腾讯云开发者社区-腾讯云

开发者社区

文档建议反馈控制台

最新优惠活动

文章/答案/技术大牛

发布

黑白安全

黑白网成立于2014年，基于丰富的技术和经验，提供各类技术性动态。官网:heibai.org.cn

专栏作者

1299

文章

2162846

阅读量

250

订阅数

网络测绘平台综合搜索引擎 - InfoSearchAll

安全集合搜索网络效率

0x01 工具介绍为了方便安全从业人员在使用网络测绘平台进行信息搜集时的效率，本程序集合了多个网络测绘平台，可以快速在多个网络测绘平台搜索信息并且合并展示及导出。1、多平台搜索标题信息2、配置中心

2022-09-13

8301

ADEPT：物联网中相关攻击阶段的检测与识别

安全网络安全 tcp/ip 物联网编程算法

简介针对物联网相关攻击阶段识别面临的时间分散和空间分散两大挑战，论文提出了一个分布式框架ADEPT，可以跨时间和空间关联可疑活动并将其分类为可能的攻击阶段。方法ADEPT框架分为三阶段第一阶段：通过物联网网关设备检测各种异常。离线操作：建立哈希表存储与网关连接的物联网设备的配置表以检测设备变化，由于设备的正常行为可能随时间推移而改变，例如固件更新，因此定期(

2022-09-13

7381

2022年蓝队初级护网总结

文件存储安全漏洞漏洞扫描服务安全网站

一. 设备误报如何处理？答：来自外网的误报说明安全设备需要进行策略升级，不需要处置。如果是来自内网的误报可以和负责人协商一下看能不能解决，有必要的话添加白名单处理。二. 如何区分扫描流量和手工流量？答：1.扫描流量数据量大，请求流量有规律可循且频率较高，手工流量请求少，间隔略长2.使用工具扫描的流量一般在数据包中有相关特征信息，比如说通过wireshark

2022-09-13

4.9K1

CVE-2022-24288：Apache Airflow OS命令注入漏洞

安全网络安全容器镜像服务容器 shell

0x01 简介Apache Airflow是美国阿帕奇（Apache）基金会的一套用于创建、管理和监控工作流程的开源平台。该平台具有可扩展和动态监控等特点。0x02 漏洞概述Apache Airflow 存在操作系统命令注入漏洞，该漏洞的存在是由于某些示例dag中不正确的输入验证。远程未经身份验证的攻击者可利用该漏洞可以传递专门制作的HTTP请求，并在目标

2022-09-13

1.8K1

从偶遇Flarum开始的RCE之旅

css 网络安全安全文件存储 flarum

事先声明：本次测试过程完全处于本地或授权环境，仅供学习与参考，不存在未授权测试过程，请读者勿使用该漏洞进行未授权测试，否则作者不承担任何责任一次日常测试中，偶然遇到了一个Flarum搭建的论坛，并获得了其管理员账号。本来到这里已经可以算完成了任务，将漏洞报给具体负责的人就结束了，但是既然已经拿到了管理员账号，何不尝试一下RCE呢？首先，我在管理员后台看到当前

2022-09-13

1.1K0

构建模块化调用图以实现NodeJS应用的安全扫描

npm node.js api 检测工具安全

1 背景介绍现如今大多数的 Node.js 应用都会采用大量的第三方库来帮助实现其功能，据调查显示，一个典型的 Node.js 应用 90% 的代码都来自第三方库。而这些第三方库的来源是当下最大的软件库 NPM ，其拥有超过 100 万个 JavaScript 包，但不幸的是在这些包直接存在着严重的依赖关系，高达 40% 的 npm 包依赖的代码至少包含一个

