utility | CN-SEC 中文网

安全漏洞

OneBlog <=v2.3.6 存在模板注入漏洞CVE原创(CVE-2024-54954t)

一、漏洞环境搭建 1. 代码下载：https://gitee.com/yadong.zhang/DBlog 2. 使用idea搭配phpstudy的mysql数据库，修改以下文件，修改数据库连接...

03月21日18 views评论

阅读全文

安全文章

一次信息搜集到源码转向注入的审计过程

免责申明本文章仅用于信息安全防御技术分享，因用于其他用途而产生不良后果,作者不承担任何法律责任，请严格遵循中华人民共和国相关法律法规，禁止做一切违法犯罪行为。一、前言+分析一次回到学校的之后，学...

03月16日8 views评论

阅读全文

安全文章

服务器端模版注入SSTI分析与归纳

0x00 背景本文针对基于java的三种常见的模版引擎(FreeMarker、Velocity、Thymeleaf)所引起的服务端模版注入漏洞SSTI进行分析、整理和总结。所谓模版引擎，简单来讲就是...

02月25日15 views评论

阅读全文

安全新闻

Cisco 修复 Smart Licensing Utility 中的两个关键缺陷以防止远程攻击

Cisco 已针对影响其 Smart Licensing Utility 的两个关键安全漏洞发布了安全更新，这些漏洞可能允许未经身份验证的远程攻击者提升其权限或访问敏感信息。这两个漏洞的简要描述如下 ...

09月22日40 views评论

阅读全文

安全漏洞

Cisco Smart Licensing Utility静态凭证后门和信息泄露漏洞

0x00 漏洞编号 CVE-2024-20439 CVE-2024-20440 0x01 危险等级高危 0x02 漏洞概述Cisco Smart License Utility是思科公司推出的一种软...

09月09日57 views评论

阅读全文

供应链安全

供应链投毒预警 | utilitytool系列Py包开展XenoRAT远控木马投毒

概述上周（2024年6月14号），悬镜供应链安全情报中心在Pypi官方仓库中捕获2起针对Windows系统的Python包投毒事件，涉及Python组件包utilitytool及uti...

06月21日27 views评论

阅读全文

代码审计

九维团队-绿队（改进）| jeecgboot SSTI（RCE)漏洞复现

一、影响范围JeecgBoot @[3.0, 3.5.3]org.jeecgframework.jimureport:jimureport-spring-boot-starter@(-∞, 1.6.0...

05月19日74 views评论

阅读全文

代码审计

.NET 反序列化Xunit1Executor漏洞分析

01 Xunit1Executor漏洞复现 Xunit.Net 是一款 .NET平台免费开源的单元测试框架，常用于并行测试和数据驱动测试。目前支持 .Net Framework、.Net Core、....

03月10日23 views评论

阅读全文

安全漏洞

漏洞预警 Avaya Aura phonebackup 文件上传漏洞

0x01 阅读须知融云安全的技术文章仅供参考，此文所提供的信息只为网络安全人员对自己所负责的网站、服务器等（包括但不限于）进行检测或维护参考，未经授权请勿利用文章中的技术资料对任何计算机系统进行入侵操...

02月27日65 views评论

阅读全文

代码审计

某CMS的通用漏洞挖掘过程（含freemarker模板注入利用）

扫码领资料获网安教程本文所涉及的漏洞已提交CNVD且厂商已完成漏洞修复，请勿用于非授权测试！！！现在比较严格，目标名称均以某CMS指代，见谅。前言本来计划在cnvd公开这个小漏洞的时候就把这篇小作文写...

02月21日33 views评论

阅读全文

安全文章

实战 | 万户GeneralWeb组合Bypass Rasp

0x01 前言最近碰到了个万户OA，是存在GeneralWeb xxe漏洞的，同时可以搭配打axis部署service。目前看到的主要是以下几个利用，可以自行搜索下。org.apache.axis.h...

11月24日136 views评论

阅读全文

收集内存马打入方式

SPEL一款用不加模板解析的payloadT(java.lang.Runtime).getRuntime().exec("calc")new+java.lang.ProcessBuilder("cmd...

02月03日安全文章180 views评论

阅读全文