腾讯云开发者社区-腾讯云

开发者社区

文档建议反馈控制台

最新优惠活动

文章/答案/技术大牛

发布

黑白安全

黑白网成立于2014年，基于丰富的技术和经验，提供各类技术性动态。官网:heibai.org.cn

专栏作者

1299

文章

2149957

阅读量

250

订阅数

afrog 一款快速稳定 PoC可定制化的漏洞扫描器

网络安全安全 http html

afrog 是一款性能卓越、快速稳定、PoC 可定制的漏洞扫描工具，PoC 包含 CVE、CNVD、默认口令、信息泄露、指纹识别、未授权访问、任意文件读取、命令执行等多种漏洞类型，帮助网络安全从业者快速验证并及时修复漏洞。

2022-09-13

2.8K0

只需要一个域用户即可拿到 DC 权限（CVE-2021-42287 and CVE-2021-42278）

安全 https 网络安全 http

前言最近出了两个漏洞：CVE-2021-42278，机器账户的名字一般来说应该以$结尾，但AD没有对域内机器账户名做验证。CVE-2021-42287，与上述漏洞配合使用，创建与DC机器账户名字相同的机器账户（不以$结尾），账户请求一个TGT后，更名账户，然后通过S4U2self申请TGS Ticket，接着DC在TGS_REP阶段，这个账户不存在的时候，D

2022-04-26

1K0

Apache Shiro身份验证绕过漏洞 (CVE-2020-17510) 预警

apache java 安全 http https

投稿作者：网络安全威胁信息共享平台一、基本情况近日，监测发现Apache Shiro团队发布了Shiro 1.7.0之前版本存在身份验证绕过漏洞公告，漏洞编号：CVE-2020-17510，攻击者通过构造特殊HTTP请求来绕过身份验证，从而获取应用程序的访问权限。目前厂商已发布修复版本，建议受影响用户更新到1.7.0或以上版本，做好资产自查以及预防工作，以免

2022-04-26

8420

你听过bitlocker勒索吗？

powershell http

前言：你以为bitlocker仅仅是用于保护数据嘛？那就大错特错了。当bitlocker黑化也可以用于勒索。1.bitlocker勒索常见的勒索都是勒索软件，基于软件层面的，存在被逆向破解和杀毒软件的风险。bitlocker作为为Windows自带的加密软件，如果以bitlocker为勒索，即有良好的免杀性，加密不需要任何落地文件或者进行远程加载，也不存在被

2022-04-26

1.5K0

漏洞发布 | 棋牌某源码通杀注入直接反弹shell

http json shell tcp/ip 缓存

直接上图FOFA搜索词：body="棋牌后台管理系统" && title=="后台登录"请求包POST /Login/ValidateLogin HTTP/1.1Host: 127.0.0.1:8001Content-Length: 30Accept: application/json, text/ja

2022-04-26

2.3K1

疫情期间竟然还有这种病毒？解密古老而又神秘的宏病毒

vba windows server shell powershell http

这是酒仙桥六号部队的第 18 篇文章。全文共计3670个字，预计阅读时长10分钟。前言如果评选世界上最善良的文件，Word文档应该榜上有名。很少有人会把".doc"文件和黑客手中的杀人利器联系起来。然而，事实正好相反。上世纪90年代，就有"宏病毒"出现，病毒制造者利用word的特性，在文档中内嵌破坏性的程序。不过，

2022-04-26

5.5K0

永恒之蓝木马下载器发起 “黑球”行动，新增 SMBGhost 漏洞检测能力

java 安全 windows http 区块链

腾讯安全威胁情报中心检测到永恒之蓝下载器木马出现最新变种，此次变种的病毒延续上个版本的邮件蠕虫攻击方法，利用附带Office漏洞CVE-2017-8570漏洞的doc文档以及JS诱饵文件发送与新冠肺炎主题相关的钓鱼邮件。同时新增SMBGhost（CVE-2020-0796）漏洞检测和上报、新增SSH爆破攻击相关代码，推测其可能在后续攻击活动中利用SMBGhost漏洞、也可能发起针对Linux系统的攻击。

2022-04-26

1.6K0

对抗DDoS攻击的法律武器

ddos http 网络安全黑客

若干年前读大学时候我接触的第一门专业课是“网络基础课”，还记得第一节课时老师就以ping命令为切入点介绍DDoS攻击，当时还专门告诉我们要念成“D-D-O-S”，而非“D-DOS”。时至今日，DDoS攻击依然是网络系统所面临的主要威胁之一。

2022-04-26

5910

黑客利用深信服SSL VPN攻击，如何快速排查？

SSL 证书 http 黑客安全 https

自1月下旬起，微步情报局捕获多个伪装成深信服V**升级程序SangforUD.exe的恶意样本，经核实发现：

2022-04-26

2.6K0

利用今日头条做C2

http 命令行工具

实战因为都是http发包操作，控制端用什么语言都可以，被控端可用C/VC/C#等。 1.首先新建一条微头条，内容和标题随便填。如下图，我们要取最新一条只需取a后最大值即可 2.我们在控制端发送命令，这里以执行命令为例以}为分隔符+要执行的命令 byte[] bytes = Encoding.Default.GetBytes("cmd}" + cmd);

