作者:徐志洋声明:技术仅用于学术交流,请遵守《网络安全法》,严禁将此文中工具和技术用于非法攻击测试。一、背景Jenkins 是一款功能强大的应用工具,支持跨平台实现项目的持续集成与持续交付。作为开源代...
记某SRC未授权页面引起的恰洞福利
概述 在一次安全测试过程中,发现目标系统存在一系列严重的安全漏洞,包括未授权访问、越权操作、弱口令、Spring Boot信息泄露以及云存储桶配置错误,最终导致大量敏感用户数据泄露,甚至获得云服务访问...
市级攻防演练外网打点打穿内网
声明任何网络安全相关测试均需取得授权,本文章中所有内容仅供学习交流,严禁用于商业用途和非法用途,否则由此产生的一切后果均与文章作者无关!前言某企业单位,外网打点一系统wsdl接口泄露文件上传漏洞直接进...
记一次edu证书站的挖掘
声明本文仅限于技术讨论与分享,严禁用于非法途径。若读者因此作出任何危害网络安全行为后果自负,与本号及原作者无关。前言最近edusrc上了新证书,这不得安排他一手。确定目标话不多说,信息收集一手,直接打...
浅析SpringBoot框架常见未授权访问漏洞
星标公众号可大图观看!前言在对 Java 站点进行渗透测试的过程中,经常会遇见各类未授权访问漏洞,本文来总结学习下常见的几类未授权访问漏洞的检测和利用方法。SpringBoot 站点的简单识别方法:1...
Druid & Swagger 未授权访问简单配置
Druid & Swagger 未授权访问简单配置前言关于 Java 的 SpringBoot 服务中, 多多少少会掺和点其他服务的使用, 老生常谈的Druid & Swagger在这...
MQTT未授权访问及检测工具
什么是MQTT?MQTT是一种轻量级的物联网通信协议,基于发布-订阅模式,广泛用于设备与设备之间的实时通信。MQTT Broker是消息的中心枢纽,负责接收、存储和分发消息。 MQTT未授权访问的风险...
安服面试笔记(上)
面试笔记分为上下两部分,前半部分总体来说偏向于基础面试不同的岗位,相对应的面试题量及难易程度也会不同,安服偏向于应急等知识,所以侧重点不是渗透的知识借用一句话:背诵面试题目只是骗自己,技术晋升大部分都...
接口未授权访问到任意文件下载
前言这次测试没啥技巧,全靠个人细心程度,可能一次的测试发现不了或者麻烦,反正总之就是摆烂了,我就是这样。不过我发这篇文章除了和大家一起分享之外还是这次测试挺容易的,感觉咱们国内的安全建设回到了2016...
Chrome 曝高危漏洞:攻击者可窃取数据并获取未授权访问权限
谷歌公司发现Chrome浏览器存在两个高危漏洞后,紧急发布了安全更新。这些漏洞可能让攻击者窃取敏感数据并获取用户系统的未授权访问权限。这两个漏洞编号为CVE-2025-3619和CVE-2025-36...
从springboot未授权访问到接管百万级数据库
本文由掌控安全学院 - 我会发着呆 投稿 前言 本篇文章主要内容是某大学站点存在springboot actuator 未授权访问,通过后续利用接管百万级数据库。 声明:本篇文章漏洞目前...
CrushFTP新安全漏洞:未授权访问和CVE-2025-31161
1. Agentic AI在SOC中的应用:提升效率与价值 本文探讨了Agentic AI(有时称为Agentic Security)在安全运营中心(SOC)中的作用,对比了它与传统辅助型AI(Cop...