2022-09-13

6270

通过NPM生态系统中的依赖树揭开脆弱性传播及其演化的神秘面纱

安全漏洞网络安全安全 npm 数据结构

1. 背景介绍NPM上发布了170多万个Node.js库，以促进软件开发。正如对比安全所揭示的，第三方库出现在当今软件的大多数（79%）中。然而，任何事物都有两面性。虽然使用库可以减少开发成本和时间，但这些集成库在实践中对软件生态系统构成了新的安全威胁，这些库中的漏洞可能会使依赖它们的软件不断面临安全风险。之前的工作已经调查了整个NPM生态系统的脆弱性影响，

2022-09-13

5900

针对解释性语言包管理器的供应链攻击研究

安全编程算法 api 数据分析 npm

1 背景介绍包管理器已经成为现代软件开发过程的重要组成部分，它们允许开发人重用第三方代码、共享自己开发的代码、最小化他们的代码库，并简化构建过程。然而，在最近的报告中显示，包管理器已经被攻击者滥用来分发恶意软件，给开发人员和最终用户带来重大的安全风险。安全研究员已经发现了这种攻击，并提出了一些解决方案来解决类似问题。Zimmerman 等人系统的研究了609

2022-09-13

2840

任意用户密码重置

安全验证码短信网络安全

0x01 等保测评项GBT 22239-2019《信息安全技术网络安全等级保护基本要求》中，8.1.4.2安全计算环境—访问控制项中要求包括：a）应对登录的用户分配账户和权限；b）应重命名或删除默认账户，修改默认账户的默认口令；c）应及时删除或停用多余的、过期的账户，避免共享账户的存在；d）应授予管理用户所需的最小权限，实现管理用户的权限分离；e）应由授权

2022-09-13

2.5K0

afrog 一款快速稳定 PoC可定制化的漏洞扫描器

网络安全安全 http html

afrog 是一款性能卓越、快速稳定、PoC 可定制的漏洞扫描工具，PoC 包含 CVE、CNVD、默认口令、信息泄露、指纹识别、未授权访问、任意文件读取、命令执行等多种漏洞类型，帮助网络安全从业者快速验证并及时修复漏洞。

2022-09-13

2.8K0

当下黑客中最流行的电子邮件恶意软件投送技术

windows server 黑客网络安全安全

随着微软Office“禁宏令”的实施，越来越多的网络犯罪分子开始转向使用快捷方式(LNK)文件来投送电子邮件恶意软件（包括QakBot、IceID、Emotet和RedLine Stealer等）。快捷方式文件正在取代Office宏（现已默认被阻止），成为黑客通过电子邮件投送恶意软件感染PC的流行方式。电子邮件安全的最新趋势根据HP Wolf Securit

2022-09-13

9380

基于图注意网络的跨安全数据库实体关系预测

数据库 sql 数据分析数据结构安全

Overview抽象的安全数据库，如常见漏洞和暴露（CVE）、常见弱点枚举（CWE）和常见攻击模式枚举和分类（CAPEC），这些概念被视为安全实体。同时，安全实体记录了许多潜在的关系类型，这些关系类型有助于跨越这三个流行数据库进行安全性分析和理解。为了支持安全实体关系的推理，基于翻译的知识图谱表示学习处理采用三重独立的方式进行实体预测。然而，它忽略了三元组周

2022-08-15

4970

收藏 | 2022某大型活动期间爆出漏洞自查清单

安全网络安全网站渗透测试腾讯云测试服务

1、2022某大型活动期间漏洞清单整理，以下信息均来源于网络。2、整理此清单一方面希望帮助企业自查，如果存在相应漏洞尽快修复；另一方面帮助白帽子拓展漏洞库，方便后续做渗透测试使用。3、如有侵权，联系删除。4、信息不一定真实，存在误报的可能，请自行判断。Apache Commons远程代码执⾏漏洞（CVE-2022-33980） Array VPN 0day

