漏洞分析 - 推荐的文章 - 第6页

Apache Flink反序列化漏洞分析

2
3
带头大哥
发布于 2021-04-07 20:00:04
阅读 ( 6033 )

某次phar反序列化审计捡漏记录

前端时间学习了下phar反序列化的原理，想着找个通用系统挖挖看，运气好捡到一个，便有此文记录一下捡漏过程。

1
2
中铁13层打工人
发布于 2024-10-03 10:40:52
阅读 ( 6741 )

使用自动化工具寻找sql注入漏洞

对某开源cms进行代码审计，发现虽然该cms虽然对参数参数进行了过滤，但是过滤有限，依然可以通过其他方法绕过进行sql注入，本文将将通过正则匹配的方式，并通过自动化查找工具，寻找某cms中存在的sql注入漏洞

0
2
中铁13层打工人
发布于 2024-07-31 09:00:00
阅读 ( 27674 )

记一次代码审计rce测试学习过程

nginxWebUI后台提供执行nginx相关命令的接口，由于权限校验不严谨，未严格对用户的输入过滤，导致3.4.7版本之前可远程执行任意命令。本着学习的态度进一步了解该工具存在的漏洞并进行复现与分析

0
2
中铁13层打工人
发布于 2024-06-27 09:00:02
阅读 ( 33221 )

Nexus Repository Manager 3 未授权目录穿越漏洞（CVE-2024-4956）

Nexus Repository Manager 3 是一款软件仓库，可以用来存储和分发Maven、NuGET等软件源仓库。其3.68.0及之前版本中，存在一处目录穿越漏洞。攻击者可以利用该漏洞读取服务器上任意文件。

0
2
phith0n
发布于 2024-05-23 17:42:28
阅读 ( 15809 )

SSRF突破对file协议的限制

一个在java中ssrf绕过的小trick！

0
2
Yu9
发布于 2024-05-07 10:00:00
阅读 ( 17644 )

记一次参数走私导致的权限绕过

在实际业务中，通常会对请求参数进行解析并进行鉴权处理，来避免类似平行越权的风险。若解析请求参数时与Controller的解析方式存在差异，则可能可以绕过现有的安全措施，

1
2
tkswifty
发布于 2024-04-23 09:00:02
阅读 ( 15663 )

CVE-2023-44974 emlog CMS任意文件上传漏洞分析

0
2
Myan
发布于 2024-04-15 09:39:26
阅读 ( 11544 )

一次有趣的锐捷前台无条件RCE漏洞分析

本篇文章对锐捷前台无条件RCE漏洞进行细致分析和代码审计，带你一步步进入最高权限的天堂，感受CNVD满分漏洞的无穷魅力

1
2
新人小安
发布于 2024-04-07 10:00:01
阅读 ( 12241 )

某园区系统登录绕过分析

最近看到某园区系统去年有个登录绕过+后台上传的组合漏洞，本着学习的心态分析了一下该漏洞，虽说前期了些踩雷，但是也有意外收获。

3
2
中铁13层打工人
发布于 2024-02-26 09:00:02
阅读 ( 25035 )

（ CVE-2023-50164）Apache Struts2 S2-066 文件上传漏洞分析

Struts2 官方披露 CVE-2023-50164 Apache Struts 文件上传漏洞，攻击者可利用该漏洞污染相关上传参数导致目录遍历，在具体代码环境中可能导致上传 Webshell，执行任意代码。

2
2
jweny
发布于 2023-12-20 09:00:02
阅读 ( 16441 )

一次曲折的漏洞挖掘

在复现某cms漏洞时，尝试审计一下该cms，没想到反转再反转，记录审计一下过程

2
2
中铁13层打工人
发布于 2023-12-13 09:55:49
阅读 ( 19554 )

【Web】SysAid On-Prem Software CVE-2023-47246 目录穿越RCE

2023 年 11 月 8 日，SysAid 发布了一份公告，表示他们的本地服务器软件存在先前未公开的漏洞，并且发现了公开的野外利用，本文将对该漏洞进行分析，并给出利用方式。

0
2
Y4er
发布于 2023-11-24 10:00:00
阅读 ( 16037 )

【Web实战】XXE漏洞

XXE漏洞指的是XML外部实体注入（XML External Entity Injection）漏洞，它是一种常见的安全漏洞类型，可以用来攻击基于XML的应用程序。当应用程序接受XML输入时，攻击者可以插入带有外部实体引用的恶意XML数据，从而导致应用程序执行未经授权的操作，比如访问本地文件系统、执行远程代码等。攻击者可以通过利用XXE漏洞来获取敏感信息、控制服务器，或者执行其他恶意操作。