网安原创文章推荐【2025/1/18】

admin 2025年1月19日17:46:47评论8 views字数 2583阅读8分36秒阅读模式

2025-01-18 微信公众号精选安全技术文章总览

洞见网安 2025-01-18

0x1 【PWN】Edit堆溢出2.23无show函数

智佳网络安全 2025-01-18 23:17:52

网安原创文章推荐【2025/1/18】

本文分析了PolarCTF 2024秋季个人挑战赛中的easyhay题目,该题目涉及堆溢出漏洞利用。由于没有show函数来泄露地址,选手需要利用未开启的PIE和堆溢出进行fastbin attack。首先,通过编辑功能实现堆溢出,然后修改全局数据中的堆块指针指向free@got。接着,通过两次分配和修改heaparray[0]的堆块指针,将system@plt替换为free@got。最后,通过调用free函数触发system函数的执行,从而获得shell。文章详细介绍了整个利用过程,包括必要的代码片段和调试步骤。

PWN (漏洞利用) 堆溢出 CTF (Capture The Flag) Linux 内存安全 逆向工程 漏洞挖掘 缓冲区溢出

0x2 通过“Typora + PicGo + 腾讯云” 组合方法解决发布图片显示失效的问题

泷羽Sec-风 2025-01-18 22:24:06

网安原创文章推荐【2025/1/18】

文章介绍了利用“Typora + PicGo + 腾讯云”解决在使用 Markdown 编写文章时图片上传与显示问题的方法。首先,通过配置腾讯云 COS(Cloud Object Storage),包括注册账号、实名认证、开通服务、创建存储桶、获取密钥等步骤,并可选地配置CORS规则和自定义域名来完成基础设置,以实现图片的云端存储。其次,下载并配置 PicGo,一个开源图床管理工具,它支持多平台、多种图床服务,提供快捷键绑定、自动复制链接等功能,极大地简化了图片上传流程。PicGo 还能集成到开发工作流中,通过命令行工具进行自动化操作。最后,介绍 Typora,一款实时预览的 Markdown 编辑器,具备跨平台支持、所见即所得的特点,方便用户编辑文档,尤其在插入图片、代码块和数学公式等方面表现出色。配置 Typora 与 PicGo 结合后,用户可以直接在 Typora 中上传图片至指定图床,使图片链接有效显示于最终发布平台上。此外,文章还提供了相关软件的下载链接,帮助读者快速搭建使用环境。

网络安全配置 云存储安全 数据传输安全 开源工具安全 Markdown编辑安全 操作规范教育

0x3 图解正向代理 vs 反向代理:到底有啥区别?

网络技术联盟站 2025-01-18 21:15:21

网安原创文章推荐【2025/1/18】

本文详细解析了正向代理和反向代理的概念、工作流程、应用场景和优缺点。正向代理作为客户端的中介,帮助用户绕过限制、隐藏身份,适用于访问受限资源、隐匿用户身份和缓存请求等场景。反向代理则作为服务器端的中介,保护后端服务器、分担负载、加速内容交付,常用于负载均衡、隐藏服务器信息和缓存静态资源等。文章对比了两种代理技术的区别,并探讨了它们在实际应用中的结合使用方式。同时,提供了记忆小技巧帮助读者区分正向代理和反向代理。

