漏洞

【错误记录】Android 应用漏洞修复处理 ( 动态反调试漏洞 | 调用 Debug.isDebuggerConnected 函数查询是否被动态调试 )针对 Android 应用进行动态调试攻击 , 攻击者利用 Frida、Xposed 等调试工具 , 对 Android 应用进行运行时分析和修改 , 从而获取应用的关键函数、核心逻辑和敏感数据等信息 ;

渗透测试老鸟-九青

面试经验分享 | 驻场安全服务工程师面试面试官的问题：泛域名解析是：*.域名解析到同一IP。域名解析是：子域名.域名解析到同一IP。解决方式：IP黑名单，首先访问一个随机的并不存在的域，通过返回的结果判断是否存在泛解析，确定存在泛解析后，不断的生成随机域名并发送请求，将每次返回的IP和TTL记录下来，直到大部分的IP出现次数都大于两次，则IP黑名单收集完成。而后使用域名字典进行爆破，爆破过程中根据IP黑名单进行过滤，同时比较TTL，在泛解析记录中TTL是相同的，如果TTL不相同，则不是泛解析记录。

渗透测试老鸟-九青

漏洞挖掘 | 记一次src挖掘-小程序敏感信息泄露就现在的一个web漏洞挖掘强度还是非常高的，所以我们不妨把我们的眼光投向一个之前可能未曾涉及到的区域———小程序是的微信小程序，这玩意的防范能力和过滤能力其实对比web方向是要弱小很多的

凝聚力安全团队

【漏洞复现】海康威视综合安防管理平台软件 center_api_files 任意文件上传漏洞免责声明：本文内容旨在提供有关特定漏洞或安全漏洞的信息，以帮助用户更好地了解可能存在的风险。公布此类信息的目的在于促进网络安全意识和技术进步，并非出于任何恶意目的。阅读者应该明白，在利用本文提到的漏洞信息或进行相关测试时，可能会违反某些法律法规或服务协议。同时，未经授权地访问系统、网络或应用程序可能导致法律责任或其他严重后果。作者不对读者基于本文内容而产生的任何行为或后果承担责任。读者在使用本文所提供的信息时，必须遵守适用法律法规和相关服务协议，并独自承担所有风险和责任。

Windows CSC提权漏洞复现（CVE-2024-26229）Windows CSC服务特权提升漏洞。当程序向缓冲区写入的数据超出其处理能力时，就会发生基于堆的缓冲区溢出，从而导致多余的数据溢出到相邻的内存区域。这种溢出会损坏内存，并可能使攻击者能够执行任意代码或未经授权访问系统。本质上，攻击者可以编写触发溢出的恶意代码或输入，从而控制受影响的系统、执行任意命令、安装恶意软件或访问敏感数据。微软已发出警告成功利用此漏洞的攻击者可以获得 SYSTEM 权限，这是 Windows 系统上的最高访问级别。这增加了与 CVE-2024-26229 相关的风险，使其成为恶

世界尽头与你

域名/子域名接管漏洞如果您发现某个域名被某个服务使用，但公司已经失去了对其的所有权，您可以尝试注册它（如果便宜的话），并通知该公司。如果该域名通过GET参数或Referer标头接收到一些敏感信息，比如会话cookie，那么这肯定是一个漏洞。

PHP开发中的不安全反序列化序列化是开发语言中将某个对象转换为一串字节流的过程，转换后的字节流可以方便存储在数据库中，也可以方便在网络中进行传输。而反序列化则是将数据库取出的字节流或从网络上接收到的字节流反向转换为对象的过程。概念虽如此，但不同的开发语言的序列化和反序列化的过程又略有不同。

扣脚大汉在网络

讯饶科技 X2Modbus 敏感信息泄露X2Modbus是一款功能很强大的协议转换网关，这里的X代表各家不同的通信协议，2是To的谐音表示转换，Modbus就是最终支持的标准协议是Modbus协议。使得用户可以根据现场设备的通信协议进行配置，转成标准的Modbus协议。在PC端仿真运行无误后，上传到硬件协议转换网关。在其中存在一个可以getuser的接口，其中就会泄露账号密码等信息

