改和解释权。如欲转载或传播此文章，必须保证此文章的副本，包括版权声明等全部内容。声明雷神众测允许，不得任

继续阅读

【SQL注入】用友NC process SQL注入漏洞

发布于 作者:

【SQL注入】用友NC process SQL注入漏洞 原创 1ang 小羊安全屋 2024-11-25 06:49 导言 文章仅用作网络安全人员对自己网站、服务器等进行自查检测，不可用于其他用途，未经授权请勿利用文章中的技术资料对任何计算机系统进行入侵操作，由于传播、利用此文所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，作者不为此承担任何责任。切勿用于网络攻击！！！ PA

继续阅读

API攻防 | Web API 安全漏洞挖掘指南！

发布于 作者:

API攻防 | Web API 安全漏洞挖掘指南！ 匿名白帽子 WK安全 2024-11-25 06:40 关注我们丨文末赠书 知名网络安全公司HackerOne发布的《2023年黑客力量安全报告》透露，已有30名优秀的白帽子各自获得了超100万美元的奖励，而其中最厉害的白帽奖励超过了400万美元。 HackerOne是全球领先的漏洞赏金平台，自2012年成立以来，HackerOne已向白帽子和漏

继续阅读

一文读懂CSRF漏洞

发布于 作者:

一文读懂CSRF漏洞 simple学安全 simple学安全 2024-11-25 06:38 目录 简介 CSRF漏洞全称跨站请求伪造漏洞，攻击者利用目标用户的身份，以目标用户的名义执行相关操作。在目标用户登录了网站的前提下，点击攻击者发送的恶意url，才能触发漏洞。 常见的修改密码、分享文章、点赞、发信息等功能处，都可能存在CSRF漏洞。 漏洞利用 测试CSRF漏洞，主要是使用BurpSuit

继续阅读

违反《网络安全法》相关规定，快手被依法处罚；警惕基于已知漏洞的链式攻击，超2000台Palo Alto防火墙或被攻陷 | 牛览

发布于 作者:

违反《网络安全法》相关规定，快手被依法处罚；警惕基于已知漏洞的链式攻击，超2000台Palo Alto防火墙或被攻陷 | 牛览 安全牛 2024-11-25 06:30 点击蓝字·关注我们  /  aqniu 新闻速览 •四部门联合开展“清朗·网络平台算法典型问题治理”专项行动 •违反《网络安全法》相关规定，快手被依法处罚 •远程链式WiFi攻击手法曝光，传统物理接近已非必需 •APT组织Gels

继续阅读

CVE-2024-11612 7z 24.07 中的无限循环拒绝服务漏洞

发布于 作者:

CVE-2024-11612 7z 24.07 中的无限循环拒绝服务漏洞 Ots安全 2024-11-25 06:06 去年夏天，我决定研究一下 7zip 的模糊测试。我收集了一批有趣的存档文件，其中包含所有 7z 支持的格式，并开始使用 AFL++ 进行模糊测试。 运行几天后，模糊器发现了一个有趣的输入。该输入一旦打开，将使 7zip 无限期地“解压缩”。问题在于函数对用户输入的检查不当，导致无

继续阅读

某大学图书管理系统刷积分逻辑漏洞

发布于 作者:

某大学图书管理系统刷积分逻辑漏洞 原创 zkaq-brooke 掌控安全EDU 2024-11-25 04:01 扫码领资料 获网安教程 本文由掌控安全学院 –   brooke 投稿 来Track安全社区投稿~ 千元稿费！还有保底奖励~（https://bbs.zkaq.cn） 这里我们首先弱口令直接进入到这个统一信息门户里面 img 直接来到图书管理系统里面。点击积分商城，可以看到

继续阅读

研究217篇子域接管漏洞报告后的总结

发布于 作者:

研究217篇子域接管漏洞报告后的总结 白帽子左一 白帽子左一 2024-11-25 04:00 扫码领资料 获网安教程 来Track安全社区投稿~ 赢千元稿费！还有保底奖励~（https://bbs.zkaq.cn） 子域接管漏洞综合分析：SDTO、DNS劫持、悬空DNS、CNAME配置错误等 我收集了 HackerOne 上的 143 篇 SDTO（子域接管）漏洞报告，以及 74 篇详细的技术文

