安全文章 - 第 46 | CN-SEC 中文网

安全文章

安全专家提供的 APT38 窃取 0day 漏洞的策略 PoC

一个自动化 APT38 技术的程序，该技术已被用于针对网络安全研究人员专家Lazarus 是一个受朝鲜政府支持的组织，其针对网络安全研究人员的攻击记录屡见不鲜。在其众多引人注目的技术中，有一种因其能够...

04月28日13 views评论

阅读全文

安全文章

SSTI 模板注入漏洞

声明：请勿利用文章内的相关技术从事非法测试，由于传播、利用此文所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，作者不为此承担任何责任。请大家关注公众号支持，不定期有宠粉福利Par...

04月28日8 views评论

阅读全文

人工智能安全

AI安全丨AI模型风险管理框架（附下载）

本报告探讨了模型风险管理在AI模型应用任开发、部署和使用方面的重要性，适用于对该主题有兴趣的读者群体，包括直接参与AI开发的从业者以及专注于AI治理的业务和合规监管机构。关注工业安全产业联盟平台微信公...

04月28日15 views评论

阅读全文

红队内网实战 - zimbra 邮件服务渗透技巧

内网渗透中，当打到 zimbra 邮件服务器权限时，通常的操作会有：添加一个邮箱账户用于后续社工钓鱼，或者翻阅一些人员邮件，以获取更多的敏感信息，比如内部的交流文档、网络架构、密码规则等等，部署 zi...

04月28日安全文章16 views评论

阅读全文

应急响应

2025-4月Solar应急响应公益月赛排名及官方题解

点击蓝字关注我们1.4月月赛排名2025年4月Solar应急响应公益月赛已圆满结束。以下为最终WP提交情况（部分选手因未在规定时间内提交WP，不计入最终排名）以下为4月月赛最终排名结果月赛榜总分统计...

04月28日21 views评论

阅读全文

安全文章

云环境渗透测试流程

云环境渗透核心攻击面01身份与访问管理（IAM）滥用提权路径权限过度分配：IAM策略中"Action": "*"或"Resource": "*"导致权限泛滥。角色劫持：通过EC2实例元数据服务（IMD...

04月28日11 views评论

阅读全文

安全文章

从用户名枚举到后台权限绕过

昨天前往客户现场开展安全服务项目，按计划需每月对资产表进行一次渗透测试。本以为此次资产情况会与往期完全一致，未曾想抵达后刚着手探测存活资产，便发现本次可访问的资产数量较上次大幅增加 —— 许多此前无法...

04月28日8 views评论

阅读全文

安全文章

安服日记 | 通过微信小程序寻找突破口打穿目标内网

扫码领资料获网安教程本文由掌控安全学院 - flysheep 投稿来Track安全社区投稿~ 千元稿费！还有保底奖励~（https://bbs.zkaq.cn）前言某年某月的某一天，本该是牵手逛街的...

04月28日8 views评论

阅读全文

安全文章

安全渗透 | 攻防第一天，直接把内网打穿！

序言记一次三天1.3w分拿下靶标过程复盘总结突破通过互联网公开的web服务，针对子域名信息收集到目标单位的教务管理系统，它是由南京某某公司开发提供服务的通过目录遍历拿到源码开始代码审计，老思路...

04月28日13 views评论

阅读全文

工业控制系统五层架构以及PLC、SCADA、DCS系统

工业控制系统，听起来高大上，实际上就是一堆软硬件的组合，目标是让机器按照我们的想法运转。但凡涉及到网络，安全问题就如影随形。别再抱着那套“五层架构”不放了，今天咱们就来扒一扒这些看似坚固的系统里，藏着...

04月28日安全百科24 views评论

阅读全文

安全文章

我如何从已删除的文件中赚取 64 美元 — 一个漏洞赏金故事

TL;DR — 我构建了一个自动化功能，克隆和扫描了数以万计的公共 GitHub 存储库以查找泄露的机密信息。对于每个存储库，我恢复了已删除的文件，找到了悬空的 blob 和解压缩的 .pack 文件...

04月28日16 views评论

阅读全文

人工智能安全

【WX】MCP 服务，让 AI 直接读取你的微信聊天记录

分享一个项目https://github.com/sjzar/chatlog先去下载releases 版本或者网盘梭哈https://pan.quark.cn/s/6155c999c5ebWindow...

04月28日26 views评论

阅读全文

在线咨询

微信