最近想了很多关于我们公众号的发展，如何做出我们自己的特点，虽然大家都很喜欢干货文章，我们也在分享干货文章，但是干货文章只要有技术都是可以写出来了，而且很多干货，对一些刚入行或者入行不久的同学来说一点都不友好，毕竟不同的作者水平不一，写出的文章中重点描述的是自己觉得重要的或者不熟悉的知识点，也大概只要水平跟作者差不多或者比作者水平高才能看的懂，对于初学者看起来一头雾水，相应的通过阅读文章对于自己的成长并没有什么太大的帮助，所以如何解决这个问题？如何做出与其他公众号的区别？这是我们要考虑的问题。
不妨假设，你的公司定期更新安全策略和程序，时时给系统打补丁，并采用了漏洞扫描器等工具，以确保所有补丁都已打上。
作者：Maddie Stone@Google Project Zero 译者：知道创宇404实验室翻译组 原文链接：https://googleprojectzero.blogspot.com/2022/04/the-more-you-know-more-you-know-you.html 这是我们回顾在野利用 0day 漏洞的第三个年度。 2019年： https://googleprojectzero.blogspot.com/2020/07/detection-deficit-year-in-revi
日前，一年一度的大型线上攻防对抗大赛已圆满落下帷幕。但今年的演习尤其热闹，乙方安全产品频频被曝出0Day漏洞，各种真假消息满天飞，让甲方企业每天都惴惴不安，开始用看“内鬼”的眼光看待自己的安全防线。为应对安全产品0Day问题，有的甲方企业甚至采用了关机、拔网线、下线安全产品等极端方式，直接让业务系统处于“裸奔”状态。
高危应急漏洞爆发之际，厂商官方升级包迟迟等不到？好不容易盼来了官方升级包，面对海量主机/容器组件却不知从何修起？精挑细选筛选出重点资产，发现修复需要重启，又担心影响线上业务？
20210920 [+]CmdDll Windows 0day漏洞通用DLL注入生成器，生成的DLL仅5KB，非常适合0day加载
本文转自:http://toutiao.secjia.com/vep-charter 特朗普政府在星期三发布了一份年度报告《未分类漏洞权益VEP宪章》，概述政府的决定，即何时公开向公众透露新发现的计算机漏洞，以及何时将其囤积起来，以刺探和攻击美国的对手。 这一举动标志着政府的“漏洞权益流程vulnerabilities equities process”迈出了重要的一步，透明度倡导者之前一直抱怨这方面太不透明, 当那些不公开的漏洞被 网络犯罪 分子发现时, 他们往往会让公民的个人信息变得脆弱。 vulner
匿名性对网络犯罪和情报机构有着足够的吸引力，正因如此，在“深网”中不仅提供了大量的非法商品，现在更有了0day漏洞交易服务。最近在洋葱网络Tor中就出现了一个名为TheRealDeal的地下市场，为买卖双方提供了的0day漏洞交易的服务。 FreeBuf百科：什么是0day？ 0day攻击是一个高效网络武器设计中最重要的组成部分，政府有专门的网络部门发现和寻找未知的漏洞（即0day），其销售的一些珍贵商品一般都是私人或政府为主要买家。当然，政府不是唯一的买家，一些非政府个体买家也可以获得包括0day的漏
黑客们对0day漏洞的攻击利用似乎永无止境。微软公司之前已经修复了Windows上三个0day漏洞，而现在又发现了一个新的PPT 0day漏洞（编号CVE-2014-6352）。据了解这个漏洞影响所有
2021年10月12日凌晨1点，距离上个版本发布仅10天，苹果就向全球用户推送了 iOS15.0.2系统，同时发布的还有 iPadOS15.0.2。本次更新除了修复信息与照片、应用等一系列问题外，紧急修复了一个正在被黑客广泛利用的0day漏洞，漏洞编号CVE-2021-30883。
近日，漏洞收购商Zerodium更新了安卓和iOS的0day漏洞收购价，发现自2015年公司成立以来，安卓0day漏洞价格首次高于iOS漏洞价格。
起始 这个后门是在去年的某次渗透测试中发现的，但是因为时间点比较敏感，客户也未修复，就还未披露。 他们在中央的网站都留了后门，银行的也留，影响了一大批人，真是官方刺激！ 其中包括官网上如下的网站： 实
谷歌发现一个未修复的安卓0day已遭利用。该0day存在于安卓操作系统的内核代码中，可被攻击者用于获取设备的根权限。颇具讽刺意味的是，这个0day曾在2017年12月于安卓内核版本3.18、4.14、4.4和4.9中被修复，但新版本被指易受攻击。