2022-04-26

6060

TP Link SR20 ACE漏洞分析

安全 http ftp https lua

TP Link SR20 ACE漏洞分析这个漏洞是Matthew Garrett在发现漏洞并将漏洞报告给官方后未得到官方回复后，将其漏洞信息公布在了个人网站上，404的大佬在复现漏洞的时候官方还未修复漏洞，但是我下载固件的时候看到了官方已经发布了最新的固件，且它的日志为Fixed the zero-day ACE vulnerability，即修复了0day

2022-04-26

1.4K0

GET型sql注入防御脚本绕过案例剖析

网络安全安全 sql http thinkphp

复现条件环境：windows7+phpstudy2018+php5.4.45+apache 程序框架：damicms 2014条件：需要登录特点：属于GET型注入，且存在防御脚本，防御方法复现漏洞我

2022-04-26

1.1K0

漏洞分析 | Discuz! ML V3.X 代码注入漏洞

php 安全 discuz!http 网络安全

Discuz!ML V3.X 代码注入分析代码来源：http://discuz.ml/download作者：Web安全组-CoolCat漏洞定位在PoC的代码中填充'.1.'使得代码出错，定位出错代码文件：代码报错根据报错跟踪到source/module/portal/portal_index.php第32行portal_index.php

2022-04-26

1.1K0

IoT 设备固件分析之网络协议 fuzz

腾讯云测试服务物联网 http https 网络安全

本文作者：cq674350529（信安之路新晋作者）通常，在对IoT设备的固件进行分析时，固件中与提供服务如HTTP、Telnet、RTSP、UPnP等相关的二进制程序是重点分析的对象。因为一旦在这些程序中发现漏洞，其很有可能会被远程利用，进而带来严重的安全隐患。对固件二进制程序进行分析，常见的分析方法包括模糊测试、补丁比对、工具静态扫描和人工审计等。其中，

2022-04-26

1.4K0

编程算法网络安全安全 http 网站

1.项目介绍AWVS一直以来在圈子中都比较火，以速度快和高准确性深受大家喜爱。很多人想研究其运作机制却因闭源而不得其解。今天这里通过一个极其简单的方式，只用几行代码就能让你一见其核心代码。这是最新解码方法，除python3外无须安装任何依赖（没办法，python写的），支持11.x,12.x,13.x，以及后续版本^_^对于有IAST、DAST扫描器需求的同

2022-04-26

1.3K0

influxdb认证绕过0day

C++url -G "http://xxx:8086/Debug/requests"

2022-04-25

3590

通过密码重置功能构造HTTP Leak实现任意账户劫持

html http tcp/ip 网络安全安全

本文分享的是，作者在参与某次漏洞邀请测试项目中，发现目标应用服务的密码重置请求存在HTML注入漏洞（HTML injection），通过进一步的HTTP Leak攻击构造，获取到账户的密码重置Token，以此间接实现任意账户劫持。（出于保密原则，文中涉及到的目标应用服务用app.com代替）。密码重置请求中的HTML注入在针对目标应用服务的密码重置功能测试过

2022-04-24

4160

比较详细的一份Google hacking语法 Google黑客

actionscript phpmyadmin http 数据库 sql

比较详细的一份Google hacking语法 Google黑客Google Hacking语法Google hacker (Google黑客)是利用GOOGLE提供的搜索功能查找黑客们想找到的信息.一般是查找网站后台,网管的个人信息,也可以用来查找某人在网络上的活动.Google hacker 一般是做为黑客在入侵时的一个手段.在入侵过程中有时需要查找后台

2022-04-24

4.4K0

网络方面的随机一言？对你没有看错

http xml json javascript java

网上各种随机一言泛滥成灾，各种心灵鸡汤，古诗词等等。在大环境下，平台基于(安全脉搏四爷、华盟网狗哥等人的帮助)成功整理出网络相关的随机一言Api 整合了网络安全法/黑客守则等内容内容如下图 📷 📷 📷 📷 📷 📷 调用实测 📷 调用方式请求地址：https://heibai.org.cn/ps.php 请求方式：GET 请求参数：None 返回内容：随机一条 GET参数-charset:编码 Value：NULL/除gbk/GBK/gb2312外编码：UTF-8 Value：gbk/GBK/gb2

2022-04-24

3900

Discuz v3.4 xss漏洞排行页面存储型XSS漏洞

php html 网络安全安全 http

简要分析source/module/misc/misc_ranklist.php:166Discuz v3.4 xss漏洞<?php function getranklist_members($off

2022-04-24

1.5K1

点击加载更多

社区活动

腾讯技术创作狂欢月

“码”上创作 21 天，分 10000 元奖品池！

Python精品学习库

代码在线跑，知识轻松学

博客搬家 | 分享价值百万资源包

自行/邀约他人一键搬运博客，速成社区影响力并领取好礼

技术创作特训营·精选知识专栏

往期视频·千货材料·成员作品最新动态