发表于
2024-12-20 13:07:19
实战攻防 | 针对JS路径的泄露和Webpack漏洞的初探
0x1前言浅谈这篇文章给师傅们分享下前段时间跟其他师傅学习和交流的Webpack相关漏洞，这个漏洞相对来说比较冷门，在web漏洞中不是那么的热度高，但是平常去挖掘和发现这个漏洞相对来说还是不难的。后面要是有机会可以给师傅们分享下油猴的相关脚本去找Webpack漏洞泄露的js敏感路径，然后打一波Webpa
...继续阅读
(11)
发表于
2024-12-20 13:05:57
浅谈src挖掘中——文件上传和XSS漏洞的组合拳
0x1 前言哈喽，师傅们好！这次打算给师弟们分享的是XSS之Flash弹窗钓鱼和文件上传getshell各种姿势的内容，然后先是给小白师傅们简单介绍下XSS漏洞和文件上传漏洞。然后后面给师傅们简单演示了XSS之Flash弹窗钓鱼，然后后面很详细的介绍了文件上传和XSS漏洞的组合拳的好几种方式，后面也是通过对一个站点的测试，给师傅们演示了一波。
...继续阅读
(12)
发表于
2024-12-20 10:57:50
新观点！CISO们无需迷信LLMs
近年来，网络安全专家一直在呼吁拓展CISO的职责范围，以应对日益复杂的网络威胁。生成式AI的出现，尤其是大型语言模型（LLMs）为网络安全带来了新的挑战。尽管LLMs具有巨大的潜力，但网络犯罪分子并未充分利用这一技术来提升其攻击能力。
...继续阅读
(15)
发表于
2024-12-20 10:57:50
FortiWLM 曝关键漏洞，攻击者可获得管理员权限
Fortinet 披露了 Fortinet Wireless Manager （FortiWLM） 中的一个严重漏洞，该漏洞允许远程攻击者通过特制的 Web 请求执行未经授权的代码或命令来接管设备。
...继续阅读
(24)
发表于
2024-12-20 10:43:16
Google 日历沦为钓鱼新工具，可有效绕过安全防护机制
发表于
2024-12-19 17:44:40
FreeBuf早报 | CNCERT处置两起美对我科技单位攻击事件；Fortinet发布严重漏洞警告
全球动态1.《网络安全标准实践指南——移动互联网未成年人模式技术要求》公开征求意见本指南规定了移动互联网未成年人模式的技术要求，包括移动智能终端、应用程序、移动应用程序分发平台未成年人模式技术要求以及模式联动技术要求。 【
...继续阅读
(14)
发表于
2024-12-19 14:20:56
微软Teams已经成了黑客社工的“最佳载体”？
一项新的社会工程活动显示，大量攻击者利用微软Teams作为部署已知恶意软件DarkGate的手段。Trend Micro研究人员Catherine Loveria、Jovit Samaniego和Gabriel Nicoleta表示，“攻击者通过微软Teams电话进行社会工程，冒充用户的客户并获得远程访问他们系统的权利。攻击者未能安装微软远程支持应用程序，但成功指示受害者下载AnyDesk，
...继续阅读
(20)
发表于
2024-12-19 10:46:18
Apache Tomcat新漏洞允许攻击者执行远程代码
据Cyber Security News消息，安全研究人员在流行的开源 Web 服务器 Apache Tomcat和servlet 容器中发现了两个严重漏洞，可能允许攻击者执行远程代码并导致拒绝服务。
...继续阅读
(27)
发表于
2024-12-19 10:46:18
CISA发布新的云安全要求
12月17日，CISA 发布了今年第一部具有约束力的操作指令《绑定操作指令25-01：实施云服务安全实践》（BOD 25-01指令 ），要求美国联邦民事机构实施一系列必需的安全配置基线（SCB）以保护其云环境。BOD 25-01指令旨在通过强制云服务实施安全措施来减少美国联邦网络的攻击面，要求美国联邦机构部署CISA开发的自动配置评估工具，与持续监控基础设施集成，并纠正与安全配置基线的任何偏
...继续阅读
(37)
发表于
2024-12-19 09:18:26
修复秘籍：如何有效应对CVE-2024-20767和CVE-2024-21216漏洞
CVE-2024-20767 - ColdFusion 路径遍历漏洞可能导致敏感数据泄露CVE-2024-20767 是一个影响 ColdFusion 2023.6、2021.12 及更早版本的漏洞。这些版本存在不当的访问控制漏洞，允许攻击者进行任意文件系统读取。攻击者通过利用此漏洞，可以绕过安全措施，未经