扣脚大汉在网络

java版本共存与fastjson反序列化rmi服务器的搭建链接：https://pan.baidu.com/s/1B8U9v8QAe4Vc67Q84_nqcg?pwd=0000 提取码：0000

网络研究院

研究人员发现 OpenAI ChatGPT、Google Gemini 的漏洞自 OpenAI 推出 ChatGPT 以来，生成式 AI 聊天机器人的数量及其在企业中的采用率在一年多时间里呈爆炸式增长，但网络安全专业人士的担忧也随之增加，他们不仅担心威胁组织对新兴技术的使用，还担心大型网络的安全性及模型（LLM）本身。

迷失的黑色精灵

upload-labs第二关第五关1、先上传个马试试，看看页面显示什么，要先把上次上传的马删掉哦 2、提示文件类型不正确，在看下提示说是在服务端做了检查 3、那就上传个php格式的，然后呢bp抓包把文件格式改了

辛勤搬砖的门卫

JAVA 反序列化之 Apache Commons Collections 反序列化漏洞分析Apache Commons Collections 反序列化漏洞是 2015 年影响重大的漏洞之一，同时也开启了各类 java 反序列漏洞的大门，这几年大量各类 java 反序列化漏洞不断出现。java 反序列化漏洞基本一出必高危，风险程度极大，最近研究了一些反序列化漏洞，本篇记录 apache commons collections 反序列化漏洞。

[VulnHub靶机渗透] dpwwn: 1目录前言一、信息收集1、主机探测2、端口扫描3、漏洞扫描nmap扫描nikto扫描二、渗透测试1、目录扫描+信息收集

代码讲故事

网络攻防中黑客是如何使用hydra对端口进行爆破的？网络攻防中黑客是如何使用hydra对端口进行爆破的？网站的防护(sql,xss…)的安全保护也已经上升了一个等级，但是由于管理员的安全意识薄弱，网站弱口令漏洞依然猖獗，不信可以看补天的漏洞提交记录，弱口令依然是漏洞中的佼佼者，当然弱口令并不仅限于网站的后台登陆弱口令，还有端口，比如 Ftp:21，ssh:22，Telnet:23，Pop3:110，3389远程登陆，8080中间件Tomcat，7001中间件Weblogic，3306 Mysql数据库(phpmyadmin)，1433 SQLServer数

代码讲故事

如何通过WIFI渗透企业内网？如何通过WIFI渗透企业内网？渗透测试的原理在于模拟攻击者对网站进行全面检测和评估，在攻击者之前找到漏洞并且进行修复，从而杜绝网站信息外泄等不安全事件。测试、检查、模拟入侵就是渗透测试。

node.js漏洞总结js开发的web应用和php/Java最大的区别就是js可以通过查看源代码的方式查看到编写的代码，但是php/Java的不能看到，也就是说js开发的web网页相当于可以进行白盒测试。

JAVA漏洞简单总结第一部分：Javaweb常见安全及代码漏洞以开源项目webgoat-server-8.1.0为例，可以在GitHub上看到，直接可以下载jar包，在本地准备jdk环境，使用以下命令进行启动：

PHP中一些特征函数导致的漏洞总结第一部分：特征函数php用这些函数实现过滤一些代码，漏洞可能有一些特性，利用这些特征代码进行对比；账号密码对比；强制检测数据类型等都会用到这些函数，接下来具体讲解一下各个函数的使用：

【低危】OpenSSL 拒绝服务漏洞OpenSSL 是广泛使用的开源加密库。在 OpenSSL 3.0.0 到 3.0.12, 3.1.0 到 3.1.4 和 3.2.0 中，使用函数 EVP_PKEY_public_check() 来检查 RSA 公钥的应用程序可能会遇到长时间延迟。如果检查的密钥是从不可信任的来源获取的，这可能会导致拒绝服务。

【Web】CTFSHOW 文件上传刷题记录(全)期末考完终于可以好好学ctf了，先把这些该回顾的回顾完，直接rushjava！目录web151web152