前言登录口对抗工程师的高光、走运时刻,当看到提示“用户名不存在”时,心里泛起一丝涟漪,紧接着输了好几次密码,竟都提示密码错误!服务端没有封ip,也没有封账号,说明登录口的防护十分薄弱,安全意识淡薄,大...
【神兵利器】内网快速打点辅助工具
项目介绍Golin是一款内网渗透阶段进行辅助快速打点的内网渗透工具,目前此工具集成了弱口令检测、 漏洞扫描、端口扫描(协议识别,组件识别)、web目录扫描、等保模拟定级、自动化运维、等保工具(网络安全...
【1day报送】安徽生命港湾信息技术有限公司采集服务管理工具存在未授权访问&弱口令漏洞
文章所涉及内容,仅供安全研究与教学之用,由于传播、利用本文所提供的信息而造成的任何直接或者间接的后果及损失,均由使用者本人负责,作者不为此承担任何责任今天下午闲着没事看了下CNVD报送本来想顺着打一下...
广西由两高一弱引发的一次网络安全事件
关注兰花豆,探讨网络安全近日,广西公安机关网安部门接到某公司系统遭黑客攻击并上传木马的通报,随即组织技术力量开展调查和应急处置。调查发现,该公司在此前“两高一弱”专项治理中因“重应用、轻防护”思想,对...
经验贴收稿分享2 | 某高校弱口令
通过打点进行资产收集发现学工登录界面,进行弱口令测试,发现账号为学号,初始密码为Aa123456,通过教育公开发布的奖学金信息表,获取学生学号成功登录平台原文始发于微信公众号(励行安全):经验贴收稿分...
某地级市三甲医院从sql注入到内网漫游
外网打点开局一个超管!拿到资产后,开始打点,做信息收集,发现外网资产不多,都是xxx系统,用弱口令拿下超管账号找上传点,有导入execl功能,但是这种一般都是导入后提取数据出来,作用不大,然后在公告发...
由证书站漏洞挖掘引起的一次EDU通杀(涉及上百所学校)!
现在只对常读和星标的公众号才展示大图推送,建议大家能把渗透安全团队“设为星标”,否则可能就看不到了啦!免责声明由于传播、利用本公众号所发布的而造成的任何直接或者间接的后果及损失,均由使用者本人承担。L...
护网蓝队(初级)知识大盘点
前置知识概况 信息收集 服务器的相关信息(真实IP,系统类型,版本开放端口,WAF等) 网站指纹识别(CMS,CDN,证书,DNS记录等) whois信息,姓名,备案,邮件,电话反差(邮箱丢社工库,社...
我的打野日记-day2
注:文章仅用于技术分享,漏洞均已上报相关平台,切勿非法测试,一切后果自行承担,与本公众号以及号主无关啊,交的cnvd漏洞,又一次没有通过,说我写的报告不行,没关系改一下报告试试,于是过了二审,哈哈,就...
实战|探究公众号接口漏洞:从后台登录口到旁站getshell
1、发现与利用公众号接口的安全漏洞某120公众号提供了一处考核平台,通过浏览器处打开该网站。打开可以看到一处密码登录口,试了一下常用的手机号和密码,没有登录成功。这个时候扫个目录吧。扫到了一处管理员页...
证书站学校漏洞挖掘(二)
首先通过信息收集拿到了一个网站,页面如下 登录一下试试,抓包如下显示用户不存在 用户不存在,呵呵,开工挖掘(狗头 哟呵,怎么不说用户不存在了,继续安排,掏出祖传字典。这里可以看到后端在返回信息时没有保...
一文详解等保中的三高一弱 、两高一弱
在网络安全检查过程中,“三高一弱”和“两高一弱”是常被提及的重要概念,它们涉及网络安全中的高风险点和薄弱环节。“三高一弱”定义:• “三高”通常指的是高危漏洞、高危端口和高风险外连。• “一弱”指的是...
57