HW 中如何利用 WAF 缺陷进行绕过
在挖洞过程中，往往会遇到各种攻击利用被waf拦截的情况，本文浅析总结了常见的一些绕过思路以及具体实现
- 0
- 0
- 中铁13层打工人
- 发布于 2024-07-26 10:00:02
- 阅读 ( 634 )
中铁13层打工人
掌控安全学院
Yu9
wordperss_country-state-city-auto-dropdown插件未授权sql注入漏洞分析
WordPress的Country State City Dropdown CF 7插件是一款用于WordPress网站的插件，它可以与Contact Form 7（CF 7）表单插件配合使用，为用户提供了一个方便的方式来在表单中选择国家、州/省和城市。近期WordPress Country State City Dropdown CF7插件被爆出在版本2.7.2及之前的版本中存在SQL注入漏洞（CVE-2024-3495），本篇文章围绕该漏洞展开学习。
- 0
- 0
- 中铁13层打工人
- 发布于 2024-07-24 09:35:39
- 阅读 ( 1386 )
kakakakaxi
AI风控之伪造视频检测
Deepfake技术是一种利用人工智能深度学习算法生成虚假内容的手段。通过训练模型识别和模仿特定人物的面部特征、声音甚至行为方式，Deepfake可以合成出极为逼真的虚假视频或音频。这种技术的关键在于其高度的欺骗性，使得辨别真伪变得异常困难。
- 1
- 1
- elwood1916
- 发布于 2024-07-22 09:36:15
- 阅读 ( 389 )
排版图像越狱多模态大模型
OpenAI几年前的研究发现了“文字排版攻击”。通过利用模型对文本的鲁棒阅读能力，我们会发现即使是手写文本的照片也经常能欺骗模型。那么我们是否可以用这种技术去攻击如今的多模态大模型呢？
- 1
- 0
- elwood1916
- 发布于 2024-07-19 09:00:01
- 阅读 ( 422 )
浅谈SpringMVC自定义参数解析器与常见风险
在 Spring MVC 的控制器（Controller）中，方法参数通常由 Spring 容器自动解析。然而，在某些情况下，开发者可能需要自定义解析逻辑，以满足特定的需求。在日常代码审计可以额外关注对应的自定义参数解析器，可能会有意想不到的收获。
- 0
- 1
- tkswifty
- 发布于 2024-07-18 10:00:01
- 阅读 ( 501 )
tkswifty
Python prototype chain pollution
在研究了Nodejs原型链污染之后，我注意到了国赛中出现的一个知识点Python原型链污染，同时我注意到CTFSHOW上的一个题目，于是我开始学习它并写了这篇简单的文章。
- 0
- 1
- 梦洛
- 发布于 2024-07-17 09:00:02
- 阅读 ( 392 )
梦洛
xctf final 2024 httpd2 writeup
之前给xctf final出了一题pwn，这里分享一下解题思路。
- 1
- 1
- noir
- 发布于 2024-07-16 09:00:00
- 阅读 ( 541 )
noir
Adobe Commerce 中的严重漏洞 (CVE-2024-34102) 赏金$9000
偶尔，我会参与一些漏洞奖励项目。选择目标时，我通常会考虑其流行度。我曾发现一个名为Magento的热门目标。后来得知，它是Adobe公司的产品。当相关漏洞被修复后，我对其受到的广泛关注感到惊讶，并偶然读到了一篇关于这个话题的[文章](https://sansec.io/research/cosmicsting)。这两个漏洞，CVE-2024-34102和CVE-2024-2961，被合称为CosmicSting。
- 0
- 0
- csallin
- 发布于 2024-07-11 10:00:02
- 阅读 ( 6607 )
大模型安全：平滑方法防御越狱攻击
我们在本次文章中学习一种平滑防御方法。 这个方法基于一个直觉，即，对抗性生成的提示对字符级变化非常敏感，所以在防御时可以首先随机扰动给定输入提示的多个副本，然后聚合相应的预测以检测对抗性输入。
- 0
- 0
- elwood1916
- 发布于 2024-07-10 10:15:38
- 阅读 ( 682 )
CVE-2024-25065 分析：Apache OFBiz 身份验证绕过
CVE-2024-25065 是一个存在于 Apache OFBiz 在版本 18.12.12 之前的漏洞。这是一种路径遍历漏洞，允许通过 hasBasePermission()方法中的 contextPath 变量进行身份验证绕过。
- 0
- 0
- csallin
- 发布于 2024-07-09 10:00:01
- 阅读 ( 7171 )
AI风控之生成图像鉴伪实战
本文将会分享如何对AI生成的图像进行有效的方法。这种场景在宏大的场合，也被称之为AI鉴伪，即判断多媒体内容如何是否是由AI生成的虚假图像。
- 1
- 0
- elwood1916
- 发布于 2024-07-08 09:48:33
- 阅读 ( 745 )
新的 Diamorphine rootkit 变体在野外被发现
恶意软件中的代码重用现象非常普遍，尤其是对于那些开发难度大或难以用完全不同的代码实现的恶意软件组件。通过监控源代码和编译后的代码，我们能够有效地发现新型恶意软件并追踪野外环境中现存恶意软件的演变情况。
- 1
- 0
- csallin
- 发布于 2024-07-05 09:00:02
- 阅读 ( 745 )
CVE-2024-36401 GeoServer远程代码执行
GeoServer调用的GeoTools库API，在解析特性类型的属性/属性名称时，以不安全的方式将它们传递给commons-jxpath库，当解析XPath表达式时可以执行任意代码。
- 0
- 1
- Stree
- 发布于 2024-07-04 10:53:22
- 阅读 ( 10055 )
Stree
SCRIPTBLOCK Smuggling：伪装 PowerShell 安全日志并绕过 AMSI 防护，无需使用REFLECTION和PATCHING
近年来，PowerShell在安全渗透测试者、攻击模拟团队以及一定程度的网络高级持续性威胁行为者中的使用率有所下降。这背后有多种原因，但主要是由于PowerShell v5版本和AMSI（反恶意软件扫描接口）引入了PowerShell的安全日志功能。
- 0
- 0
- csallin
- 发布于 2024-07-04 09:37:28
- 阅读 ( 657 )