全部 - 热门的文章 - 第3页 - 奇安信攻防社区

高版本jdk下jndi攻击案例 apache-hertzbeat CVE-2024-45505

今年我在补天白帽大会分享了我和springkill的研究成果《JNDI新攻击面探索》，这里以apache-hertzbeat CVE-2024-45505做一个列子，详细分析高版本jdk下的jndi利用。

0
0
Unam4
发布于 2025-01-07 10:03:29
阅读 ( 7415 )

CVE-2024-48990 needrestart权限提升漏洞分析

needrestart 是Ubuntu 和其他基于 Debian 的 Linux 发行版中常用的一个工具，主要用于检测系统中是否有需要重启的服务或内核模块。它在软件包更新后运行，帮助管理员识别哪些服务或进程需要重新启动以使更新生效。

0
0
cike_y
发布于 2024-12-31 08:00:02
阅读 ( 7242 )

某通新一代电子文档安全管理系统远程代码执行漏洞(XVE-2024-8758)

某通新一代电子文档安全管理系统远程代码执行漏洞

0
1
xhys
发布于 2024-08-29 10:00:02
阅读 ( 7103 )

CVE-2024-52046 Apache mina 反序列化漏洞简单分析

最近披露了一个新的apache下述产品mina的CVE-2024-52046反序列化漏洞，这个产品mina之前没有接触过，好奇心驱使之下准备一下并记录一下学习的过程

0
0
鸣蜩十四
发布于 2025-02-11 10:00:02
阅读 ( 6550 )

某通电子文档安全管理系统SQL注入漏洞代码分析

0
3
xhys
发布于 2024-08-21 09:50:05
阅读 ( 6431 )

全网首发！CVE-2025-27817 Apache Kafka Client 任意文件读取与SSRF 漏洞分析复现

CVE-2025-27817

4
5
hahaha123
发布于 2025-06-12 16:11:17
阅读 ( 6347 )

Zabbix zbx_auditlog_global_script SQL注入漏洞(CVE-2024-22120)漏洞分析

Zabbix是一个开源的监控解决方案，用于监控网络和应用程序的性能和健康状况。它能够监控IT基础设施，包括服务器、虚拟机、网络设备、Web应用程序等。 Zabbix 服务器可以对配置的脚本执行命令。执行命令后，审计条目将添加到“审计日志”中。由于“clientip”字段未经过清理，因此可以将 SQL 注入“clientip”并利用基于时间的盲 SQL 注入。此漏洞可能导致权限从用户提升到管理员。在某些情况下，SQL 注入会导致 RCE。

1
0
la0gke
发布于 2024-08-27 09:43:43
阅读 ( 6165 )

金和OA C6系统-JHSoft两处任意文件读取漏洞分析

# 漏洞简介金和OA C6协同管理平台是以“精确管理思想”为灵魂，围绕以“企业协同四层次理论”为模型，而构建的结构化的、灵活集成的、动态响应的、面向企业运营管理的智慧协同应用管理平台。该O...

0
0
chobits
发布于 2025-02-24 09:00:02
阅读 ( 5915 )

某通电子文档安全管理系统DecryptionApp反序列化漏洞RCE

某通是使用了servlet框架，一般都是先去web.xml寻找相关路由进而确定代码的位置

0
2
xhys
发布于 2024-08-28 10:14:33
阅读 ( 5856 )

[热点]CVE-2025-30208 Vite开发服务器任意文件读取漏洞分析

Vite 是一款现代化的前端开发构建工具，它提供了快速的开发服务器和高效的构建能力，广泛应用于 Vue.js 项目的开发过程中。Vite 开发服务器在处理特定 URL 请求时，没有对请求的路径进行严格的安全检查和限制，导致攻击者可以绕过保护机制，非法访问项目根目录外的敏感文件

0
0
吃不饱的崽
发布于 2025-03-27 14:22:25
阅读 ( 5851 )

某天OA-renameService-SQL注入漏洞分析

# 漏洞描述某天OA系统是一个以技术领先著称的协同软件产品，具有极为突出的实用性、易用性和高性价比，实施简便，使用灵便。该系统renameService接口中的传参可以导致HQL语句闭合造成SQL注入...

1
0
chobits
发布于 2025-02-21 10:00:02
阅读 ( 5794 )

CVE-2024-41010 linux内核中网络调度相关的net/sched部分存在释放后使用漏洞漏洞利用分析

该漏洞存在于 Linux 内核的流量控制和调度部分。通过特定的操作，攻击者能够触发 UAF（Use-After-Free）漏洞。攻击者可以通过合理的构造条件，在内核内存中写入任意数据，从而造成系统崩溃或进一步的安全威胁。

0
0
吃不饱的崽
发布于 2025-02-10 10:02:57
阅读 ( 5640 )

用友 U8Cloud Actionservlet sQL注入漏洞分析

U8cloud系统MeasureQueryFrameAction接口存在SQL注入漏洞，攻击者未经授权可以访问数据库中的数据，从而盗取用户数据，造成用户信息泄露。

0
0
la0gke
发布于 2024-08-21 09:36:09
阅读 ( 5585 )

CVE-2024-36465：Zabbix SQL注入漏洞分析

Zabbix 是一款开源的网络监控和报警系统，用于监视网络设备、服务器和应用程序的性能和可用性。一个具有 API 访问权限的低权限（常规）Zabbix 用户可以利用 include/classes/api/CApiService.php 中的 SQL 注入漏洞，通过 groupBy 参数执行任意 SQL 命令。