2022-08-15

2.7K0

JAVA靶机和漏洞练习平台搭建

网络安全安全 jar java

https://GitHub.com/j3ers3/Hello-Java-Sec/releases/tag/1.7

2022-04-30

1.4K0

Thinkphp漏洞复现总结

网络安全安全 thinkphp php sql

Thinkphp简介ThinkPHP是为了简化企业级应用开发和敏捷WEB应用开发而诞生的，是一个快速、兼容而且简单的轻量级国产PHP开发框架，诞生于2006年初，原名FCS，2007年元旦正式更名为ThinkPHP，遵循Apache2开源协议发布，从Struts结构移植过来并做了改进和完善，同时也借鉴了国外很多优秀的框架和模式，使用面向对象的开发结构和MVC

2022-04-26

2.5K0

只需要一个域用户即可拿到 DC 权限（CVE-2021-42287 and CVE-2021-42278）

安全 https 网络安全 http

前言最近出了两个漏洞：CVE-2021-42278，机器账户的名字一般来说应该以$结尾，但AD没有对域内机器账户名做验证。CVE-2021-42287，与上述漏洞配合使用，创建与DC机器账户名字相同的机器账户（不以$结尾），账户请求一个TGT后，更名账户，然后通过S4U2self申请TGS Ticket，接着DC在TGS_REP阶段，这个账户不存在的时候，D

2022-04-26

1K0

XNU虚拟内存安全往事

安全网络安全编程算法 ios

引言虚拟内存 (Virtual Memory, VM) ⼦系统是现代操作系统基础核⼼组件，不仅负责虚拟地址和物理内存的映射关系，管理调度物理内存的使⽤，为程序开发提供统⼀透明的地址空间，同时也要为不同执⾏环境提供隔离，管控物理页⾯读、写、执⾏等权限，是系统安全的基⽯。由于VM⼦系统需要同时兼顾性能、效率、透明性和安全等⽬标，导致VM⼦系统在实现过程中逻辑⼤多

2022-04-26

1.3K0

Apache Shiro身份验证绕过漏洞 (CVE-2020-17510) 预警

apache java 安全 http https

投稿作者：网络安全威胁信息共享平台一、基本情况近日，监测发现Apache Shiro团队发布了Shiro 1.7.0之前版本存在身份验证绕过漏洞公告，漏洞编号：CVE-2020-17510，攻击者通过构造特殊HTTP请求来绕过身份验证，从而获取应用程序的访问权限。目前厂商已发布修复版本，建议受影响用户更新到1.7.0或以上版本，做好资产自查以及预防工作，以免

2022-04-26

8510

黑产钓鱼团伙云泄露10万+ Facebook帐户登录数据

黑客安全网络安全数据库 sql

投稿:E安全E安全11月19日近日，研究人员发现，一个ElasticSearch数据库被曝光在网上，其中包含超过100000个被泄露的Facebook账户的数据。这些信息被恶意分子用作针对社交网络用户的全球黑客活动的一部分。“我们通过一个不安全的数据库发现了这一骗局，黑客使用该数据库存储了10万多名受害者的私人数据。发表在vpnMentor上的一篇分析文章

2022-04-26

8280

欧洲能源巨头再遭勒索软件攻击，5TB数据被盗

网络安全安全

跨国能源企业Enel Group日前遭遇今年以来的第二轮勒索软件攻击。勒索软件Netwalker运营团伙此次为解密密钥开出了1400万美元的价码，如若不从，则威胁公开多达5TB的被盗数据。Enel Group是欧洲能源领域的顶尖巨头之一，总部位于意大利罗马，业务覆盖发电、配电、天然气等，在40个国家/地区拥有6100万客户。截至今年8月10日，该公司在《财富

2022-04-26

5340

点击加载更多

社区活动

RAG七天入门训练营

鹅厂大牛手把手带你上手实战

Python精品学习库

代码在线跑，知识轻松学

博客搬家 | 分享价值百万资源包

自行/邀约他人一键搬运博客，速成社区影响力并领取好礼

技术创作特训营·精选知识专栏

往期视频·千货材料·成员作品最新动态