腾讯云开发者社区-腾讯云

开发者社区

文档建议反馈控制台

最新优惠活动

文章/答案/技术大牛

发布

黑白安全

黑白网成立于2014年，基于丰富的技术和经验，提供各类技术性动态。官网:heibai.org.cn

专栏作者

1299

文章

2151256

阅读量

250

订阅数

只需要一个域用户即可拿到 DC 权限（CVE-2021-42287 and CVE-2021-42278）

安全 https 网络安全 http

前言最近出了两个漏洞：CVE-2021-42278，机器账户的名字一般来说应该以$结尾，但AD没有对域内机器账户名做验证。CVE-2021-42287，与上述漏洞配合使用，创建与DC机器账户名字相同的机器账户（不以$结尾），账户请求一个TGT后，更名账户，然后通过S4U2self申请TGS Ticket，接着DC在TGS_REP阶段，这个账户不存在的时候，D

2022-04-26

1K0

TokenPocket 钱包二维码盗 usdt 安全事件分析[含附件]

https 网络安全

一、事件概要昨日，随着微博大v @夏雪宜BTC 的曝光，一种币圈新型骗局进入大家的视线，一时间币圈人人自危：大概是：只要你通过二维码给骗子转过一次 usdt，之后你账户的 usdt 就会被骗子转光。看起来非常正常的二维码交易，为什么骗子在转账一次之后就能控制用户的钱包呢？下面对犯罪手法做简要分析。二、过程分析扫描这个二维码：会访问以下链接：https://h

2022-04-26

5.2K1

Apache Shiro身份验证绕过漏洞 (CVE-2020-17510) 预警

apache java 安全 http https

投稿作者：网络安全威胁信息共享平台一、基本情况近日，监测发现Apache Shiro团队发布了Shiro 1.7.0之前版本存在身份验证绕过漏洞公告，漏洞编号：CVE-2020-17510，攻击者通过构造特殊HTTP请求来绕过身份验证，从而获取应用程序的访问权限。目前厂商已发布修复版本，建议受影响用户更新到1.7.0或以上版本，做好资产自查以及预防工作，以免

2022-04-26

8440

蜜罐调研与内网安全

网络安全 https github git 开源

0x00 写在前面蜜罐系统通过在网络中部署感应节点，实时感知周边网络环境，同时将感应节点日志实时存储、可视化分析，来实现对网络环境中的威胁情况感知。网上的开源蜜罐很多，种类不一，不可枚举。有针对单个服务的蜜罐，也有多个服务整合在一起的。Github上有个项目，收集汇总了免费和开源的蜜罐，项目地址：awesome-honeypots： https://git

2022-04-26

1.2K0

云计算的20大常见安全漏洞与配置错误

DevOps 解决方案 tcp/ip ddos https 网络安全

云安全是公有云厂商最着力宣传的卖点之一，但是对于企业用户而言，过于信任和盲从云服务的默认配置是一件非常危险的事情，企业的安全架构师及云安全审核人员需要对云计算初始环境的安全漏洞和配置错误进行全面评估和调优。以下，我们列举微软Azure云计算环境的TOP20常见账户和配置漏洞（初始默认配置），对企业选择其他类似公有云服务也有一定借鉴意义。微软 Azure TO

2022-04-26

2K0

实战笔记之二维码劫持漏洞

微信安全网站 https 网络安全

----------------------------思考了一段时间情报类的实战笔记不适合未经脱敏地外放以后，我会去掉具体细节跟大家分享思路。这次面向白帽子师傅们，分享一个实战中碰到的二维码劫持漏洞案例------------------------------------0x01 场景再现vue类型的网站，登录口，有三种登陆方式。（ps:你要是只看到了两

2022-04-26

1.4K0

Windows Type1字体处理远程代码执行漏洞 (CVE-2020-0938) 在野POC分析

安全编程算法 https 网络安全

研究员在日常的高级威胁监控中发现，疑似CVE-2020-0938漏洞的在野POC出现在VirusTotal上，我们在发现该POC的第一时间内便对安全社区进行了预警。

2022-04-26

3440

CVE 2020-0769复现

windows 安全 windows server https 网络安全

2020年3月10日，微软在其官方SRC发布了CVE-2020-0796的安全公告（ADV200005，MicrosoftGuidance for Disabling SMBv3 Compression）,公告表示在windows SMBv3版本的客户端和服务端存在远程代码执行漏洞。同时指出该漏洞存在于MicroSoft Server Message Block 3.1.1协议处理特定请求包的功能中，攻击者利用该漏洞可在目标SMB Server或者Client中执行任意代码。

2022-04-26

2040

已知邮箱，求手机号码?

https 网络安全微信数据库 sql

工信部《电信网编号计划2017版》规定：公众移动网电话号码为11位，物联网网号为13位。从理论上讲，11位数有1000亿个。

2022-04-26

1.3K0

对于个人信息安全你真的了解吗

访问管理云镜（主机安全）网络安全 https

信息安全是指保护信息和信息系统（包括硬件、软件、数据、物理环境和基础设施）的网络安全，以防止未经授权的访问、使用、泄漏、破坏、修改或销毁，确保信息以及信息系统的完整性、可用性、机密性、未授权拷贝和主机系统安全。那么信息泄露会造成哪些严重后果？下面为大家介绍下信息安全基础知识科普。

