【Web实战】 Atlassian Confluence CVE-2023-22518/22515 Getshell 速通

对 CVE-2023-22518 的一波分析

  • 0
  • 2
  • Nookipop
  • 发布于 2023-11-13 10:07:47
  • 阅读 ( 17223 )

某Cloud系统漏洞分析

最近学习反序列漏洞时,恰好看到某系统官方在安全公告中通告了较多的反序列化漏洞。出于兴趣,尝试对该系统的公开漏洞进行一次个人的浅浅分析。如有不对之处,请各位师傅指正并包涵。

【Web实战】浅析CVE-2023-22518

简单分析下CVE-2023-22518这个高危漏洞,师傅们切记不要再生产环境使用。

  • 0
  • 0
  • SpringKill
  • 发布于 2023-11-10 10:00:01
  • 阅读 ( 16471 )

【Web实战】数据泄露漏洞

随着移动互联网的快速发展和物联网设备的普及,API在应用开发中扮演着越来越关键的角色。几乎所有的APP、web网站、小程序、微服务都依赖API进行数据调用,因此与API相关的数据泄露事件也逐渐增多。Facebook 、Twitter、Amazon、美团等公司均发生过由于API未鉴权、鉴权不严格或其它漏洞而发生大量数据泄露事件。 API安全指的是确保应用程序接口的安全性,以防止未经授权的访问、数据泄露、篡改或其他恶意攻击。

【Web实战】哥斯拉全语言流量分析

哥斯拉是继菜刀、蚁剑、冰蝎之后的又一个webshell利器,这里就不过多介绍了。 GitHub地址:https://github.com/BeichenDream/Godzilla 很多一线师傅不太了解其中的加解密手法,无法进行解密,这篇文章介绍了解密的方式方法,主要补全了网上缺少的ASP流量分析、PHP解密脚本和C#解密脚本。

  • 3
  • 3
  • JKL
  • 发布于 2023-11-09 10:00:01
  • 阅读 ( 15845 )

【Web实战】JetBrains TeamCity 任意代码执行漏洞分析(CVE-2023-42793)

TeamCity 是一款持续集成和软件交付 (CI/CD) 解决方案。该漏洞是由于对服务器 API 的访问控制不足造成的,允许未经身份验证的攻击者访问管理面板。利用该漏洞,攻击者可以通过网络访问 TeamCity 服务器,获取项目源代码,并通过在项目构建任务执行代理上执行任意代码,对基础架构发起进一步攻击。该漏洞可能会给供应商带来不可接受的网络安全事件。

  • 0
  • 0
  • zuoyou
  • 发布于 2023-11-09 09:00:01
  • 阅读 ( 14169 )

帆软报表 V8.0 组合拳漏洞分析及复现

简要介绍帆软FineReport 8.0版本中的组合拳漏洞原理和复现过程,并提供在日常流量侧分析时应注意的一些要点。

  • 0
  • 0
  • Rodentyoo
  • 发布于 2023-11-06 09:00:01
  • 阅读 ( 14876 )

记一次过滤jsp的文件上传

在某次对某单位进行渗透测试时,遇到一个上传点,网站是java写的,但是上传jsp和jspx时会被waf拦截,但由于上传路径可控,经过不懈努力最终成果拿到shell,于是写这篇文章记录一下

某系统模板注入分析

某系统前阵子公开了模板注入的漏洞,漏洞点在于程序对传入的sql语句处理时使用了freemarker模板渲染导致的问题。代码对该接口传参的处理先经过sql关键字的过滤,且分析中发现了一处可用的sql注入的payload,故先从sql注入开始介绍。

某CMS的RCE漏洞分析&思路扩展(新手学习)

Github上面一个开源的JAVA CMS系统( [Public CMS](https://github.com/sanluan/PublicCMS) ),该系统存在一处任意命令执行(漏洞现已修复),记录下该漏洞的分析过程以及遇到类似的CMS系统我们还可以从哪些点进行漏洞挖掘。

金山终端安全系统V9.0 SQL注入漏洞

近期,长亭科技监测到猎鹰安全(原金山安全)官方发布了新版本修复了一处SQL注入漏洞。xpc可以检测该漏洞,就想着获取一下poc,并且分析一下漏洞原理。

  • 1
  • 0
  • zuoyou
  • 发布于 2023-10-25 09:00:02
  • 阅读 ( 15516 )

Lilishop 开源商城系统代码审计

Lilishop 开源商城系统是基于SpringBoot的全端开源电商商城系统,是北京宏业汇成科技有限公司提供的开源系统。该开源商城包含的功能点多,涵盖业务全面,代码审计时没有过于关注业务逻辑只关注了对系统的完整性、保密性、可用性造成损坏的漏洞点。文章分享了比较有意思的SSRF利用方式。

  • 4
  • 8
  • en0th
  • 发布于 2023-10-12 00:00:02
  • 阅读 ( 18493 )

某cms漏洞浅析

出于某些原因当时需要去审计一些漏洞用作特定所需的支撑,但是在逐渐审计开源cms的过程中又不需要了,索性就当锻炼审计能力做了记录。

  • 1
  • 0
  • joker
  • 发布于 2023-10-10 09:00:01
  • 阅读 ( 15751 )

superset反序列化分析

前几天看到有公众号发布了Apache Superset的命令执行漏洞,涉及到python的反序列化,正好今天分析一下漏洞点的发现和漏洞利用过程

攻防千层饼

近年来,网络安全领域正在经历一场不断升级的攻防对抗,这场攻防已经不再局限于传统的攻击与防御模式,攻击者和防守者都已经越发熟练,对于传统攻防手法了如指掌。

某OA系统的审计(新手学习)

一次偶然机会,找人要了套源码,是Stuts2和spring框架混用的系统,比较简单适合入门学习

某cms漏洞挖掘分析

某cms漏洞挖掘分析,该系统代码简单,因此注入漏洞发现过程还是挺顺利的,就在index.php的文件中,结果绕过waf稍微有些曲折,特此记录一下学习过程。

某cms命令执行绕过分析

CraftCMS在4.4.14版本中存在服务器端模板注入的漏洞,经过身份验证的攻击者可以绕过路径过滤设置模板目录,将任意文件上传至Twig模板目录中,从而导致模板注入进而造成远程代码执行

浅析Geoserver注入

GeoServer 是一个用 Java 编写的开源软件服务器,允许用户共享和编辑地理空间数据,支持众多地图和空间数据标准,能够使各种设备通过网络来浏览和使用这些地理数据。GeoServer 基于 Spring 开发,使用到了 GeoTools 库。

通达OA反序列化分析

  • 0
  • 2
  • Macchiato
  • 发布于 2023-09-06 09:00:00
  • 阅读 ( 13661 )