...继续阅读
(12)
发表于
2024-12-18 17:19:53
FreeBuf早报 | CVSS漏洞评分系统曝出严重缺陷；辉立证券客户账号遭黑客入侵
全球动态1. APT组织开始大量抄袭红队先进的战术和工具近日，安全研究人员调查后发现，臭名昭著的APT组织Earth Koshchei（也被称为APT29或Midnight Blizzard）与一项大规模非法远程桌面协议（RDP）的恶意活动相关。 【外刊-
...继续阅读
(18)
发表于
2024-12-18 15:03:15
知名间谍软件公司 Paragon 被美国私募收购
据以色列新闻媒体报道，一家美国私募股权公司已完成对以色列间谍软件公司Paragon的收购交易。关于AE Industrial Partners这家私募股权巨头为Paragon支付了多少，存在相互矛盾的报道。以色列商业报纸Calcalist报道称，AE Industrial支付了5亿美元，并且如果公司增长，交易金额有可能增至9亿美元。以色列金融媒体Globes报道称，初始支付金额
...继续阅读
(15)
发表于
2024-12-18 14:48:13
APT组织开始大量抄袭红队先进的战术和工具
近日，安全研究人员调查后发现，臭名昭著的APT组织Earth Koshchei（也被称为APT29或Midnight Blizzard）与一项大规模非法远程桌面协议（RDP）的恶意活动相关。
...继续阅读
(23)
发表于
2024-12-18 14:18:58
PbootCMS V3.2.9前台SQL注入漏洞（上）
0x01 前言PbootCMS是全新内核且永久开源免费的PHP企业网站开发建设管理系统，是一套高效、简洁、 强悍的可免费商用的PHP CMS源码，能够满足各类企业网站开发建设的需要。系统采用简单到想哭的模板标签，只要懂HTML就可快速开发企业网站。官方提供了大量网站模板免费下载和使用，将致力于为广大开发者和企业提供最佳的
...继续阅读
(16)
发表于
2024-12-18 10:10:15
Meta因6年前的数据泄露事件被罚款2.64亿美元
据BleepingComputer消息，当地时间12月17日，爱尔兰数据保护委员会（DPC）以Facebook涉嫌泄露2900万用户个人数据，违反了《通用数据保护条例（GDPR）》相关规定为由，对其母公司 Meta 处以 2.51亿欧元（约2.64亿美元）罚款。
...继续阅读
(15)
发表于
2024-12-17 21:05:13
Commons Collections 1反序列化利用链详解
前置知识Apache Commons CollectionsApache Commons Collections 库库提供了一系列扩展的集合类，它可以帮助开发者更方便地处理各种数据集合相关的操作，并且提供了很多在 Java 标准集合框架（java.util包中的集合类）基础上
...继续阅读
(13)
发表于
2024-12-17 17:34:45
Jumpserver_decrypto: 解密 Jumpserver ssh配置的开源工具
一、简介jumpserver作为运维必备的神器，是大家喜闻乐见的攻击对象。新版本的加密改为国密之后，解密困难。而该工具的作者在一次授权的实战中又遇到了该堡垒机，故jumpserver_decrypto诞生了。jumpserver_decrypto 是一个专门用于解密 Jumpserver 配置的开源工具。它能够帮助用户安全地访问和管理他们的 Jumpserver
...继续阅读
(14)
发表于
2024-12-17 15:53:14
FreeBuf早报 | 美私募巨头收购间谍软件Paragon；黑莓1.6亿美元甩卖网络安全业务
全球动态1. 国常会审议通过《公共安全视频图像信息系统管理条例（草案）》国务院总理李强12月16日主持召开国务院常务会议，会议审议通过《公共安全视频图像信息系统管理条例（草案）》，指出要规范公共安全视频系统建设和使用，更好维护公共安全、保护个人隐私。【
...继续阅读
(13)
发表于
2024-12-17 13:16:32
最新的Windows内核漏洞，可获system权限
网络安全和基础设施安全局（CISA）已将两个新的漏洞添加到其已知被利用漏洞目录中，其中一个是涉及 Windows 内核的漏洞，目前正被用于攻击。该漏洞编号为CVE-2024-35250，具体是在 Windows 的 ks.sys 驱动中存在的 "不受信任的指针解引用" 漏洞 (CWE-822)。这个漏洞可以通过利用未受信任的指针，来进行任意内存读写，最终实现权限提升。这种问题可