2022-04-26

8120

黑客利用深信服SSL VPN攻击，如何快速排查？

SSL 证书 http 黑客安全 https

自1月下旬起，微步情报局捕获多个伪装成深信服V**升级程序SangforUD.exe的恶意样本，经核实发现：

2022-04-26

2.6K0

警惕有毒的“美女”手机app

访问管理 android 打包 ios https

现在手机应用十分丰富，各种美女直播app更是五花八门，层出不穷。不过这些app大多是挂羊头卖狗肉，你想想真的有那么多正经小姐姐闲着跟你聊吗？实际上装了这app不知不觉你的信息已经被盗走，更有甚者还付出了金钱的代价。

2022-04-26

2.7K0

无密码登录他人QQ空间可查看加密相册

https 网络安全

本文主要讲解如何窃取已登录QQ或TIM用户的ClientKey（前提是当前电脑的QQ或TIM是登录状态），并悄无声息的获取其QQ或TIM的空间登录权限的链接，然后可以在任意一台电脑上都可以无密码登录其QQ空间，也可以查看其加密相册等。具体的实现流程后期可以优化的更完美，因为时间原因只测试了基本功能的实现。只是提供一种思路，大家可以发散思维，把流程更加简化或自动化。

2022-04-26

5.8K1

【原创】教你搭建一个免费好用的代理池项目

容器镜像服务容器 yum https 网络安全

为什么需要代理池呢？那是因为我们日常在渗透测试的过程中，使用扫描器或者频繁访问站点会触发网站的反爬机制，最典型的反爬手段就是把你的IP给Ban了，一旦IP给Ban了，那么你就无法正常进行渗透了。这个时候就需要用到代理池了。当然，如果你的VPN节点足够多也可以解决这个问题，再或者使用黑洞代理，动态切换IP，但是这些手段都要收费。本文的代理池是开源的，搭建成功即可使用，接下来进入正题吧。

2022-04-26

2.3K0

我如何在15分钟内使用对比CE实现$ 600的Bug赏金– CVE- 2019-8442

安全 https unity 网络安全 html

我们生活在充满活力的经济中，该经济正在不断开发新的创收方式。Bug赏金计划使我着迷，例如BugCrowd上的Atlassian 。从这些程序中获得切实的回报并非易事。经过多年的参与，我可以证明标准已经很高。花费时间和精力来解决每个程序和涉及的应用程序范围。

2022-04-26

9930

TP Link SR20 ACE漏洞分析

安全 http ftp https lua

TP Link SR20 ACE漏洞分析这个漏洞是Matthew Garrett在发现漏洞并将漏洞报告给官方后未得到官方回复后，将其漏洞信息公布在了个人网站上，404的大佬在复现漏洞的时候官方还未修复漏洞，但是我下载固件的时候看到了官方已经发布了最新的固件，且它的日志为Fixed the zero-day ACE vulnerability，即修复了0day

2022-04-26

1.4K0

基于URL跳转与XSS组合利用的钓鱼分析（以QQ空间某恶意链接为例）

php https 网络安全安全 html

写在前面本案例写于6月30日（HW收尾阶段），当时本想着发出来。结果忙着忙着就忘了… 今天看到先知社区上有写一篇也是关于QQ空间恶意跳转，感觉他写的这块和我碰上的有些差异，故拿出来说一说~分析该恶意链

2022-04-26

5650

GookitBankingTrojan中的后门利用分析

https 网络安全

0x00 前言Gootkit Banking Trojan在2014年被首次发现，最近Daniel Bunce（@ 0verfl0w_）介绍了一些对于Gootkit Banking Trojan的分析，文章地址如下：https://www.sentinelone.com/blog/gootkit-banking-trojan-persistence-othe

2022-04-26

2160

IoT固件逆向入门

node.js https 网络安全 github 物联网

https://www.tp-link.com/in/support/download/

2022-04-26

1.8K0

由JSON CSRF到FormData攻击

json 安全网站 https html

首先：你们必须知道CSRF攻击，如果不知道，那么这里是一个简短的介绍：CSRF是一种攻击，它迫使最终用户在当前对其进行身份验证的Web应用程序上执行不需要的操作。CSRF攻击专门针对状态变化请求，CSRF攻击可以强制用户执行状态转换请求，如转移资金，更改其电子邮件地址，甚至危及整个Web应用程序。来源：https://www.owasp.org/index.

2022-04-26

1.7K0

点击加载更多

社区活动

腾讯技术创作狂欢月

“码”上创作 21 天，分 10000 元奖品池！

Python精品学习库

代码在线跑，知识轻松学

博客搬家 | 分享价值百万资源包

自行/邀约他人一键搬运博客，速成社区影响力并领取好礼

技术创作特训营·精选知识专栏

往期视频·千货材料·成员作品最新动态