0推荐

7963浏览

Weblogic 高版本JDK下的JNDI利用

Weblogic近两年的JNDI注入漏洞CVSS都给的7.5分，官方认为在高版本JDK中漏洞无法被利用。事实上在2022年到23年某个补丁之前，高版本JDK也是可以利用的。利用的原理其实不难，本文着重记录如何一步步探索出这一攻击方法，重在思路。

2
无糖发布于 2023-03-13 16:04

3推荐

8846浏览

某OA前台命令执行分析

某OA前台命令执行分析，本文所涉及漏洞均为互联网上已公开漏洞,仅用于合法合规用途，严禁用于违法违规用途。

3
Scarehehe 发布于 2023-03-03 09:00

3推荐

6417浏览

记一次SideCopy组织样本分析

本次追踪并分析 SideCopy APT组织相关样本，积累相关知识，如有错误，还请指正。

1
沐一·林发布于 2023-02-28 09:56

3推荐

8718浏览

cms逻辑问题-getshell

前言如果存在exec进行拼接的漏洞，该如何绕过 <mark>一黑俩匹配 </mark>？当前如果是拼接和编码这种手法就不说了，现在在看的师傅您是审计大牛的话，这文章可以忽略不看。黑名单...

0
N1eC 发布于 2023-02-22 09:00

0推荐

7910浏览

payload缩短技术-[D^3CTF2022] Shorter

这篇文章会结合 D^3CTF 的一道题目来学习 Payload 缩短的方法题目为 D^3CTF 的 shorter，相信大家也都不陌生，题目给出了源码、dockerfile 等，大家可以自行搭建复现。

0
sp4c1ous 发布于 2023-02-16 15:00

2推荐

11101浏览

Shiro < 1.11.0 & Spring Boot 2.6+ 鉴权绕过（CVE-2023-22602）

shiro 在 1.11.0版本之前，当与spring boot 2.6以上版本组合使用的时候，在默认配置下，配合特定的路由规则，攻击者可以通过发送特殊的请求造成shiro中的鉴权绕过。

0
nama 发布于 2023-02-03 10:01

1推荐

8675浏览

AFL原码分析----fuzz准备和UI显示

主要对afl-fuzz中的大部分代码进行了分析，都是一些fuzz前的识别和准备，同时涉及到了一些测试用例的执行。为后续分析主要的fuzz过程和变异做准备

1
就叫16385吧发布于 2023-01-18 09:00

1推荐

10588浏览

浅谈任意邮件伪造漏洞的利用与防护

浅谈任意邮件伪造漏洞的利用与防护。任意邮件伪造漏洞，是指攻击者可以通过此漏洞对网站管理人员或者运维人员发送钓鱼邮件，对相关人员进行钓鱼攻击，进一步获取网站或者服务器权限。

4
ENJOEY 发布于 2023-01-16 09:00

4推荐

10004浏览

一次对在线文档预览的JAVA代码审计

一次JAVA代码，文中内容有：XSS 挖掘修复与绕过，文件读取与文件写入漏洞分析与挖掘。

3
JOHNSON 发布于 2023-01-13 09:00

2推荐

6926浏览

记一次 SideWinder 组织样本分析

整理了一个以前分析的样本过程供大家探讨

0
沐一·林发布于 2023-01-11 09:00

1推荐

10334浏览

ThinkPHP 多语言文件包含漏洞

2022年12月出的漏洞，影响很大但目前没有 CVE 编号，起源是某大佬在跳跳糖发的一篇文章，ThinkPHP 在开启多语言的情况下，存在文件包含漏洞，配合 pearcmd 可以 getshell

1
shenwu 发布于 2022-12-20 09:00

0推荐

8632浏览

ThinkPHP 5.x 系列文件上传getshell

开发者使用官方文件上传示例进行开发时，存在一个文件上传漏洞导致 getshell

1
shenwu 发布于 2022-12-19 09:00

0推荐

8453浏览

Cacti 前台RCE漏洞分析

Cacti 存在前台命令执行漏洞 CVE-2022-46169

1
shenwu 发布于 2022-12-16 09:00

5推荐

17366浏览

浅析FastJson不出网利用方式

实战中，有些环境是不出网的，就无法利用JNDI攻击，这里介绍下FastJson本地的利用方式。

9
ki10Moc 发布于 2022-12-08 09:58

1推荐

7157浏览

记一次 Donot 样本分析

分享一个比较新的 Donot 组织的样本分析过程

0
沐一·林发布于 2022-12-01 09:00