Apereo CAS 4.1 反序列化命令执行漏洞
Apereo CAS是一款Apereo发布的集中认证服务平台，常被用于企业内部单点登录系统。其4.1.7版本之前存在一处默认密钥的问题，利用这个默认密钥我们可以构造恶意信息触发目标反序列化漏洞，进而执行任意命令。 参考链接： https://apereo.github.io/2016/04/08/c...
- 24阅读
- 22阅读
国家支持的黑客可能利用MS Exchange对约10个组织进行了0day攻击
微软周五披露，2022年8月，一个活动组实现了初始访问，并通过将两个新披露的零日漏洞链接在一组针对全球不到10个组织的有限攻击中，从而破坏了Exchange服务器。 “这些攻击安装了Chopper网络外壳，以促进动手键盘访问，攻击者用它来执行Active Directory侦察和数据泄露，”微软威...
- 343阅读
基于javaAgent内存马检测查杀指南
新版冰蝎的内存马使用基于javaagnet技术实现，在昨天的文章中，我只谈了怎么还原被修改的内存马。但是在检测这块，我并没有详细说明，其实这块我也不太清楚。不过经过我昨日连夜分析javaagent相关技术资料，找到一种检测javaagent内存马比较通用的方法。分享给大家，希望让hw蓝队的小同学做应...
- 84阅读
3分钟 get 内存马查杀！
常规的Webshell基于文件类形式存在，而内存马是一种无文件攻击手段，因此也被称为不落地马或者无文件马。因为常规的Webshell有文件落地，所以被发现的机率较大。而内存马存在于内存中，降低被发现的概率，给检测带来巨大难度，通常被作为后门进行使用，持久化地驻留在目标服务器中。 1...
- 100阅读
什么是内存马（内存木马）？
内存马其实由来已久，早在十几年前，内存马的技术雏形就已经在Windows平台出现，以线程注入为代表的这一类技术，通过将木马注入到系统进程和删除自身进程的方式，来躲避杀毒软件的查杀和实现自身的隐藏。 随着技术的发展，攻击目标的变迁，内存马也渐渐在不同的层面获得了发展，攻击范围涵盖操作系统脚本、进程，...
- 43阅读
漏洞复现 - Apache Shiro 1.2.4反序列化漏洞（CVE-2016-4437）
漏洞原理 Apache Shiro 是 Java 的一个安全框架，可以帮助我们完成：认证、授权、加密、会话管理、与 Web 集成、缓存等功能，应用十分广泛。 Shiro最有名的漏洞就是反序列化漏洞了，加密的用户信息序列化后存储在名为remember-me的Cookie中，攻击者使用Shiro的默认密...
- 25阅读
内存安全周报第110期 | Uber认为最近的安全漏洞罪魁祸首是 LAPSUS$ 黑客组织
Uber认为最近的安全漏洞罪魁祸首是 LAPSUS$ 黑客组织（9.20） Uber是一家总部位于旧金山的公司。周一，它披露了上周发生的安全事件更多相关细节，认为发动这一攻击的威胁行为者是臭名昭著的LAPSUS$的下属黑客组织。 详细情况 在最新消息中，Uber表示：“这一黑客组织经常使用类似技术来...
- 10阅读
安芯网盾CEO姜向前：基于内存安全创造非对称优势，掌握攻防主动权
在8月举办的“内存安全技术研讨会”上，安芯网盾CEO姜向前发表主题演讲《基于内存安全创造非对称优势，掌握攻防主动权》。 一、多种攻击手段绕过边界，主机安全面临新挑战 企业主营业务和核心数据都依靠主机进行处理，因此各企业、单位均采用多种纵深防护思路保护主机安全。但随着攻防对抗的持续升级...
- 28阅读
安全工具OWASP ZAP、Burp Suite、Appscan对比
机缘巧合，最近接触了一款开源的web安全工具OWASP ZAP，着实眼前一亮。操作简单易用、功能齐全、插件种类丰富，具备代理、数据截断、扫描、主动攻击、爬虫、fuzzing、渗透测试等多样的安全测试功能，相比于商业版的Burp Suite和AppScan工具，OWASP ZAP不乏为一款不错的商用版...