...继续阅读
(39)
发表于
2024-12-17 11:19:07
网络安全专家爱用的逆向工具 Top9
发表于
2024-12-17 11:01:19
黑客通过虚假品牌赞助攻击YouTube视频创作者
据Cyber Security News消息，网络安全专家发现了一波针对Youtube创作者的攻击，攻击者利用钓鱼邮件，冒充品牌方与这些创作者进行合作沟通，以此来传播恶意软件。攻击者使用定制的电子邮件、专业的品牌和语言以及诱人的品牌赞助或促销交易报价来迷惑创作者。邮件中包含合同和材料文件，但这些文件已被武器化，就会窃取敏感数据，包括登录凭证、财务信息甚至知识产权。
...继续阅读
(35)
发表于
2024-12-16 16:37:49
FreeBuf早报 | 黑客利用谷歌搜索广告发起恶意活动；curl漏洞允许攻击者访问敏感信息
全球动态1. 国家安全机关破获多起主动投靠境外间谍组织案件近期，国家安全机关陆续破获多起涉案人员主动投靠境外间谍情报机关危害国家安全案件，及时消除泄密隐患，给予不法分子有力震慑。 【阅读原文
...继续阅读
(23)
发表于
2024-12-16 13:56:13
超深度｜黑马Wiz的10亿之路，你不知道的那些事儿～
读者朋友们，今天，我们将探讨 Wiz的非凡崛起——他们是如何在短短四年多的时间里，成为史上最快达到 5 亿美元总收入的公司！这是一项令人印象深刻的壮举，只有 OpenAI 等少数几家公司能宣称自己拥有类似的发展轨迹。更吸引人的是，虽然云计算已经存在了 15 年，但最成功的云安全厂商直到 2020 年才出现。然而，它却是云安全领域最后的推动者
...继续阅读
(18)
发表于
2024-12-16 10:15:32
密码将死？微软无密码时代取得重大进展
发表于
2024-12-16 10:15:32
针对安全人员，攻击者窃取了39万个WordPress凭证
据BleepingComputer消息，一个被标记为 MUT-1244 的攻击者利用植入木马的 WordPress 凭证检查器进行了一次规模庞大、长达一年的攻击活动，盗取了超过 39 万个 WordPress 凭证。
...继续阅读
(39)
发表于
2024-12-16 10:15:32
iOS和macOS系统曝关键漏洞，可破坏TCC框架
近日，苹果iOS和macOS系统中被曝光一个关键的安全漏洞，若被成功利用，可能会绕过透明度、同意和控制（TCC）框架，导致用户敏感信息被未经授权访问。漏洞编号CVE-2024-44131，存在于文件提供组件中，苹果通过在iOS 18、iPadOS 18和macOS Sequoia 15中增强符号链接的验证来修复此问题。
...继续阅读
(45)
发表于
2024-12-15 21:58:02
电子数据取证 | 一次电子数据取证的尝试与反思
0x01 前言声明：本文旨在记录个人在网络安全领域中的取证经历。由于涉及保密协议，本文中的所有取证素材已做脱敏处理，敬请谅解。笔者未曾接受过系统的专业数据取证培训，很多思路和方法都来源于个人的理解、学习和实践过程。在整个取证过程中，尽管存在许多困难与挑战，但最终通过不断尝试与调整，成功获取了所需的证据。在此，笔者诚恳地向各位行业专家
...继续阅读
(13)
发表于
2024-12-13 20:00:25
FreeBuf早报 | Google Drive链接被武器化；30万个Prometheus监控服务器暴露
全球动态1. 新的IOCONTROL恶意软件被用于关键基础设施攻击伊朗威胁行为者正在利用一种名为IOCONTROL的新恶意软件，用以破坏以色列和美国关键基础设施使用的物联网(IoT)设备和操作技术/监控与数据采集系统(OT/SCADA)。【外刊-
...继续阅读
(16)
发表于
2024-12-13 15:59:44
大利好，国家发展改革委颁布《电力监控系统安全防护规定》
近日，国家发展改革委颁布了新修订的《电力监控系统安全防护规定》（国家发展改革委2024年第27号令，以下简称《规定》），自2025年1月1日起施行，原《电力监控系统安全防护规定》（国家发展改革委2014年第14号令）同时废止。为便于各有关方面准确理解和把握政策内容，国家能源局有关负责同志接受采访，回答了记者提问。修订背景原《规定》于2014
...继续阅读
(26)
发表于
2024-12-13 13:09:32
大众和斯柯达曝12个组合漏洞，攻击者可在10米内无接触入侵
