最近，Sophos 发现一个未知攻击者利用 11 年前 Adobe ColdFusion 9 的一个古老漏洞来对 ColdFusion 服务器进行攻击，部署 Cring 勒索软件并进行横向平移。
Adobe ColdFusion 是一个商用的快速开发平台。它可以作为一个开发平台使用，也可以提供Flash远程服务或者作为 Adobe Flex应用的后台服务器 。
原文链接：https://paper.seebug.org/999/ 英文版本： https://paper.seebug.org/1000/
Adobe ColdFusion，是一个应用服务器平台，其运行的 CFML（ColdFusion Markup Language）针对Web应用的一种脚本语言，类似现在的JSP里的JSTL（JSP Standard Tag Lib）。文件以*.cfm为文件名。
12月5日，美国网络安全和基础设施安全局 (CISA)发出警告称，黑客正积极利用 Adobe ColdFusion 中的一个关键漏洞（CVE-2023-26360）来获取对政府服务器的初始访问权限。
的 index 应该是数字而不是字符串# The request has exceeded the allowable time limit Tag: CFQUERY
大家好，上周分享了《给任意java程序挂Socks5代理方法》、《盲猜包体对上传漏洞的艰难利用过程》两篇红队技术文章，反响还不错。本期分享一个有关Java反序列化漏洞的过waf案例。目标应用系统是Adobe ColdFusion动态web服务器，对应的漏洞编号是CVE-2017-3066，曾经利用这个反序列化漏洞多次拿过权限。靶标直接放在公网上，网站部署了waf，而且这个waf可以识别反序列化攻击数据包，我当时费时两三天的时间，绕过了层层防护，过了一个又一个关卡，最终成功getshell，过程是非常艰辛的。
腾讯安全威胁情报中心推出2023年7月份必修安全漏洞清单，所谓必修漏洞，就是运维人员必须修复、不可拖延、影响范围较广的漏洞，被黑客利用并发生入侵事件后，会造成十分严重的后果。
https://lists.apache.org/thread/m614czxtpvlztd7mfgcs2xcsg36rdbnc
首先要求 XML 代码最外层必须被一个 root tag 包围, 否则会报以下错误:
FortiGuard 实验室的网络安全研究人员发现了几个影响 Windows 和 Mac 设备的 Adobe ColdFusion 漏洞。
标记函数和变量的时候需要用到井号 输入两个连续的井号(##)就表示一个单个井号(#)
Coldfusion Pros Cons PHP Pros Cons JAVA Props Python Pros Cons Node Pros Cons Reference 公司很无聊，突然想比较一下，很多种不同的服务端语言, 于是就有了下面这篇文章 Coldfusion Based on JAVA Pros Based on Tags, easy to learn, very easy to learn, connot be easier. Based on J
曾经在2004年的时候，接过PHP论坛和网站的兼职，当时主要写ASP代码，也没深入研究PHP，没想到PHP这么些年在互联网的占有率那么高。特别是近期看到很多微信、微营销平台都是基于PHP的，研究学习的时候，不得不掌握最新的语法，才能读懂程序。
在 Coldfusion 里， 可以使用 cffunction 去定义一个自定义函数。 但是有时候程序的设计不是很完美， 自定义函数经常要修改， 那么参数上的调用就会有问题。 这个问题如何解决呢？Coldfusion 的自定义函数的参数传递原来可以看作属性。 调用的时候可以告诉自定义函数， 这个值是属于哪个参数的。
PHP是制作动态网页的服务器方面的脚本语言。通过PHP和HTML创建页面。访问者打开网页时，服务器方面处理PHP指令，将其处理结果送到访问者的浏览器上，就像ASP和ColdFusion一样。但是，PHP和ASP和ColdFusion不同的是跨平台的开放源代码。PHP可以在WindowsNT和许多不同的Unix版本中执行，也可以编译为Apache模块或CGI二进制文件。当编译成Apache模块时，PHP特别轻便。因为没有麻烦的程序产生的负担，所以不需要调整mod_perl来调整mod_perl，以便立即恢复结果。除了可以用来创建你的网页内容外，PHP还可以用来传输HTTP头。可以设置cookies，授权管理，将用户重新定向新页面。也可以访问很多数据库和ODBC。此外，它还可以与各种外部库集成，从制作PDF文件到分析XML。
SSL协议是目前全球等级较高的加密安全协议，为网络传输提供加密安全通道，保护信息传递安全。
的形式出现 一开始可以使用空值, 不需要 ListNew()这样的方法来新建 List, 之后再使用 ListAppend 来添加数据
记得第一次面试phper（php是对我来说可以快速上手的另一web开发语言），人家问我MVC,我只知道m就是model,v就是view,c就是Controller,具体把其它的认识我是一无所知，结果我被问得一问三不知！！我才知道自己多么的差劲。于是我决定不把它搞清楚不罢休！找到如下资料
