全部 - 文章 - 第5页 - 奇安信攻防社区

排版图像越狱多模态大模型

OpenAI几年前的研究发现了“文字排版攻击”。通过利用模型对文本的鲁棒阅读能力，我们会发现即使是手写文本的照片也经常能欺骗模型。那么我们是否可以用这种技术去攻击如今的多模态大模型呢？

1
0
elwood1916
发布于 2024-07-19 09:00:01
阅读 ( 1863 )

浅谈SpringMVC自定义参数解析器与常见风险

在 Spring MVC 的控制器（Controller）中，方法参数通常由 Spring 容器自动解析。然而，在某些情况下，开发者可能需要自定义解析逻辑，以满足特定的需求。在日常代码审计可以额外关注对应的自定义参数解析器，可能会有意想不到的收获。

1
2
tkswifty
发布于 2024-07-18 10:00:01
阅读 ( 1955 )

Python prototype chain pollution

在研究了Nodejs原型链污染之后，我注意到了国赛中出现的一个知识点Python原型链污染，同时我注意到CTFSHOW上的一个题目，于是我开始学习它并写了这篇简单的文章。

1
1
梦洛
发布于 2024-07-17 09:00:02
阅读 ( 1740 )

xctf final 2024 httpd2 writeup

之前给xctf final出了一题pwn，这里分享一下解题思路。

1
1
noir
发布于 2024-07-16 09:00:00
阅读 ( 1765 )

云函数利用&Profile混淆

独有一份的xx云函数利用教程和profile混淆技术认识

3
1
w1nk1
发布于 2024-07-15 09:00:03
阅读 ( 2209 )

Nginx后门集合

保姆级学习当前已知的Nginx后门

1
2
w1nk1
发布于 2024-07-12 10:00:00
阅读 ( 2892 )

Adobe Commerce 中的严重漏洞 (CVE-2024-34102) 赏金$9000

偶尔，我会参与一些漏洞奖励项目。选择目标时，我通常会考虑其流行度。我曾发现一个名为Magento的热门目标。后来得知，它是Adobe公司的产品。当相关漏洞被修复后，我对其受到的广泛关注感到惊讶，并偶然读到了一篇关于这个话题的[文章](https://sansec.io/research/cosmicsting)。这两个漏洞，CVE-2024-34102和CVE-2024-2961，被合称为CosmicSting。

1
0
csallin
发布于 2024-07-11 10:00:02
阅读 ( 30395 )

大模型安全：平滑方法防御越狱攻击

我们在本次文章中学习一种平滑防御方法。这个方法基于一个直觉，即，对抗性生成的提示对字符级变化非常敏感，所以在防御时可以首先随机扰动给定输入提示的多个副本，然后聚合相应的预测以检测对抗性输入。

0
0
elwood1916
发布于 2024-07-10 10:15:38
阅读 ( 1800 )

CVE-2024-25065 分析：Apache OFBiz 身份验证绕过

CVE-2024-25065 是一个存在于 Apache OFBiz 在版本 18.12.12 之前的漏洞。这是一种路径遍历漏洞，允许通过 hasBasePermission()方法中的 contextPath 变量进行身份验证绕过。

0
0
csallin
发布于 2024-07-09 10:00:01
阅读 ( 30900 )

AI风控之生成图像鉴伪实战

本文将会分享如何对AI生成的图像进行有效的方法。这种场景在宏大的场合，也被称之为AI鉴伪，即判断多媒体内容如何是否是由AI生成的虚假图像。

1
0
elwood1916
发布于 2024-07-08 09:48:33
阅读 ( 1776 )

新的 Diamorphine rootkit 变体在野外被发现

恶意软件中的代码重用现象非常普遍，尤其是对于那些开发难度大或难以用完全不同的代码实现的恶意软件组件。通过监控源代码和编译后的代码，我们能够有效地发现新型恶意软件并追踪野外环境中现存恶意软件的演变情况。

1
0
csallin
发布于 2024-07-05 09:00:02
阅读 ( 1724 )

CVE-2024-36401 GeoServer远程代码执行

GeoServer调用的GeoTools库API，在解析特性类型的属性/属性名称时，以不安全的方式将它们传递给commons-jxpath库，当解析XPath表达式时可以执行任意代码。

0
1
Stree
发布于 2024-07-04 10:53:22
阅读 ( 34008 )

SCRIPTBLOCK Smuggling：伪装 PowerShell 安全日志并绕过 AMSI 防护，无需使用REFLECTION和PATCHING

近年来，PowerShell在安全渗透测试者、攻击模拟团队以及一定程度的网络高级持续性威胁行为者中的使用率有所下降。这背后有多种原因，但主要是由于PowerShell v5版本和AMSI（反恶意软件扫描接口）引入了PowerShell的安全日志功能。

0
0
csallin
发布于 2024-07-04 09:37:28
阅读 ( 1643 )

某人力系统的代码审计

最近看该系统漏洞公开较多，想审计练练手

2
3
中铁13层打工人
发布于 2024-07-03 09:40:51
阅读 ( 34700 )

UI for Apache Kafka 两个远程代码执行漏洞分析

UI for Apache Kafka 是 Provectus 开源的针对 Apache Kafka 的一款管理界面。kafka-ui 0.4.0版本至0.7.1版本存在安全漏洞，第一个漏洞可执行任意的 Groovy 脚本，第二个漏洞可通过滥用 Kafka UI 连接到恶意 JMX 服务器来利用，从而通过不安全的反序列化导致 RCE。UI for Apache Kafka 默认情况下没有开启认证授权。