近日，一家以协助政府监视公民而“闻名于世”的意大利公司Hacking Team数据失窃。攻击者窃取了Hacking Team超过400GB的数据并公布于网络，被盗数据包括Hacking Team一些产品的源代码、邮件、录音和客户详细信息。被窃公开的数据中发现大量的0day漏洞、网络攻击工具等等，其中存在于Adobe Flash中的0-Day漏洞，称之为是“近四年以来最漂亮的Flash BUG”，微软的Windows系统和以SE Linux为代表的强化Linux模组都受到影响。随后该漏洞再次得到了Adob
在计算机领域中，0day通常是指还没有补丁的漏洞。也就是说官方还没有发现或者是发现了还没有开发出安全补丁的漏洞，比如苹果的越狱插件都是利用0day漏洞的。所以越狱之后苹果再次发布更新填补漏洞，升级后就无法越狱了，要等待越狱开发者再次寻找0day。
今天，谷歌发布 Chrome 版本 86.0.4240.198，修复了两个已遭利用的 0day。不过这次并不像之前那样由谷歌内部团队发现，而是源自匿名人士。
本周BUF大事件还是为大家带来了新鲜有趣的安全新闻，Pwn2Own 2021黑客大赛落下帷幕；谷歌Chrome接连曝出0day PoC；微软发布4月补丁更新，修复了108个漏洞和5个零日漏洞。想要了解详情，来看本周的BUF大事件吧！ 观看视频 内容梗概 谷歌Chrome 0Day漏洞通报 4月13日，国外安全研究员发布了一个基于Chromium内核的远程代码执行0Day漏洞。漏洞影响Chrome最新正式版（89.0.4389.114）以及所有低版本，攻击者可以通过构造特殊的Web页面，诱导受害者访问，达到远
我将坦白当我准备入侵一个目标时，我是如何收集信息并入侵的。最重要的是，我会给你们一些有用的忠告。
大早上在地铁上，像往常一样刷着手机，看看订阅号，看看知乎，看看微博。突然就看到了一个让我精神抖擞的消息：Spring出了一个比上次Log4j更大的漏洞！
谷歌安全人员分享了4个新的0day漏洞的信息。并且，谷歌还透露，与俄罗斯有关的APT组织正在利用其中的 Safari 零日漏洞攻击 LinkedIn 用户。
漏洞开发人员SandboxEscaper在微软最近一次安全更新之后的一周，放出了一个Windows操作系统的0day漏洞。该漏洞于去年8月份出现，能够使外部攻击者获取本地权限以及允许访客用户取得SYSTEM和TrustInstaller等全权限用户的文件。
今天有大事要宣：GeekPwn 云安全挑战赛开放赛阶段已经启动啦！ 这是 GeekPwn 联合腾讯安全云鼎实验室发起首个基于真实云平台的云安全挑战赛，覆盖云计算“全栈”环境，旨在提高云计算服务安全性。 经过多年的发展，云计算以其配置灵活、高可用性、业务弹性等特性成为企业 IT 建设的首选架构。但随应用普及而来的云安全问题也日益凸显，服务中断、数据泄露等安全事件的发生极大影响企业业务。 全球首个“全开放”云安全挑战赛 作为首个基于真实云计算平台架构和技术的安全挑战赛，本次比赛不仅鼓励安全研究
网络罪犯正在活跃的使用地下放出的漏洞代码进行IE 0Day的攻击。 目前仍运行和使用IE浏览器的商业机构应当做出更好的预防工作，在近期的IE 0Day漏洞利用代码细节已经被公布。 根据Rapid7的高级工程师Ross Barrett所说，漏洞利用代码目前正在网络上广泛的传播。在这周早些时候，他看到了漏洞代码被提交到VirusTotal和Scumware。 攻击者通常攻击网站的脆弱部分，举例来说，利用过时的WordPress来上传他们的恶意代码到服务器。接下来，通过垃圾邮件和钓鱼活动，诱使用户进入这些站点，漏
Seebug是知道创宇旗下著名的老牌通用漏洞社区平台，从2006年上线以来已运营14年多之久了，聚集了大量安全研究者及相关漏洞信息资料。“赋予漏洞灵魂，打造权威参考”一直Seebug坚持的方向，同时我们也是“No more free bugs”坚决拥护者。
APT28 看来可以获得今年安全奥斯卡的史诗级失败奖了。因为他们对参加 CyCon 安全大会的专家们使用了鱼叉式钓鱼攻击。 本月初，APT28 对 CyCon的参会人员发动了这次攻击，CyCon 是北约联合防御中心（CCDCOE）和西点军校网络研究所合办的安全会议。 APT28 这次真的太蠢了，对安全圈一点敬意都没有 很显然，参加这次会议的基本都是安全圈的专家，对鱼叉钓鱼，恶意软件和 APT 组织都太了解了。 而 APT28 呢，他们是否使用了还没曝出的 0day漏洞，来让专家措手不及？然而并没有。他们
