漏洞 »
- 挖洞经验 | 发现任意Facebook非公开私密群组成员信息
-
clouds
2019-11-22 - 经作者测试发现，针对任意私密群组，非私密群组成员一样可以查看其中的群组成员信息。
- WebLogic EJBTaglibDescriptor XXE漏洞(CVE-2019-2888)分析
-
Knownsec知道创宇
2019-11-22 - 我和@Badcode师傅反编译了WebLogic所有的Jar包，根据之前几个XXE漏洞的特征进行了搜索匹配到了这个EJBTaglibDescriptor类。
- Apache Flink任意Jar包上传漏洞复现
- ShShroudroud 2019-11-21
- 周三的时候，安全网站上看到有一个新爆出的关于Aapche Flink的JAR包上传导致任意代码执行的漏洞。周四在看的时候已经出了一部分POC和抓取相关漏洞机器的代码，放在编译器里跑了一下好像不行。
- 谷歌三星安卓摄像头应用含高危漏洞变身监控器，影响数亿设备（PoC）
-
奇安信代码卫士
2019-11-20
- Checkmarx安全研究团队的研究人员表示，任何应用程序在不具备具体权限的情况下均可控制谷歌的安卓摄像头 app 并强制其拍照和/或录视频，即使手机锁定且屏幕关闭的情况也不例外。
- 梦想v1.4 CMS平台XSS漏洞分析
- jj2056 2019-11-19
- 梦想cms以下简称“lmxcms”，是由“10年”（网名）开发的一套简单实用的网站管理系统（cms）。它是完全免费和开源的。
- 甲方视角：SHIRO-721临时修复方案
- Venscor 2019-11-19
- 14日晚上，发现了一个公开的Shiro的RCE漏洞，作为在甲方工作了挺久的人，一听Shiro立马虎躯一震，来不及分析poc，立马先得确认公司业务是否受到影响。
- 存储型XSS的攻防：不想做开发的黑客不是好黑客
- ABKing 2019-11-17
- 存储型XSS是通过对网页注入可执行代码且成功地被浏览器执行，达到攻击的目的，一般是注入一段javascript脚本。
- 挖洞经验 | PayPal未配置恰当的爬虫索引（robots）规则导致的用户敏感信息泄露漏洞
-
clouds
2019-11-16
- 本文Writeup讲述了作者通过简单Google Dork查询发现的PayPal信息泄露漏洞。每天，世界各地大量PayPal用户在发生转账交易时，都使用了安全的GET方式HTTP传输请求，这本身没有任何问题。
- 看我如何绕过像PRO这样的XSS过滤器（XSS高级方法）
- Alpha_h4ck 2019-11-15
- JavaScript代码中如果存在代码注入漏洞的话，那确实是一个令人头疼的问题...由于这个项目并不是我们为企业环境做的渗透测试项目，因此我们可以直接将技术细节公布给大家。
- Apache中.htaccess文件利用的总结与新思路拓展
- xuing 2019-11-15
- 在普遍使用的LAMP架构中，Apache与PHP之间的交互，有三种常见的方式。
- JWT介绍及其安全性分析
- 不瘦二十斤不改名 2019-11-14
- JWT（JSON Web令牌）是REST API中经常使用的一种机制，可以在流行的标准（例如OpenID Connect）中找到它，但是有时也会使用OAuth2遇到它。
- 挖洞经验 | 从安全的文件共享服务中获取用户私钥信息
-
clouds
2019-11-13
- 虽然该加密服务网站声称它们提供的服务绝对安全可靠，但我觉得任何人都会犯错，所以我决定深入测试分析一下。
- CVE-2019-6333：HP触摸终端漏洞分析
- Alpha_h4ck 2019-11-13
- 近期，SafeBreach Labs的安全研究人员在惠普的HP Touchpoint Analytics软件中发现了一个新型的安全漏洞，该漏洞将导致攻击者在目标设备上实现非法提权。
- 看我如何通过参数污染绕过IDOR
- Alpha_h4ck 2019-11-12
- 在一次渗透测试过程中，我偶然间发现了一个有趣的IDOR（不安全的直接对象引用）漏洞，通过使用参数污染技术（利用一个被忽略的测试用例），攻击者将能够成功地在目标站点上实现IDOR绕过。
- 最后一个登录框引起的血案
-
丶楼兰
2019-11-11
- 登录框系列最后一篇，半年的准全职赏金猎人的生涯，算是水到渠成的一篇，这一篇每一个类型都将配一个这半年来我所发现的漏洞当作案例。
- CVE-2016-3116 Dropbear注入漏洞分析
- 1s1and 2019-11-10
- Dropbear是一个相对较小的SSH服务器和客户端。开源，在无线路由器等嵌入式linux系统中使用较多。
热门推荐
- 最新评论
- 亮了
- Loading...
-
《FreeBuf独家 |《网络安全威胁信息发布管理办法》解读》
Helen 说: 建议取消高校网络安全专业。 建议关闭各网络安全公司，取消其网络安全岗位 建议加大应急响应之间时间上流程。至少10个部门上级同意后 开始执行 建议关闭国外一切漏洞预警来源。实现闭洞锁人 嘻嘻 牛
2019-11-20 )215( 亮了
-
《FreeBuf独家 |《网络安全威胁信息发布管理办法》解读》
huoji120 说: 很好,中国网络有希望了,赞一个,中国加油!
2019-11-20 )45( 亮了
-
《FreeBuf独家 |《网络安全威胁信息发布管理办法》解读》
123 说: 笑死我了，果然思路是去解决提出问题的人而不是解决问题
2019-11-20 )44( 亮了
-
《FreeBuf独家 |《网络安全威胁信息发布管理办法》解读》
玄道 说: 卫星不让日就算了，以后连装逼文章都不能发了？
2019-11-20 )39( 亮了
-
cheap 说: 现在安全工程师这么不值钱了吗
2019-11-19 )34( 亮了
活动预告
-
11月 上海
CIS 2019首席信息安全官闭门高峰论坛未开始 -
11月
CIS 2019议题抢先看进行中 -
10月
公开课双十一活动已结束 -
9月 上海
CIS 2019官网上线，早鸟票同步开售已结束