网络安全基础 代理技术 网络协议 网络安全防护 网络架构 网络优化

0x4 春秋杯WP | 2024春秋杯冬季赛第二天题目部分解析

春秋伽玛 2025-01-18 21:07:19

网安原创文章推荐【2025/1/18】

本文详细分析了多个网络安全相关的题目和挑战,涵盖了多种安全领域的技术和技巧。其中包括Python沙箱逃逸的示例,通过栈帧和生成器逃逸全局符号表获取flag;一个字符数限制的Python代码生成质数的挑战,通过优化代码结构和使用while循环实现;一个基于模数运算的解密问题,利用tqdm库和模数运算找到解密密钥;一个基于CRC64的加密问题,通过分析加密过程和密钥结构解密获取flag;一个利用HTTP协议栈溢出的题目,通过构造特定的HTTP请求触发溢出并获取shell;一个PHP序列化漏洞利用的题目,通过构造特殊序列化字符串实现任意文件写入和远程代码执行;一个Go语言实现的哈希算法题目,通过分析算法原理和输入处理过程找到解密方法;一个因数分解的题目,通过小根分解和Coppersmith攻击找到因子;一个Android应用逆向题目,通过分析DES加密和解密过程获取flag;一个基于Skip32算法的加密题目,通过分析算法实现和密钥结构解密获取flag。

栈帧逃逸 Python技巧 Python反序列化 DES加密 Skip32算法 字符串定位 栈溢出 提权 日期命令

0x5 Linux服务器中毒?教你一步步精准判断和快速处置!

网络技术干货圈 2025-01-18 20:54:04

网安原创文章推荐【2025/1/18】

本文详细介绍了Linux服务器中病毒的情况以及如何进行判断和处理。文章首先概述了Linux服务器虽然安全性高,但依然可能受到攻击,导致数据泄露和资源滥用等问题。接着,文章从表现异常、核心排查、深度检测和应对措施四个方面,逐步说明了如何通过系统日志、性能监控、文件完整性检查、杀毒工具扫描、内核模块检测和网络流量分析等多种手段来判断服务器是否中毒。最后,文章强调了预防措施,如定期更新、配置强密码、监控与告警以及最小化攻击面等,以加强Linux服务器的安全性。

Linux安全 恶意软件检测 入侵检测 应急响应 安全防护 日志分析 流量分析

0x6 vulnhub靶场【Lampiao靶机】,提权之脏牛提权

泷羽sec-何生安全 2025-01-18 20:41:23

网安原创文章推荐【2025/1/18】

本文详细介绍了在vulnhub靶场中的Lampiao靶机上的提权过程。首先,通过Nmap扫描发现靶机开放了22、80和1898端口,并确定靶机运行Drupal 7。接着,使用dirb和dirsearch工具进行目录爆破,找到了隐藏的文件和目录。通过分析robots.txt文件,发现了潜在的漏洞,并利用这些信息访问了隐藏的文件。进一步,通过音频文件获取了用户名,并使用Hydra工具尝试爆破SSH登录。成功获取到SSH登录凭证后,分析了靶机上的系统信息,并使用searchsploit搜索可能的提权漏洞。最终,通过脏牛漏洞(Dirty COW)成功提权。文章详细记录了整个渗透测试的过程,包括信息收集、漏洞利用和提权等步骤,为网络安全学习者提供了实战经验。

靶场测试 漏洞利用 提权攻击 信息收集 渗透测试工具 安全漏洞 Linux系统安全 代码审计

0x7 SSRF

AlertSec 2025-01-18 19:24:52

网安原创文章推荐【2025/1/18】

文章详细介绍了服务器端请求伪造(SSRF)的概念、影响和利用方式。SSRF允许攻击者通过前端用户输入的任意URL,让服务器执行恶意请求,从而读取本地文件、探测内网主机和端口、攻击其他内网服务器等。文章列举了常见的SSRF伪协议,如http、https、file、ftp、gopher等,并提供了利用示例。此外,还讨论了如何绕过黑名单和白名单的过滤,以及盲SSRF漏洞的检测方法。最后,文章提出了预防SSRF漏洞的建议,包括IP地址过滤和白名单校验等。

网络安全漏洞 安全协议 内网安全 绕过机制 漏洞预防 技术分享

0x8 独特上篮方式突破短信发送限制上分 (企业src意外之喜系列第六集)

