xaml | CN-SEC 中文网

安全新闻

隐秘的后门：XAML工作流的潜在风险

前言Web应用程序的安全一直是一个重要议题。除了常见的漏洞，一些不常用的功能也可能成为攻击者的突破口。今天我们来聊聊一种不太被重视的攻击面：XAML工作流服务。XAML(Extensible Appl...

03月21日18 views评论

阅读全文

安全文章

1.XmlSerializer反序列化点以及ObjectDataProvider链

1.前言本系列记录一下关于.NET安全中反序列化相关的安全知识吧，网上的很多关于这方面的文章感觉都有些年头了，主要侧重于审计层面，跟随前辈的脚步来研究一下。2.关于XmlSerializer首先我们就...

10月08日31 views评论

阅读全文

安全漏洞

Sitecore远程代码执行漏洞

0x00 漏洞编号 CVE-2023-35813 0x01 危险等级高危 0x02 漏洞概述Sitecore致力于为企业提供一个集成的平台，通过利用大数据和人工智能技术来个性化内容交付，从而优化用户...

07月15日172 views评论

阅读全文

安全漏洞

Exchange Server(CVE-2023-36439)远程代码执行漏洞分析

一漏洞描述2023年11月微软发布的安全更新中，修复了笔者报送的CVE-2023-36439。利用该漏洞，在与Exchange服务器位于同一内部网络的情况下，经过身份验证的攻击者可以通过PowerSh...

01月11日135 views评论

阅读全文

代码审计

.NET 反序列化最新攻击链 XamlImageInfo

0x01 基本介绍 XamlImageInfo类属于命名空间 System.Activities.Presentation.Internal，通常用于WPF处理与图像和图标相关的功能。本次更新的gad...

10月23日63 views评论

阅读全文

安全文章

.NET ViewState反序列化 (15) xaml攻击链

星球优惠活动为了更好地应对基于.NET技术栈的风险识别和未知威胁，dotNet安全矩阵星球从创建以来一直聚焦于.NET领域的安全攻防技术，定位于高质量安全攻防星球社区，也得到了许多师傅们的支持和信任，...

05月25日45 views评论

阅读全文

安全新闻

对ZDI公布的InfraSuite Device Master一揽子漏洞的分析

前言看到zdi发了一堆洞，有反序列化、目录穿越、权限绕过等等，还是dotnet的，于是有了此文。基础架构 exe对应端口 C:\Program Files\InfraSuite Device Ma...

11月09日88 views评论

阅读全文

安全文章

DotNet安全-从ObjectDataProvider说起

DotNet安全-从ObjectDataProvider说起引言在《DotNet安全-CVE-2022-23277漏洞复现》这篇文章中，我们想要通过反序列化漏洞直接写入文件的时候遇见了问题，当时觉得O...

11月02日155 views评论

阅读全文

安全文章

.net反序列化萌新入门--BinaryFormatter

BinaryFormatter简介BinaryFormatter位于命名空间:System.Runtime.Serialization.Formatters.Binary，以二进制格式序列化和反序列化...

10月19日82 views评论

阅读全文

安全文章

.NET WebShell 免杀系列之XamlReader

.NET平台下的一句话木马百年不变，最常见的当属下面这句，百度WebShell在线查杀可正常识别如下图<%@ Page Language="Jscript"%><%eval(Requ...

06月21日35 views评论

阅读全文

代码审计

.NET高级代码审计(第12课) Gadget之详解ObjectDataProvider

0x01 背景有国外研发者在微软官方Github上提出废除ObjectDataProvider的建议，大家在微软社区讨论的非常热烈，提出问题者的出发点依旧是存在巨大的安全隐患，但截止目前在.NET C...

04月22日98 views评论

阅读全文