最近的Black Hat大会议题ppt已提供下载，里面有两个非技术议题，其视角比较有趣，一些问题值得思考，因此才有本文。
在利用0day漏洞去展开网络攻击，中国不是唯一的“恶魔”。根据路透社的报告，在一个蓬勃发展的由黑客和安全公司开发和销售入侵工具的灰色市场，美国政府是“0day”漏洞最大的买家。 一些安全专家质疑五角大楼的报告。在报告里，对由美国发起的网络间谍行为只字未提。但是，美国每年都会花费数十亿美金来“打造网络防御工事和发展越来越复杂的网络战武器”。国家安全局将军Keith Alexander在国会听证会上说，“美国正在建立十数个进攻团队，如果必要，这些团队会对其他国家的网络系统展开攻
一个Razer Synapse 0day漏洞在Twitter上披露，只需插入Razer鼠标或键盘即可获得 Windows管理员权限。
雨笋教育资讯：近日，美国国家安全局（NSA）针对中国境内目标所使用的代表性网络武器——Quantum（量子）攻击平台被我国安全厂商公开披露。据NSA官方机密文档《Quantum Insert Diagrams》内容显示，Quantum（量子）攻击可以劫持全世界任意地区任意网上用户的正常网页浏览流量，进行0day（零日）漏洞利用攻击并远程植入后门程序，以实施漏洞利用、通信操控、情报窃取等一系列复杂网络攻击，直接威胁广大政企用户的数字安全。
近日，国外安全公司FireEye宣布发现新型IE 0day漏洞攻击，该漏洞影响Windows XP和Windows 7系统上的英文版本IE浏览器。不过FireEye认为，其他语言版本的IE很可能也会被攻陷。目前国内尚未出现此漏洞攻击，不过Windows XP和Win7用户也需要高度警惕。 据分析，最新IE 0day漏洞主要攻击Windows XP系统上英文版IE7、IE8浏览器和Windows 7系统上的英文版IE8浏览器。美国市场研究公司StatCounter和Net Applications数据
大家好，我是ABC_123。在上篇文章《记一次国护零失分的防守经验总结（上篇）》中，给大家分享了一些在国护防守中能够减少失分、实施简单而又能快速奏效的方法。本期参考之前的防守零失分的案例，继续探讨并分享其它的一些好用的方法。目前分享的是一些蓝队防守的关键点，随着总结的深入，这些点会慢慢形成面，最后会形成一个蓝队防守的体系。。
https://mp.weixin.qq.com/s/G-ffg_TDRkvcwM4tug8ZlA
前段时间，阿里云云盾应急响应中心监测到FastJSON存在0day漏洞，攻击者可以利用该漏洞绕过黑名单策略进行远程代码执行。
一年一度大型活动刚刚过去，对于BT来说，能在这一期间坐在电脑前点点鼠标，业务安然无恙是极好的，本文为BT视角对今年大型活动中的RT打法思考与观感，重点观察思考了今年主流攻击思路，以及今年攻击姿势重点方向发生的转变。
15天的攻防演练落幕，红蓝双方经历一场大考。8月18日，第八期FreeBuf甲方社群直播组织了「攻防复盘，星空夜话」，邀请红蓝方知名专家交流攻防演练实战经验。 本期直播由公安部第三研究所樊苑担任主持人，蓝方代表某企业安全架构师李宗晖、某国际自动化厂商网络安全服务团队负责人剑思庭和红方代表斗象科技安服专家张贵卿、黄炜榆，从规则演变、0day利用到能力沉淀等五个角度探讨交流攻防经验。FreeBuf在此摘录对谈精华以飨读者。 主持人：今年攻防演练规则比较重视信息系统权限控制评分，尤其重视数据安全和个人隐私数据，
能潜伏的不只有生物学上的病毒，还有网络中的病毒。 近日，宅客频道从腾讯电脑管家官方微博看到一则消息：腾讯安全反病毒实验室在全球范围内捕获了一例病毒样本，并顺藤摸瓜扒出了一个潜伏 17 年之久的 0day 漏洞——该病毒利用 Office 公式编辑器中的 0day 漏洞发动攻击，与之前 CVE-2017-11882“高龄”漏洞如出一辙，潜伏期长达 17 年之久，威胁大量 Office 版本，一旦用户打开恶意文档，无需其他操作，就会被植入后门木马，被不法分子完全控制电脑。 📷 0Day 漏洞（Ze
研究人员表示，有国家背景的黑客正在积极利用Pulse Secure VPN的关键漏洞，以绕过2FA（双因素认证）保护，从而隐秘地进入属于美国国防工业和其他一系列组织的网络。
在 2019 年，我们把 2017 和 2018 年的文章以年刊的方式整理出来，并对外发布，然后有小伙伴（@Howe-7）在看文章的时候，发现一些问题，如下：
第一种就是弱口令，很多系统拥有学生或者管理员默认密码或者初始密码，可以通过该方法进入系统进行深度挖掘，毕竟给个登录框也搞不点啥样。
