某云的反序列漏洞及绕过思路分析

最近看到Kingdee星空反序列化漏洞各种各样的接口,本文将分析其漏洞原理及绕过思路,入门学习.NET程序的调试过程。

微软产品里的‘小惊喜’:两个有趣漏洞浅析

最近,微软更新了一批安全补丁。其中CVE-2023-36563(Microsoft WordPad Information Disclosure Vulnerability)和CVE-2023-24955(Microsoft SharePoint Server Remote Code Execution Vulner...

ERC2771 Multicall任意地址欺骗攻击分析

ERC2771 Multicall任意地址欺骗攻击

( CVE-2023-50164)Apache Struts2 S2-066 文件上传漏洞分析

Struts2 官方披露 CVE-2023-50164 Apache Struts 文件上传漏洞,攻击者可利用该漏洞污染相关上传参数导致目录遍历,在具体代码环境中可能导致上传 Webshell,执行任意代码。

  • 2
  • 2
  • jweny
  • 发布于 2023-12-20 09:00:02
  • 阅读 ( 14245 )

某次实战代码审计出sql注入漏洞记录

某次项目中朋友拿到了一份web的源码让帮忙看下,通过审计发现多处注入,挑选一处记录一下

某oa登录绕过分析

本文会先从正常登录逻辑分析,从而找到该系统认证的过程和方式,进而搜索相关接口找到其他登录接口,进而利用漏洞绕过登录

一次曲折的漏洞挖掘

在复现某cms漏洞时,尝试审计一下该cms,没想到反转再反转,记录审计一下过程

某开源OA系统的审计记录

对某开源OA参数过滤情况下的审计过程记录

记某系统有趣的文件上传

本次是一次漏洞复现记录,记录了一个有趣的后台文件上传漏洞,以后遇到类似的拦截可以参考这次的过程绕过。

由php反序列化字符串逃逸造成的SQL注入漏洞分析

此篇文章针对的emlog轻量级博客及CMS建站系统存在反序列化字符逃逸+sql注入漏洞,进一步了解学习php反序列化的字符逃逸问题。

无痕制作钓鱼邮件

声明: 利用钓鱼网站骗取银行卡或信用卡账号、密码等私人资料属于非法行为,请不要进行任何非授权的网络攻击,由于传播、利用本文所提供的信息而造成的任何直接或间接的后果及损失,均由使用者...

  • 10
  • 2
  • HbTigerGe
  • 发布于 2023-12-08 11:50:20
  • 阅读 ( 17275 )

I DOC VIEW前台RCE分析

I DOC VIEW是一个在线的文档查看器,其中的/html/2word接口因为处理不当,导致可以远程读取任意文件,通过这个接口导致服务器下载恶意的JSP进行解析,从而RCE。

  • 1
  • 1
  • SpringKill
  • 发布于 2023-12-07 09:00:01
  • 阅读 ( 15295 )

IDocView前台远程代码执行漏洞分析

IDocView前台远程代码执行漏洞分析细节

  • 1
  • 0
  • markin
  • 发布于 2023-12-04 10:26:29
  • 阅读 ( 15736 )

新手向某CMS的Java反序列链学习

Github上偶然发现某系统存在Java反序列化漏洞,在编写反序列化链的过程中踩了一些坑,并且这个漏洞最终的触发方式也比较特殊,本文分享一下此过程以及如何利用ysoserial工具完成Java反序列化链payload的编写,初学者通过本文也可以了解一下Java反序列化链的原理。

【Web实战】浅谈Apache Shiro FORM URL Redirect漏洞(CVE-2023-46750)

Apache官方近期披露了CVE-2023-46750,在受影响版本中,由于在FORM身份验证中没有对认证后重定向的页面做验证,攻击者可以构造恶意的URL,使得用户重定向到恶意的URL地址。

  • 0
  • 0
  • tkswifty
  • 发布于 2023-11-28 10:00:01
  • 阅读 ( 15997 )

【Web实战】浅谈Reactor Netty HTTP Server目录穿越漏洞(CVE-2023-34062)

Spring官方近期披露了CVE-2023-34062,在 Reactor Netty HTTP Server 中,1.1.x 版本在 1.1.13 之前以及 1.0.x 版本在 1.0.39 之前存在安全漏洞。在特定情况下,攻击者可以通过发送一个特定的 URL 的请求来触发目录遍历攻击。

  • 0
  • 0
  • tkswifty
  • 发布于 2023-11-27 09:00:00
  • 阅读 ( 15323 )

【Web】SysAid On-Prem Software CVE-2023-47246 目录穿越RCE

2023 年 11 月 8 日,SysAid 发布了一份公告,表示他们的本地服务器软件存在先前未公开的漏洞,并且发现了公开的野外利用,本文将对该漏洞进行分析,并给出利用方式。

  • 0
  • 2
  • Y4er
  • 发布于 2023-11-24 10:00:00
  • 阅读 ( 14207 )

【Web实战】XXE漏洞

XXE漏洞指的是XML外部实体注入(XML External Entity Injection)漏洞,它是一种常见的安全漏洞类型,可以用来攻击基于XML的应用程序。当应用程序接受XML输入时,攻击者可以插入带有外部实体引用的恶意XML数据,从而导致应用程序执行未经授权的操作,比如访问本地文件系统、执行远程代码等。攻击者可以通过利用XXE漏洞来获取敏感信息、控制服务器,或者执行其他恶意操作。

【Web实战】ActiveMQ漏洞分析保姆教程(CVE-2023-46604)

ActiveMQ漏洞分析保姆教程(CVE-2023-46604) by 猫蛋儿安全团队

【Web实战】浅谈PlantUML回显SSRF漏洞(CVE-2023-3432)

PlantUML是一种开源的、用于绘制UML(Unified Modeling Language)图表的工具,对CVE-2023-3432的成因进行分析。

  • 0
  • 0
  • tkswifty
  • 发布于 2023-11-22 09:00:01
  • 阅读 ( 12469 )