0推荐

16257浏览

【Web实战】JetBrains TeamCity 任意代码执行漏洞分析(CVE-2023-42793)

TeamCity 是一款持续集成和软件交付 (CI/CD) 解决方案。该漏洞是由于对服务器 API 的访问控制不足造成的，允许未经身份验证的攻击者访问管理面板。利用该漏洞，攻击者可以通过网络访问 TeamCity 服务器，获取项目源代码，并通过在项目构建任务执行代理上执行任意代码，对基础架构发起进一步攻击。该漏洞可能会给供应商带来不可接受的网络安全事件。

• 0
• zuoyou 发布于 2023-11-09 09:00

0推荐

18081浏览

帆软报表 V8.0 组合拳漏洞分析及复现

简要介绍帆软FineReport 8.0版本中的组合拳漏洞原理和复现过程，并提供在日常流量侧分析时应注意的一些要点。

• 0
• Rodentyoo 发布于 2023-11-06 09:00

0推荐

16548浏览

某系统模板注入分析

某系统前阵子公开了模板注入的漏洞，漏洞点在于程序对传入的sql语句处理时使用了freemarker模板渲染导致的问题。代码对该接口传参的处理先经过sql关键字的过滤，且分析中发现了一处可用的sql注入的payload,故先从sql注入开始介绍。

• 0
• 中铁13层打工人 发布于 2023-10-31 09:00

0推荐

17355浏览

金山终端安全系统V9.0 SQL注入漏洞

近期，长亭科技监测到猎鹰安全（原金山安全）官方发布了新版本修复了一处SQL注入漏洞。xpc可以检测该漏洞，就想着获取一下poc，并且分析一下漏洞原理。

• 1
• zuoyou 发布于 2023-10-25 09:00

4推荐

5163浏览

[Java安全]Spring SPEL注入总结&&回显技术

对Java安全中的SPEL表达式注入相关总结以及技巧

• 3
• Nookipop 发布于 2023-10-24 09:00

1推荐

4183浏览

浅谈Maven三方包引入动态链接库排查方法

前段时间苹果、谷歌、Mozilla和微软等公司积极修复了libwebp组件中的缓冲区溢出漏洞，Maven中的不少依赖库也通过动态链接库的方式对libwebp进行了封装调用，跟在pom中直接/间接依赖不一样，这种问题可能更加复杂，快速找到这些引入了漏洞缺陷的依赖库并进行升级修复是很重要的。

• 1
• tkswifty 发布于 2023-10-23 09:00

8推荐

22265浏览

Lilishop 开源商城系统代码审计

Lilishop 开源商城系统是基于SpringBoot的全端开源电商商城系统，是北京宏业汇成科技有限公司提供的开源系统。该开源商城包含的功能点多，涵盖业务全面，代码审计时没有过于关注业务逻辑只关注了对系统的完整性、保密性、可用性造成损坏的漏洞点。文章分享了比较有意思的SSRF利用方式。

• 4
• en0th 发布于 2023-10-12 00:00

0推荐

17496浏览

某cms漏洞浅析

出于某些原因当时需要去审计一些漏洞用作特定所需的支撑，但是在逐渐审计开源cms的过程中又不需要了，索性就当锻炼审计能力做了记录。

• 1
• joker 发布于 2023-10-10 09:00

0推荐

15936浏览

superset反序列化分析

前几天看到有公众号发布了Apache Superset的命令执行漏洞，涉及到python的反序列化，正好今天分析一下漏洞点的发现和漏洞利用过程

• 0
• 中铁13层打工人 发布于 2023-10-09 15:00

13推荐

9254浏览

[攻防实战]外网突破

在经历了多年的攻防对抗之后，大量目标单位逐渐认识到安全防护的重要性。因此，他们已采取措施尽可能收敛资产暴露面，并加倍部署各种安全设备。但安全防护注重全面性，具有明显的短板...

• 19
• 苏苏的五彩棒 发布于 2023-09-28 09:00

8推荐

19678浏览

某OA系统的审计（新手学习）

一次偶然机会，找人要了套源码，是Stuts2和spring框架混用的系统，比较简单适合入门学习

• 0
• 中铁13层打工人 发布于 2023-09-26 09:00

4推荐

16213浏览

某cms漏洞挖掘分析

某cms漏洞挖掘分析，该系统代码简单，因此注入漏洞发现过程还是挺顺利的，就在index.php的文件中，结果绕过waf稍微有些曲折，特此记录一下学习过程。

• 3
• 中铁13层打工人 发布于 2023-09-25 17:56

0推荐

16013浏览

某cms命令执行绕过分析

CraftCMS在4.4.14版本中存在服务器端模板注入的漏洞，经过身份验证的攻击者可以绕过路径过滤设置模板目录，将任意文件上传至Twig模板目录中，从而导致模板注入进而造成远程代码执行

• 0
• 中铁13层打工人 发布于 2023-09-22 09:00

2推荐

15939浏览

浅析Geoserver注入

GeoServer 是一个用 Java 编写的开源软件服务器，允许用户共享和编辑地理空间数据，支持众多地图和空间数据标准，能够使各种设备通过网络来浏览和使用这些地理数据。GeoServer 基于 Spring 开发，使用到了 GeoTools 库。

• 1
• 中铁13层打工人 发布于 2023-09-20 09:00

2推荐

4970浏览

smartbi 登录绕过漏洞分析

本次漏洞是7月底修复的漏洞

• 1
• 中铁13层打工人 发布于 2023-09-07 09:00