两年半网安练习生 2025-01-18 19:00:27

网安原创文章推荐【2025/1/18】

本文探讨了在网络安全领域中,一种称为短信轰炸的常见攻击手段。由于防御技术的进步,传统的短信轰炸方法已经越来越难以实现。文章分析了常规的绕过短信发送限制的思路,包括参数绕过、特殊符号绕过以及复写手机号码等手段。指出虽然这些方法在未严格限制输入类型时可能有效,但在实际应用中往往受到限制,使得攻击者需要寻找新的手法。文章还提到,尽管一些大黑客尝试编写绕过方法,但防御方也在不断更新修复方案,使得攻击测试点受到严密防守。文章旨在为网络安全学习者提供关于短信轰炸防御策略的深入分析,并鼓励读者进一步探讨和交流。

短信轰炸攻击 参数绕过 网络安全防御 黑客技巧 漏洞利用

0x9 DVWA漏洞靶场通关手册(万字图文解析)

泷羽Sec-Blanks 2025-01-18 18:57:05

网安原创文章推荐【2025/1/18】

本文详细介绍了DVWA靶场在不同安全等级下的通关过程。文章首先概述了低、中、高三个安全等级下的常见漏洞类型,包括密码爆破、命令注入、CSRF攻击、文件包含、文件上传、SQL注入、盲注、弱会话ID和XSS攻击。接着,针对每个漏洞类型,文章提供了具体的攻击方法和绕过技巧。例如,在低安全等级下,通过Burp Suite进行密码爆破,利用命令注入执行系统命令,通过CSRF修改密码,利用文件包含获取敏感信息,以及通过文件上传漏洞上传PHP文件。在中安全等级下,介绍了如何绕过简单的过滤和延迟,以及使用盲注技术获取信息。在高安全等级下,讨论了如何应对更复杂的防御措施,如使用token机制防御CSRF,利用file伪协议绕过文件包含限制,以及通过构造特定的图片马进行文件上传漏洞利用。文章还包含了XSS攻击的测试方法和绕过白名单限制的技巧。最后,文章鼓励读者加入学习交流群,共同学习和进步。

网络安全靶场 漏洞利用 安全漏洞 密码安全 命令注入 文件操作 SQL注入 XSS攻击 CSRF攻击 盲注攻击 会话管理 安全防御

0xa Graphql内审查询漏洞分析

0xh4ck3r 2025-01-18 14:32:23

网安原创文章推荐【2025/1/18】

0xb 一次通用cnvd案例分享

UF安全团队 2025-01-18 12:42:04

网安原创文章推荐【2025/1/18】

本文分享了一个典型的网络安全案例,涉及通用资产的检测和利用。首先,文章概述了通用资产检测的整体思路,包括提取系统指纹、访问测试寻找功能点等步骤。具体案例中,通过Fofa平台搜索资产,发现存在弱口令登录的数据库配置,进而利用JDBC漏洞伪造MySQL环境。文章以MySQL_Fake_Server工具为例,详细说明了如何配置和利用该工具进行漏洞测试。通过在VPS上启动伪造的MySQL服务,并通过Burp抓包重放,成功读取到Windows的hosts文件内容。最后,文章提供了复现步骤和漏洞利用的参考链接,为网络安全学习者提供了实用的案例参考。

网络安全漏洞分析 安全工具使用 网络攻击与防御 安全测试 漏洞复现 数据库安全

0xc 记一次常规的网络安全渗透测试

掌控安全EDU 2025-01-18 12:01:45

网安原创文章推荐【2025/1/18】

0xd Java安全小记-Commons-Collections4反序列化

土拨鼠的安全屋 2025-01-18 11:32:24

网安原创文章推荐【2025/1/18】

本文详细回顾了Fastjson的使用和其序列化与反序列化过程中可能出现的漏洞。文章首先介绍了如何使用Fastjson进行对象的序列化和反序列化,包括创建一个Java类、序列化对象为JSON字符串以及反序列化JSON字符串为Java对象。接着,文章深入探讨了Fastjson中的`@type`属性及其在反序列化过程中的作用,以及如何通过设置该属性来指定反序列化的类。文章还介绍了两种将JSON字符串还原为Java对象的常用方法:`parse`和`parseObject`,并比较了它们的区别。随后,文章分析了Fastjson的漏洞原理,包括源码调试分析和漏洞利用链,如JdbcRowSetImpl、BCEl和TemplatesImpl等。此外,文章还讨论了Fastjson的修复措施和绕过方法,以及如何通过不同的payload和利用链来触发和利用这些漏洞。最后,文章提供了一些针对Fastjson原生反序列化的绕过方法和示例,包括使用Xstring和HashMap等。

