010x01漏洞描述2024年8月,互联网上披露了Apache OFBiz 授权不当致代码执行漏洞(CVE-2024-38856),该漏洞允许未经身份验证的远程攻击者通过特定的URL绕过安全检测机制执...
安全开发之Web应用可视化日志操作审计
今天我顶着白花花的太阳赶到一个客户现场做合规,这个客户是一家大厂旗下的子公司。进去一看,楼道里有一个大屏商业作战(宣传)地图,大屏上以光点显示用户地理位置和设备安装量(是一些专供商家使用的设备,比如摄...
【2024你懂得】三十六计之攻心为上(表情包分享)
又到了一年一度的网安人最大的“娱乐活动”每年这个时候,少不了各种梗。 我叫XX在XX,求打穿 各路诸侯连夜奉旨进京 别说,苕皮是挺好吃的 等等各种有趣的故事,堪称晚安春晚。 但是吃瓜怎么能没有表情包呢...
设计模式-开闭原则
考研求职两不误——开放-封闭原则 开闭原则是面向对象设计思想的核心所在 需求发生变化时,要尽量考虑到后续可能的同类变化,对频繁变化的点及时做出抽象 面对需求,对程序的改动是通过增加新代码进行的,而不是...
近期红队攻防实战趣事小记(与蓝队穿越空间的一场完美邂逅)
前言: 国护在即,最近大大小小各种攻防也参加了许多,有几个比较有意思的实战记录一下,想看与蓝队奇葩骂人技能的跳转到文末,由于内容敏感厚码见谅。首先是某省...
记一次Ueditor上传Bypass
原文首发在先知社区 https://xz.aliyun.com/t/15011 前言 前一段时间和小伙伴在某内网进行渗透测试,目标不给加白,只能进行硬刚了,队友fscan一把梭发现某资产疑似存在Ued...
春秋云镜-CVE-2023-26469
靶场环境来自:春秋云镜(挺不错的靶场)。看我上篇文章就知道了。 1、漏洞介绍 Jorani是一款开源的员工考勤和休假管理系统,适用于中小型企业和全球化组织,它简化了员工工时记录、休假请求和审批流程,并...
dnslog攻击流量简单分析
dnslog攻击流量简单分析 前言 攻击方在对一个目标进行攻击时,会有一些漏洞探测的动作。当遇到没有回显的命令执行和注入时,会采用结合dnslog的方式。 例子 命令执行漏洞: ping www.xx...
XWiki DatabaseSearch 存在远程命令执行漏洞CVE-2024-31982 附POC
免责声明:请勿利用文章内的相关技术从事非法测试,由于传播、利用此文所提供的信息或者工具而造成的任何直接或者间接的后果及损失,均由使用者本人负责,所产生的一切不良后果与文章作者无关。该文章仅供学习用途使...
万户ezEIP企业管理系统success.aspx接口存在远程命令执行漏洞 附POC
1. 万户ezEIP企业管理系统简介 微信公众号搜索:南风漏洞复现文库 该文章 南风漏洞复现文库 公众号首发 万户ezEIP企业管理系统 2.漏洞描述 万户ezEIP企业管理系统提供信息管理、多重安全...
大华智慧园区综合管理平台user_getUserInfoByUserName.action存在敏感信息泄露漏洞 附POC
免责声明:请勿利用文章内的相关技术从事非法测试,由于传播、利用此文所提供的信息或者工具而造成的任何直接或者间接的后果及损失,均由使用者本人负责,所产生的一切不良后果与文章作者无关。该文章仅供学习用途使...
攻防演练 | 一次近源渗透
本文由掌控安全学院 - Alan投稿 1.XX博物馆 因为这次比赛有近源攻击,刚好资产上面有这个博物馆,因为信息太少没被打穿,就打车去近源攻击碰碰运气,第一天过去的时候刚好周末博物馆没开门,就管门卫说...
20