原文地址：https://securelist.com/blackoasis-apt-and-new-targeted-attacks-leveraging-zero-day-exploit/82732/ 介 绍 卡巴斯基实验室一直以来与厂商们密切合作，一旦发现新的漏洞，我们会及时通知厂商并提供修复所需的所有信息。 2017年10月10日，卡巴斯基实验室高级漏洞利用防御系统确认了一个新的 Adobe Flash 0day 漏洞，该漏洞利用通过 Microsoft Office 文档传送，最终 paylo
DEP（Data Execution Prevention，数据执行保护）这东西很多人都知道，但ASLR（Address space layout randomization，地址空间随机化）估计
1、2022某大型活动期间漏洞清单整理，以下信息均来源于网络。2、整理此清单一方面希望帮助企业自查，如果存在相应漏洞尽快修复；另一方面帮助白帽子拓展漏洞库，方便后续做渗透测试使用。3、如有侵权，联系删除。4、信息不一定真实，存在误报的可能，请自行判断。Apache Commons远程代码执⾏漏洞（CVE-2022-33980） Array VPN 0day
近日，腾讯主机安全（云镜）捕获到YAPI远程代码执行0day漏洞在野利用，该攻击正在扩散。受YAPI远程代码执行0day漏洞影响，大量未部署任何安全防护系统的云主机已经失陷。 为避免您的业务受影响，腾讯云安全建议您及时开展安全自查，如在受影响范围，请您及时进行更新修复，避免被外部攻击者入侵。 漏洞详情 YAPI接口管理平台是国内某旅行网站的大前端技术中心开源项目，为前端后台开发与测试人员提供更优雅的接口管理服务，该系统被国内较多知名互联网企业所采用。 YAPI使用mock数据/脚本作为中间交互层，其中
大家好，我是ABC_123。一年一度的网络安全“大考”就要开始了，笔者了解到很多朋友都在为蓝队防守问题发愁，我曾经有幸在一家防守单位担任技术方面的主防研判的角色，在团队的共同努力下，实现了零失分的成绩，保障了甲方客户的网络安全。ABC_123总结以前的经验，把一些简单有效可以快速落地的方法分享给大家，后续会逐步形成一个蓝队防守的知识体系，会做一个思维导图发出来。
维基解密最近再度获取到了数千份文件——据说这些文件是来自CIA（中央情报局），文件细数了CIA所用的网络入侵工具及其拥有的入侵能力。 实际上，以近些年美国政府的各路监控行为，而且还有NSA的种种“珠玉”在前，CIA的黑客工具可能也就不算什么了。 本周二，维基解密曝光了8761份据称是美国中央情报局(CIA)网络攻击活动的秘密文件，这些数据代号为Vault 7，文件日期介于2013年和2016年之间，据说是公布的相关CIA最大规模的机密文档，应该能够很大程度表现CIA的黑客技术和内部基建情况。 这系列文
腾讯御见威胁情报中心近日监控到一例使用Adobe Flash 0day漏洞（CVE-2018-5002）的APT攻击，攻击者疑通过即时聊天工具和邮箱等把恶意Excel文档发送给目标人员，诱骗目标人员打开文档。实际上，该恶意Excel文档经过特别构造，被嵌入了flash对象，用户一旦打开文档电脑就会中毒。
首先说下被很多老鸟或小白混要的一些说法,web防火墙和waf防火墙不属于一个东西.真的,看我解释.
前面几期我们介绍的是发现邮箱安全问题和分析问题，本期我们介绍一下邮箱系统安全防御及加固手段，可以重点解决邮箱系统通用应用漏洞缺陷防护和邮箱反入侵问题。为解决邮箱系统代码程序设计安全隐患、邮箱系统0day漏洞、网站运维和管理人员安全意识漏洞以及黑客攻击问题。安恒信息将提供Web应用防火墙产品保护您的邮箱系统安全。 部署Webmail安全防御系统 1 邮箱系统通用安全风险 代码设计安全隐患 由于网站研发人员对WEB安全的认知能力有限或者网站开发时间有限，导致Web服务程序存在SQL注入、跨站脚本、源码泄露等漏洞
日前，Java又爆了一个新的0day，可能让攻击者获取计算机管理权限，Java 7 Update 10或更早的版本中存在该漏洞，该漏洞可以允许未经身份验证的远程攻击者在受害者系统上执行任意代码，该漏洞
Capsule8是一家由经验丰富的黑客和安全企业家创建的高新科技初创型企业，总部位于纽约布鲁克林，成立于2016年秋季，在2018年8月获得1500万美元的B轮融资。
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
实时音视频
即时通信 IM
对象存储