网络安全 应用程序安全 Java安全 代码审计 漏洞利用 反序列化漏洞 动态加载字节码 漏洞修复 实战技巧

0xe Nuclei POC 管理工具(附POC地址)

蓝猫Sec 2025-01-18 10:46:51

网安原创文章推荐【2025/1/18】

本文介绍了一款名为Wavely的Nuclei POC管理工具。Wavely是一款功能强大的桌面端工具,支持MacOS、Windows和Linux操作系统。它具备多POC、多任务、多目标并行扫描等功能,能够高效管理并行扫描任务,提高工作效率。用户可以自定义DNSLOG服务器、扫描速率和多种HTTP代理,并查看匹配POC的请求包和响应包。Wavely基于Nuclei v3,兼容YAML v2和v3模板格式,并提供了POC编辑器、多模板导入等功能。工具还支持国际化,提供简体中文和英文界面,并支持持久化配置。文章中还提供了Wavely在MacOS和Windows下的安装说明,以及如何导入POC和进行基本使用示例。

网络安全工具 漏洞扫描 Nuclei POC 操作系统兼容 自定义配置 国际化 持续集成与部署 开源社区

0xf 工具推荐 Windows应急响应的得力助手-Hawkeye

安全帮 2025-01-18 08:12:39

网安原创文章推荐【2025/1/18】

文章介绍了专为Windows平台设计的综合应急响应工具Hawkeye,该工具基于Golang开发,旨在帮助安全工程师快速定位并处理系统异常。Hawkeye具有多个关键功能:外连分析可迅速识别和锁定恶意软件发起的外部连接及其进程信息;Beacon扫描有助于发现高级持续性威胁中隐蔽通信行为;主机信息查看提供了用户账号、计划任务、服务信息及启动项等全面了解主机状态的功能;日志分析则涵盖登录成功与失败日志、服务创建及用户创建日志,为事件调查提供重要线索。此外,Hawkeye未来将增加Yara规则进行进程和文件扫描,并扩展日志分析功能至计划任务、Powershell脚本及RDP日志等,以增强其实用性和全面性。Hawkeye在网络安全事件应对中扮演着敏锐的‘鹰眼’角色,成为安全工程师排查问题的得力助手。

应急响应 外连分析 Beacon扫描 主机信息查看 日志分析 安全工具

0x10 API全面渗透测试方案

乌雲安全 2025-01-18 08:01:49

网安原创文章推荐【2025/1/18】

本站文章为人工采集,目的是为了方便更好的提供免费聚合服务,如有侵权请告知。具体请在留言告知,我们将清除对此公众号的监控,并清空相关文章。所有内容,均摘自于互联网,不得以任何方式将其用于商业目的。由于传播,利用此文所提供的信息而造成的任何直接或间接的后果和损失,均由使用者本人负责,本站以及文章作者不承担任何责任。

原文始发于微信公众号(洞见网安):网安原创文章推荐【2025/1/18】

免责声明:文章中涉及的程序(方法)可能带有攻击性,仅供安全研究与教学之用,读者将其信息做其他用途,由读者承担全部法律及连带责任,本站不承担任何法律及连带责任;如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截,联系方式见首页),望知悉。
  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2025年1月19日17:46:47
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                   网安原创文章推荐【2025/1/18】https://cn-sec.com/archives/3646557.html
                  免责声明:文章中涉及的程序(方法)可能带有攻击性,仅供安全研究与教学之用,读者将其信息做其他用途,由读者承担全部法律及连带责任,本站不承担任何法律及连带责任;如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截,联系方式见首页),望知悉.

发表评论

匿名网友 填写信息