每日攻防资讯简报[Jan.5th]

1.价值5000美元的漏洞赏金：在某些条件下，Facebook Groups的“文档创建”功能中的“编辑历史记录”功能会公开页面管理员身份

https://savebreach.com/facebook-page-admin-identity-disclosure-through-document-edit-history/

2.zend framework3反序列化 rce漏洞（CVE- 2021-3007）

https://github.com/Ling-Yizhou/zendframework3-/blob/main/zend%20framework3%20%E5%8F%8D%E5%BA%8F%E5%88%97%E5%8C%96%20rce.md

3.OAuth实施漏洞导致无需交互即可接管100万用户的网上银行账户

https://medium.com/bugbountywriteup/internet-bank-account-takeover-of-1m-users-without-user-interaction-75bd184936c5

1.SysWhispers2：通过直接系统调用实现免杀，SysWhispers的升级版

https://github.com/jthuraisamy/SysWhispers2

2.pidrila：交互式web路径扫描与分析工具

https://github.com/enemy-submarine/pidrila

3.mosint：自动化邮件OSINT工具

https://github.com/alpkeskin/mosint

4.BurpCustomizer：Burp显示主题自定义工具

https://github.com/CoreyD97/BurpCustomizer

5.Web-Fuzzing-Box：模糊测试字典与一些Payloads，主要包含：弱口令暴力破解、目录以及文件枚举、Web漏洞等

https://github.com/gh0stkey/Web-Fuzzing-Box

1.分析黑客组织FIN7使用的.NET远控木马JSSLOADER

https://www.morphisec.com/hubfs/eBooks_and_Whitepapers/FIN7%20JSSLOADER%20FINAL%20WEB.pdf

2.针对全球主要游戏公司的DRBControl攻击活动, 同时链接到两个APT组: APT27和Winnti

https://medium.com/proferosec-osm/apt27-turns-to-ransomware-77aaba41ef1e

1.在4G LTE移动热点上获取Root权限

https://alex.studer.dev/2021/01/04/mw41-1

2.缓存投毒DoS与缓存键规范化

https://iustin24.github.io/Cache-Key-Normalization-Denial-of-Service/

3.缓存投毒DoS攻击技术

https://www.acunetix.com/blog/web-security-zone/cache-poisoning-dos-attack-techniques/

4.不安全的反序列化：如何跟踪Gdage链

https://blog.redteam-pentesting.de/2021/deserialization-gadget-chain/

5.使用Frida进行Android渗透测试

https://www.hackingarticles.in/android-penetration-testing-frida/

6.配置iOS调试

https://understruction.com/setting-up-ios-debugging

7.WebFuzzing方法和漏洞案例总结

https://gh0st.cn/archives/2019-11-11/1

8.Hypervisor漏洞研究

9.Advanced Hexagon DIAG

10.R.I.P ROP: CET Internals in Windows 20H1

http://windows-internals.com/cet-on-windows