安全漏洞

GitLab CVE-2024-6678、CVE-2024-8640 漏洞解决方案极狐GitLab 近日发布安全补丁版本17.3.2, 17.2.5, 17.1.7，修复了17个安全漏洞，本分分享 CVE-2024-6678、CVE-2024-8640 两个漏洞详情。

2024上半年网络安全漏洞态势报告2024年9月26日，“2024中国数字经济创新发展大会”在汕头成功召开，大会汇聚业界精英，旨在全面探讨在新形势新挑战下，如何“健全数据安全体系构建可信流通环境”。在《数据安全与合规发展专题》分论坛上，工业和信息化部电子第五研究所软件与系统研究院数据治理中心副主任李帅，分享了《2024上半年网络安全漏洞态势报告》，该报告由工业和信息化部电子第五研究所软件与系统研究院科研创新部与深信服千里目安全技术中心联合编写，报告围绕安全漏洞总体态势、攻防场景漏洞利用趋势、开源软件漏洞态势、人工智能技术对安全漏洞的影响

【春秋云境】CVE-2024-23897-Jenkins 2.441之前版本存在任意文件读取漏洞Jenkins 2.441及更早版本，以及LTS 2.426.2及更早版本没有禁用其CLI命令解析器的一个功能，该功能会将参数中’@'字符后跟的文件路径替换为该文件的内容，允许未经身份验证的攻击者读取Jenkins控制器文件系统上的任意文件。

CVE-2024-38077：Windows远程桌面授权服务的‘隐形杀手’——深度剖析与紧急防护策略今日大部分厂商报告了CVE-2024-38077这个RCE漏洞，是一个危险性较高的漏洞，其CVSS评分高达9.8 ，可导致开启了远程桌面许可服务的Windwos服务器完全沦陷。漏洞影响Windows Server2000到WindowsServer 2025所有版本，已存在近30年。该漏洞可稳定利用、可远控、可勒索、可蠕虫等，破坏力极大，攻击者无须任何权限即可实现远程代码执行，更是被誉为这是自“永恒之蓝”后，Windows首次出现影响全版本且能高稳定利用的认证前RCE漏洞。

Windows Server 2008至2016远程桌面_SSL/TLS漏洞（CVE-2016-2183）修复步骤详解SSL / TLS协议是一种安全协议，目的是为互联网通信，提供安全及数据完整性保障。该漏洞允许远程攻击者获取敏感信息。

内容安全复习 6 - 白帽子安全漏洞挖掘披露的法律风险

[240528] git 漏洞 CVE-2024-32002 | ChatGPT Plus vs API 成本比较禁用 Git 中的符号链接支持（例如，通过 git config --global core.symlinks false）。

Web开发中的网络安全: 常见攻击及防范策略在Web开发的世界里，网络攻击是一种常见且潜在的威胁。理解这些攻击如何运作并采取措施防范它们对于构建安全的Web应用至关重要。本文将介绍几种常见的Web攻击，提供防范策略，并以实例说明如何防止这些攻击。

【春秋云境】CVE-2023-4450 jeect-boot queryFieldBySql接口RCE漏洞JeecgBoot 是一个开源的低代码开发平台，Jimureport 是低代码报表组件之一。当前漏洞在 1.6.1 以下的 Jimureport 组件库中都存在，由于未授权的 API /jmreport/queryFieldBySql 使用了 freemarker 解析 SQL 语句从而导致了 RCE 漏洞的产生。

深入理解MD5算法：原理、应用与安全在当今数字化时代，数据安全和完整性变得至关重要。消息摘要算法是一种用于验证数据完整性和安全性的重要工具。在众多消息摘要算法中，MD5（Message Digest Algorithm 5）因其快速、广泛应用和相对较高的安全性而备受关注。本书将深入探讨MD5算法的原理、应用和安全性，帮助读者更好地理解和应用MD5算法。

Web应用安全攻防战：识别十大威胁，掌握防护要点OWASP（Open Worldwide Application Security Project）是一家致力于应用安全威胁研究的非盈利机构。通过对超过20万个组织进行调研分析，该机构每三年左右就会发布一次《Web应用安全风险Top10》报告，这个报告已经成为全球企业开展Web应用安全防护时的重要参考。然而最近，卡巴斯基的一个安全研究小组却发现，OWASP 所给出的Web应用安全威胁排名，和其实际遵循黑盒、灰盒和白盒等应用程序风险评估方法实际测试后所得出的结论有着较大差异，组织应该根据威胁的潜在影响和可利

2,4(1H,3H)-PD are mine

Breach: 1 ~ VulnHub靶机下载地址win10系统，安装bp;wireshark根据提示，靶机设置为仅主机模式，网段192.168.110.0，靶机ip为静态192.168.110.140

归去来兮-zangcc

2024新版SonarQube+JenKins+Github联动代码扫描（1）-JenKins安装与配置Sonar是一个半开源的静态代码扫描工具，试用过一次觉得功能还算可以，所以记录一下SonarQube扫描的用法以及在中大型企业进行SDL安全审计的时候，如果用SonarQube+JenKins+Github三者联动进行代码扫描，快速，方便，自动化！

一款云渗透工具 - Sea Moon什么是月海🌕 月出于云却隐于海月海(Sea Moon) 是一款 FaaS/BaaS 实现的 Serverless 网络工具集，期望利用云原生的优势，实现更简单、更便宜的网络功能。

Akamai 如何揪出微软 RPC 服务中的漏洞近日，Akamai研究人员在微软Windows RPC服务中发现了两个重要漏洞：严重程度分值为4.3的CVE-2022-38034，以及分值为8.8的CVE-2022-38045。这些漏洞可以利用设计上的瑕疵，通过缓存机制绕过MS-RPC安全回调。我们已经确认，所有未安装补丁的Windows 10和Windows 11计算机都会受到影响。

加固安全防线：解决常见漏洞的实用指南

RPCMS跨站脚本漏洞(xss)CNVD-ID:CNVD-2024-01190漏洞描述:RPCMS是一个应用软件，一个网站CMS系统。

Supershell防溯源反制配置项目地址：https://github.com/tdragon6/SupershellSupershell是一个集成了reverse_ssh服务的WEB管理平台，使用docker一键部署（快速构建），支持团队协作进行C2远程控制，通过在目标主机上建立反向SSH隧道，获取真正的完全交互式Shell，同时支持多平台架构的客户端Payload，客户端Payload的大小为几MB，可以理解为在目标主机上部署了一个几MB的ssh服务器，然后获取了一个ssh shell；Supershell集成了客户端管理、客户端P

ManageEngine卓豪

基于风险的漏洞管理基于风险的漏洞管理涉及对即将被利用的漏洞的分类响应，如果被利用，可能会导致严重后果。本文详细介绍了确定漏洞优先级时要考虑的关键风险因素，以及确保基于风险的漏洞管理成功的其他注意事项。