继续阅读

超过2000台Palo Alto Networks防火墙遭到黑客攻击，攻击者利用了最近才修补的零日漏洞

发布于 作者:

超过2000台Palo Alto Networks防火墙遭到黑客攻击，攻击者利用了最近才修补的零日漏洞 鹏鹏同学 黑猫安全 2024-11-25 03:36 数千台Palo Alto Networks防火墙据报遭到黑客攻击，攻击者利用了最近才修补的零日漏洞（CVE-2024-0012和CVE-2024-9474）在PAN-OS中。 CVE-2024-0012是Palo Alto Networks

继续阅读

科荣AIO系统UtilServlet接口处存在代码执行漏【漏洞复现|附nuclei-POC】洞

发布于 作者:

科荣AIO系统UtilServlet接口处存在代码执行漏【漏洞复现|附nuclei-POC】洞 原创 kingkong 脚本小子 2024-11-25 03:33 免责声明： 本文内容仅供技术学习参考，请勿用于违法破坏。利用此文所提供的信息或者工具而造成的任何直接或者间接的后果及损失，均由使用者本人负责，与作者无关。如有侵权请联系删除。 漏洞描述： 科荣AIO系统UtilServlet接口处存在代

继续阅读

Windows Kerberos严重漏洞，数百万台服务器遭攻击

发布于 作者:

Windows Kerberos严重漏洞，数百万台服务器遭攻击 天唯科技 天唯信息安全 2024-11-25 03:27 E安全消息，Windows Kerberos身份认证协议中存在一个严重漏洞，对数百万服务器构成了重大威胁。微软在11月补丁星期二更新中解决了此问题。 Microsoft Kerberos是一种广泛使用的用于验证主机或用户身份的身份验证协议。为了利用这个漏洞，未经身份验证的行为者

继续阅读

【文末送书】发现Web API漏洞居然能赚到400w刀，看懂这本书你也可以！

发布于 作者:

【文末送书】发现Web API漏洞居然能赚到400w刀，看懂这本书你也可以！ 异步图书 道一安全 2024-11-25 03:00 关注我们丨文末赠书 知名网络安全公司HackerOne发布的《2023年黑客力量安全报告》透露，已有30名优秀的白帽子各自获得了超100万美元的奖励，而其中最厉害的白帽奖励超过了400万美元。 HackerOne是全球领先的漏洞赏金平台，自2012年成立以来，Hack

继续阅读

破解命令注入漏洞：详解原理、绕过技巧与防护策略

发布于 作者:

破解命令注入漏洞：详解原理、绕过技巧与防护策略 原创 VlangCN HW安全之路 2024-11-25 03:00 在Web安全领域中，命令注入漏洞（OS Command Injection）一直是一个危害严重的安全问题。本文将深入浅出地介绍命令注入漏洞的原理、检测方法、利用技巧以及防护措施。 一、什么是命令注入漏洞？ 命令注入漏洞，也称为shell注入，是一种允许攻击者在目标服务器上执行任意操

继续阅读

「漏洞复现」万能门店小程序管理系统 doPageGetFormList SQL注入漏洞

发布于 作者:

「漏洞复现」万能门店小程序管理系统 doPageGetFormList SQL注入漏洞 冷漠安全 冷漠安全 2024-11-25 02:58 0x01 免责声明 免责声明 请勿利用文章内的相关技术从事非法测试，由于传播、利用此文所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，作者不为此承担任何责任。工具来自网络，安全性自测，如有侵权请联系删除。本次测试仅供学习使用，如若非法他

继续阅读

【漏洞复现】某平台-cwsfiledown-DownFileBytes-任意文件读取漏洞

发布于 作者:

