🔥师傅您好:为了确保您不错过我们的最新网络安全资讯、技术分享和前沿动态,请将我们设为星标🌟!这样,您就能轻松追踪我们的每一篇精彩内容,与我们一起共筑网络安全防线!感谢您的支持与关注!💪免责声明:文章所...
应用配置信息的安全管理实践
在真实网络攻击场景中,应用程序或系统本身可能隐藏着一些漏洞,尽管这些漏洞单独来看可能并不构成极其严重的威胁。然而,当这些漏洞与不当的安全配置相结合时,就可能产生灾难性的后果。特别地,当数据库连接信息(...
记一次某地市h-v-v打穿某重点单位
0x1帆软反序列化漏洞RCE用工具一把梭哈https://mci.xxxx.com/webroot/kubriSakJwQVU7Mq.txturl: https://mci.xxxx.com/webr...
【实战】记一次某市攻防从Web到云上接管体验!
点击蓝字,关注我们在某次攻防当中,通过打点发现了一台nacos,经过测试之后发现可以通过弱口令进入到后台,可以查看其中的配置信息通过翻看配置文件,发现腾讯云的AK,SK泄露,以及数据库的账号密码。操作...
Nacos集群Raft反序列化漏洞(QVD-2023-13065)-复现
漏洞起因在Nacos集群处理部分Jraft请求时,攻击者可以无限制使用hessian进行反序列化利用,最终实现代码执行。Jraft通信端口默认7848。其中受影响版本1.4.0 <= Nacos...
漏洞合集 | Nacos系列多漏洞复现
点击蓝字 关注我们免责声明本文发布的工具和脚本,仅用作测试和学习研究,禁止用于商业用途,不能保证其合法性,准确性,完整性和有效性,请根据情况自行判断。如果任何单位或个人认为该项目的脚本可能涉嫌侵犯其权...
记一次对微服务架构的渗透测试
记一次对微服务架构的渗透测试最近在一次渗透过程中遇到了微服务架构,打点进入之后在一个独立的docker中,该docker只负责某个单一的任务,如计划任务,订单操作等。之前对这种架构的渗透方法了解比较少...
记一次nacos到接管阿里云&百万数据泄露
获网安教程免费&进群 本文由掌控安全学院-山屿云投稿在某次攻防当中,通过打点发现了一台nacos,经过测试之后发现可以通过弱口令进入到后台,可以查看其中的配置信息通过翻看配置文件,发现腾讯云...
getNacosConfig :Nacos配置文件读取,并通过正则匹配相应敏感信息
攻防中常见的Nacos,配置文件中好东西嘎嘎多! 1►背景介绍 针对内网Nacos资产较多情况(划重点),又懒得一个个翻配置文件,所以写了一个脚本,利用Nacos JWT默认key漏洞,...
nacos 身份认证绕过漏洞(QVD-2023-6271)
JWT(Json Web Token) 0x00 JWT构成 Json Web Token简称JWT,用做用户身份验证。那么其结构长什么样呢,下面我会通过一个例子去分析。 eyJhbGciOiJIUz...
CVE-2023-39106:Nacos-Spring 远程命令执行漏洞 附POC
简介Nacos是一个更易于构建云原生应用的动态服务发现、配置管理和服务管理平台。Nacos Spring 项目基于Nacos,完全拥抱 Spring 生态,旨在帮助您快速构建 Spring 应用。该项...
NacosExploit-自定义内存马
近期,我们正在针对 Nacos 服务进行深度安全检查,尤其是在它的认证机制和默认配置方面。很多时候攻击者利用的就是那些看似微不足道的漏洞,比如默认未开启的认证和弱密码。 在这个过程中,我开始使用 Na...
19