Flot - Flot 为 jQuery 提供的javascript代码库. 容易使用，有特色的图表，提供交互功能(能够放大缩小数据区域等)。 Open Flash Chart - Open Fl
Java语言中的正则表达式匹配功能主要是通过java.util.regex.Matcher类和以下这些方法实现的。
大家好，我是ABC_123。本期分享一篇ABC_123曾经做的针对一家银行的红队评估项目，持续时间两周，难度非常大，但是最终打到了银行核心业务区，今天就复盘一下全过程，希望红蓝双方都能得到一些启示，这也是“未知攻、焉知防”的道理。
常在电脑前工作，总有那么几天会对未来迷茫，可能是每天静止的坐着，感觉自己在变老，而电脑总想个孩子，每天能冒出无数个想法，让你去琢磨它，跟上它的节奏，真有点The Big Bang Theory的味儿，所以偶尔看到触动我心的文章，我就肃然起敬，下面就是转载的，触动我的一篇。
我是1999年上大学的时候才接触计算机，那时候上网还叫“冲浪”。第一次去学校的机房，视觉、身心被震撼到，深信计算机的未来很美好，于是基本来放弃了本专业（电气工程及自动化），大部分时间都用在了计算机方面的学习，最初对计算机硬件及网络感兴趣，本来打算在盯着这个领域发展的，还因此去读了MCSE,CCNA。但是后来学了C语言，学了SQL，考了MCDBA，就发现还是喜欢编程，从硬变软了。
越来越多的企业采用Java语言构建企业Web应用程序，基于Java主流的框架和技术及可能存在的风险，成为被关注的重点。
In the above snippet, two variables are created. The first variable uses the var keyword to ensure that the variable is local to the function, and if the same variable name existed elsewhere it won't be overwritten. The second variable does not use var, and as such is not local, and variable conflicts can indeed occur. And so, when creating user defined functions or ColdFusion Component methods, the rule has always been to always prefix local variables with "var".
当地时间12月8日，安全公司FireEye发布博客表示，某个由国家赞助的APT组织盗取了FireEye的红队工具箱。由于暂时无法确定攻击者会自己使用，还是公开披露工具箱，为保证各安全社区能提前采取应对措施，FireEye公开了被盗工具的检测规则，以降低恶意用户滥用红队工具箱的威胁。
在买空间前我做过调查，看到网上很多人在讨论这个wordpress建站用windows主机好还是linux主机好的问题。
身为一名非开发人员，如果想要与自己的开发团队建立良好的沟通关系，那么就需要知道哪些东西是开发人员喜欢听的，而哪些是开发人员不喜欢听的。例如，开发人员喜欢听到你在不向他们求助的前提下做出那些与技术有关的艰难的且极其重要的决定，因为这会为他们省去很多时间。
mvc原则上model是不与view层交互的吧，model广义上讲不是单单的数据封装而是承载了明确的业务逻辑处理，当然可能只是简单的网络或数据库存取。controller负责接受用户交互指令，后对model进行访问，之后组装成view，相当于model与view之前的桥梁所以称之为控制器。
CKEditor是一个专门使用在网页上属于开放源代码的所见即所得文字编辑器。它志于轻量化，不需要太复杂的安装步骤即可使用。它可和PHP、JavaScript、ASP、ASP.NET、ColdFusion、Java以及ABAP等不同的编程语言相结合。
美国国家安全局（NSA）发布了一份报告，并公布了25个“中国黑客”在野攻击中利用的漏洞，其中包括已经被修复的知名漏洞。
如果，需要一个模式，它包含的匹配本身并不返回，而是用于确认正确的匹配位置，它并不是匹配结果的一部分。这时就需要进行“前后查找”（一般而言，前后查找模式是相对于查找文本的位置而言，左为前）。
上周，本站发布了一篇名为《站长须知：HTTP迁移HTTPS时，如何避免发生重复内容问题》的文章。介绍了HTTP页面迁移到HTTPS的时候，为了避免出现重复内容的不同网站的情况，建议广大站长将所有的HTTP页面使用301重定向到对应的HTTPS，为了让更多人熟悉301重定向，本文将介绍301重定向的方式。当然大前提用户在服务器上必须要正确安装SSL证书。 📷 301重定向 301重定向是指页面永久性移走，是网页更改地址后对搜索引擎最友好的方法。当网站发生调整，改变了网站的目录结构，网页被移到一个新地址。或者网
Adobe ColdFusion是美国Adobe公司的一款动态Web服务器产品，其运行的CFML（ColdFusion Markup Language）是针对Web应用的一种程序设计语言。
通过DynaTrace的OneAgent等功能组建能全面了解服务所运行的环境。其中包括：Metric、Log、Trace，具有完整的分布式跟踪能力，可以在抓取到代码层面的运行时信息，自动构建出运行时的上下文信息，将实体关系和用户体验以及用户的行为数据较好的关联起来。在实现服务的可观测性这个场景中，DynaTrace提供了一系列的工具和能力：