【漏洞复现】某平台-cwsfiledown-DownFileBytes-任意文件读取漏洞 原创 南极熊 SCA御盾 2024-11-25 02:42 关注SCA御盾共筑网络安全 （文末见星球活动） SCA御盾实验室的技术文章仅供参考，此文所提供的信息只为网络安全人员对自己所负责的网站、服务器等（包括但不限于）进行检测或维护参考，未经授权请勿利用文章中的技术资料对任何计算机系统进行入侵操作。利用此文

继续阅读

MiSRC 年末漏洞冲刺活动来啦~

发布于 作者:

MiSRC 年末漏洞冲刺活动来啦~ 小米安全中心 小米安全中心 2024-11-25 02:24 MiSRC年末冲刺活动来啦 ~ 活动期间 多重奖励来袭，阅读下文了解详细规则吧 文末还有  MiSRC 2024白帽颁奖典礼预告哦~ 01 参与活动 1 活动时间 ✦ 11月25日-12月12日 2 参与方式 ✦ 提交漏洞时在漏洞名称前注明【年末冲刺】， 若无则视为不参加本次活动 02 活动规则 1

继续阅读

海信智能公交企业管理系统 OrgInfoMng.aspx SQL注入漏洞

发布于 作者:

海信智能公交企业管理系统 OrgInfoMng.aspx SQL注入漏洞 Superhero nday POC 2024-11-25 02:12 内容仅用于学习交流自查使用，由于传播、利用本公众号所提供的 POC 信息及 POC对应脚本 而造成的任何直接或者间接的后果及损失，均由使用者本人负责，公众号nday poc及作者不为此承担任何责任，一旦造成后果请自行承担！如文章有侵权烦请及时告知，我们会

继续阅读

文件解析常见漏洞总结

发布于 作者:

文件解析常见漏洞总结 unic0rn 篝火信安 2024-11-25 02:00 文件解析漏洞主要由于网站管理员操作不当或者Web容器自身的漏洞，导致一些特殊构造的其他格式文件被 IIS、apache、nginx 或其他 Web容器在某种情况下解释成脚本文件执行，导致黑客可以利用该漏洞实现非法文件的解析。 本文总结一些常见Web中间件的文件解析漏洞。 一、IIS 6.0 使用6.x版本的服务器，大

继续阅读

Redis未授权主从复制RCE复现

发布于 作者:

Redis未授权主从复制RCE复现 原创 kiand 网安知识库 2024-11-25 02:00 漏洞描述 Redis（Remote Dictionary Server )，即远程字典服务，是一个开源的使用ANSI C语言编写、支持网络、可基于内存亦可持久化的日志型、Key-Value数据库，并提供多种语言的API。 Redis 默认情况下，会绑定在 0.0.0.0:6379，如果没有进行采用相

继续阅读

【漏洞复现】明源云ERP报表 GetErpConfig.aspx存在信息泄露漏洞

发布于 作者:

【漏洞复现】明源云ERP报表 GetErpConfig.aspx存在信息泄露漏洞 原创 清风 白帽攻防 2024-11-25 01:14 免责声明：请勿使用本文中提到的技术进行非法测试或行为。使用本文中提供的信息或工具所造成的任何后果和损失由使用者自行承担，所产生的一切不良后果与文章作者无关。该文章仅供学习用途使用。 简介 明源云ERP系统是一款云端部署的企业管理解决方案，具备高效、灵活和可定制的

继续阅读

漏洞挖掘-小白编写人生中第一个漏洞利用脚本

发布于 作者:

漏洞挖掘-小白编写人生中第一个漏洞利用脚本 原创 小白 吉吉说安全 2024-11-25 00:45 上次讲到了小白如何通过网络安全赚取自己人生中的第一桶金 ，上上篇文章的预告小白如何从脚本小子编写一个简单的脚本拖到现在，终于有时间来更新了。 作为小白我们在编写脚本的时候选择编程语言尽量选择好上手的，市面上常见的有java、php、python、 golang 等等 ， java编写图形化 界面可

继续阅读

某FE平台一键漏洞综合利用工具

发布于 作者:

某FE平台一键漏洞综合利用工具 M0untainShley Hack分享吧 2024-11-25 00:30 声明：该公众号分享的安全工具和项目均来源于网络，仅供安全研究与学习之用，如用于其他用途，由使用者承担全部法律及连带责任，与工具作者和本公众号无关。 现在只对常读和星标的公众号才展示大图推送，建议大家把 Hack分享吧 “ 设为星标 ”， 否则可能看不到了 ！ 工具介绍 某FE平台一键漏洞探

继续阅读

漏洞预警 | 安克医疗急救办公管理系统SQL注入漏洞

发布于 作者:

漏洞预警 | 安克医疗急救办公管理系统SQL注入漏洞 浅安 浅安安全 2024-11-25 00:00 0x00 漏洞编号 – # 暂无 0x01 危险等级 – 高危 0x02 漏洞概述 安克医疗急救办公管理系统是一款专为医疗急救领域设计的信息管理系统，旨在提高急救工作的效率和准确性。 0x03 漏洞详情 漏洞类型： SQL注入 影响： 敏感信息泄露**** 简述： 安克医

继续阅读

漏洞预警 | 点企来客服系统硬编码未授权漏洞

发布于 作者:

漏洞预警 | 点企来客服系统硬编码未授权漏洞 浅安 浅安安全 2024-11-25 00:00 0x00 漏洞编号 – # 暂无 0x01 危险等级 – 高危 0x02 漏洞概述 禾匠点企来客服系统是独立源码部署的客服系统，支持接入到小程序、公众号、网站、APP。 0x03 漏洞详情 漏洞类型： 硬编码token 影响： 敏感信息泄露**** 简述： 点企来客服管理系统的t

继续阅读

【0Day】《黄药师》药业管理软件SetMedia_Picture_info存在SQL注入漏洞导致RCE

发布于 作者:

【0Day】《黄药师》药业管理软件SetMedia_Picture_info存在SQL注入漏洞导致RCE xiachuchunmo 银遁安全团队 2024-11-24 22:00 需要EDU SRC邀请码的师傅可以私聊后台，免费赠送EDU SRC邀请码（邀请码管够） 资产测绘 漏洞简介 **黄药师药店管理是专为零售药店打造的管理软件，集综合进销存管理，会员管理，GSP管理等于一身，其直观的界面，简

继续阅读

【漏洞复现】CVE-2024-24809

发布于 作者:

【漏洞复现】CVE-2024-24809 混子Hacker 混子Hacker 2024-11-24 16:25 免责声明 请勿利用文章内的相关技术从事非法测试，由于传播、利用此文所提供的信息或者工具而造成的任何直接或者间接的后果及损失，均由使用者本人负责，文章作者不承担任何法律及连带责任。 [  漏洞简介  ] ——  生活不可能像你想象的那么好，但也不会像你想象的那么糟。人的脆弱和坚强都超乎自己

继续阅读

Goby2024红队版工具分享，附2024年漏洞POC下载

发布于 作者:

Goby2024红队版工具分享，附2024年漏洞POC下载 仙草里没有草噜丶 泷羽Sec 2024-11-24 14:42 ~ 我如约而至，你恰好在场 ~ 【CTF】CTF-OS，一个专门为CTF设计的操作系统 Goby是基于网络空间映射技术的下一代网络安全工具，通过为 目标网络 建立全面的资产知识库，生成网络安全事件和漏洞的应急响应。Goby 提供最全面的资产识别。Goby拥有预置超过10万条规

继续阅读

威胁情报的尴尬：是个好能力，但不是个好生意！

发布于 作者:

威胁情报的尴尬：是个好能力，但不是个好生意！ 原创 晓兵Jason 锐安全 2024-11-24 14:24 如果加星标，可以及时收到推送 《安全晓说》第 65 篇， 锐安全总第 294 篇原创 本文 1265 字，阅读时长约 4 分钟 威胁情报生意 ，今天 可以了解以下内容： 【1】威胁情报的商业价值不高 【2】威胁情报的产品不值钱 【3】威胁情报的生态发展没动力 【4】威胁情报生意应该怎么做？

继续阅读