通常平台 会提供生成UUID的API。UUID按照开放软件基金会(OSF)制定的标准计算，用到了以太网卡地址、纳秒级时间、芯片ID码和许多可能的数字。
本文介绍了一种使用Iron.js在.NET程序中运行JavaScript脚本的方法，通过动态语言运行时（DLR）实现。该方法可以方便地为动态语言添加自定义逻辑，提高开发效率。
Websitepanel是一个开源，免费的用于Windows2003或Windows2008平台的虚拟主机管理系统。支持集群 分布式架构 。 支持系统 Windows Server 2008 R2 全部版本 Windows Server 2008 全部版本, 32 和 64 位 Windows Server 2003 全部版本, 32 和 64 位 Web 服务器 IIS 7.5 IIS 7.0 IIS 6.0 ColdFusion 7/8/9 FTP 服务器 MS FTP 7.5 MS FT
Model:模型层 View:视图层 Controller:控制层 MVC (Modal View Controler)本来是存在于Desktop程序中的，M是指数据模型，V是指用户界面，C则是控制器。使用MVC的目的是将M和V的实现代码分离，从而使同一个程序可以使用不同的表现形式。比如一批统计数据你可以分别用柱状图、饼图来表示。C存在的目的则是确保M和V的同步，一旦M改变，V应该同步更新。 模型－视图－控制器（MVC）是Xerox PARC在八十年代为编程语言Smalltalk－80发明的一种软件设计模式，至今已被广泛使用。最近几年被推荐为Sun公司J2EE平台的设计模式，并且受到越来越多的使用 ColdFusion 和 PHP 的开发者的欢迎。模型－视图－控制器模式是一个有用的工具箱，它有很多好处，但也有一些缺点。
有些时候不能将url上的参数传来传去，比如与调用某开放平台上的接口，这时候可能需要借助Cookie来进行处理了，但这里可能又涉及到跨域的问题。
编译 | 核子可乐、Tina Adobe 公司计划豪掷 200 亿美元，收购大受欢迎的 Web 协作设计工具 Figma。 9 月 15 日，Figma 公司联合创始人兼 CEO Dylan Field 在一篇帖子中指出，“今天，我们宣布 Figma 已经达成协议，将接受 Adobe 的收购……Figma 的故事不会就此结束，这只标志着一个章节的落幕。” 此次交易大致将以一半现金、一半股票的形式支付，预计将在 2023 年完成，且需要获得监管部门的批准。 1 又致富了一批人 Figma 成立于 20
Hello！攒钱买生发水的大灰狼又来了，最近在最项目开发的时候呀，跟小伙伴聊到修Bug这件事。
在 WPF 中，触摸默认通过 RealTimeStylus 实时触摸进来，根据官方文档，这个机制将会和 WM_Touch 触摸消息在同一个 HWND 是互斥的。而在 WPF 中按照机制，在没有禁用实时触摸下是不支持在窗口内收到 WM_Touch 触摸消息。因此想要在不禁用 WPF 实时触摸的情况下，获取 WM_Touch 触摸消息的一个方法是通过 WinForms 窗口来获取
微软想把 WPF 作为 win7 的触摸好用的框架，所以微软做了很多特殊的兼容。为了获得真实的触摸消息，微软提供了 OnStylusDown, OnStylusUp, 和 OnStylusMove 事件。 本文告诉大家如何使用代码禁用 WPF 的触摸消息，解决一些问题。
利用jQuery UI中Auto-complete插件实现输入自动完成功能，大家在使用诸如淘宝、京东等电商平台搜索商品时，往往只要输入商品的一些特殊字符，就可以显示出和该字符相近的列表菜单，用户使用鼠标或者键盘方向键就可以快速选择，实现了很好的用户体验。
在使用Microsoft Visual Studio（通常是在Windows操作系统下）进行C++编程时，我们可能会遇到名为"cl"的命令行编译器和错误消息"D8021: 无效的数值参数"。这些错误消息通常与参数"/Wno-cpp"和"/Wno-unused-function"相关。
1. 可以将消息发送到多个目标服务（多播） 通过支持多个会话句柄，扩展了 SEND (Transact-SQL) 语句的语法以启用多播。 DECLARE @dialog_handle1 UNIQUEIDENTIFIER, @dialog_handle2 UNIQUEIDENTIFIER, @dialog_handle3 UNIQUEIDENTIFIER, @OrderMsg XML ; SET @OrderMsg = < construct messag
如果你正在使用最新的 Ubuntu 服务器版本，你可能已经注意到欢迎消息中有一些与 Ubuntu 服务器平台无关的促销链接。你可能已经知道 MOTD，即 Message Of The Day 的开头首字母，在 Linux 系统每次登录时都会显示欢迎信息。通常，欢迎消息包含操作系统版本，基本系统信息，官方文档链接以及有关最新安全更新等的链接。这些是我们每次通过 SSH 或本地登录时通常会看到的内容。但是，最近在终端欢迎消息中出现了一些其他链接。我已经几次注意到这些链接，但我并在意，也从未点击过。题图是我的 Ubuntu 18.04 LTS 服务器上显示的终端欢迎消息。
领取专属 10元无门槛券
手把手带您无忧上云