- 58阅读
网络安全渗透测试工具Burpsuite详解
工欲善其事，必先利其器，一些安全项目中选择正确的工具，能达到事半功倍的效果。下面就让安全君介绍下Burpsuite工具的使用吧。Burp Suite是Web应用程序测试的最佳工具之一，其多种功能可以帮我们执行各种任务.请求的拦截和修改，扫描web应用程序漏洞，以暴力破解登陆表单，执行会...
- 39阅读
CDN绕过技术总汇
近日HVV培训以及面试，有人问了CDN该如何绕过找到目标真实IP，这向来是个老生常谈的问题，而且网上大多都有，但是有些不够全面，今天把绕过CDN全理一理。术语叫做“深入浅出”。 CDN简介 定义 内容分发网络（英语：Content Delivery Network或Content Distribu...
- 18阅读
Fiddler使用教程
一、Fiddler简介 Fiddler是最强大最好用的Web调试工具之一， 它能记录所有客户端和服务器的http和https请求。允许你监视、设置断点、甚至修改输入输出数据。Fiddler包含了一个强大的基于事件脚本的子系统，并且能使用.net语言进行扩展。换言之，你对HTTP 协议越了解，你就能越...
- 42阅读
Burp Suite Professional for Mac 安装及配置教程
burpsuite_pro_macos_v2021_5_2 安装及配置教程 一、下载工具 1、Burp Suite Professional 官网下载地址： https://portswigger.net/burp/releases/download?product=pro&version=2021...
- 18阅读
从隐私到隐私计算
作者：曹洪伟 对于个人电子产品而言，例如手机，平板电脑，便携式电脑等等，或多或少，都会涉及到隐私计算，那么什么是隐私计算呢？理解隐私计算，先要澄清“隐私”的概念，那么，什么是隐私呢？进而，明确隐私计算分别与隐私和计算之间的关系，即隐私计算是为了实现个人隐私保护而进行的计算还是在实现了隐私保护的前...
- 26阅读
一文详解Web渗透测试的重要性
在当前数字化环境中，IT的一个里程碑式增长便是公司组织和企业数字化。为了扩大市场范围和方便业务，许多组织都在转向互联网。这导致了一股新的商业浪潮，它创造了网络空间中的商业环境。通过这种方式，公司和客户的官方或机密文件都可以上传到互联网上，方便用户随时访问。 通常情况下，网站会受到保护而免遭黑客攻击...
- 21阅读
不要强迫用户使用复杂密码
译者 | 刘涛 策划 | 云昭 在计算机出现的早期，如果不是坐在终端前，计算机之间和用户之间都是彼此隔离的，存储非常昂贵。 因为只要这两个原则都成立，把熵塞进短密码的唯一方法就是让它更复杂。密码复杂度规则就是这样诞生的。此外，为了使密码更难破解，还需要定期修改它，使其成为一个移动靶子，这样破解起来...
- 42阅读
重保专题 | 6招带你轻松扫除重保期间互联网资产安全风险
国庆假期来临、第二十次全国代表大会举办……今年的金秋十月在大家的期待中即将到来。然而，此类重要国家会议活动、节假日对于政府单位、国企、重点高校而言，却是需要异常警惕的时期。 因为这些组织单位自身的公信力以及较高的社会影响力决定了其成为黑产组织们的下手对象。并且，由于社会影响面大、监管部门要求等因素，...
- 38阅读
汽车信息安全漏洞扫描及模糊测试工具
上海磐起信息科技有限公司为智能网联汽车提供从车内到车外一站式的 V2X 信息安全解决方案 AutoTrust 和信息安全风险评估咨询服务 CSRA。其中，AutoTrust 基于智能网联车内、外通信过程，为 OEM 和 Tier 1 提供整套通信安全解决方案以确保车辆安全，其相关服务包括身份验证系统...
- 202阅读
神兵利器｜网络安全单兵安全工具库-YAKIT
一、YAKIT功能简介 该功能只是YAKIT工具的其中一项功能。 Burpsuite几乎成为全球WEB安全从业者必装的安全测试工具，然而十余年来尚无一个可替代的解决方案。破解版被投毒风险高、商业版太贵、插件难写、依赖java等等问题逐渐显露。我们团队基于yak顺手实现了BurpSuite的核心功能，...
- 10阅读
数字引领医疗，安芯网盾CEO姜向前提出基于内存保护创造网络攻防“疫苗”
2022年9月6日，2022（第八届）中国互联网法治大会——医疗健康数据安全合规论坛在京召开，国家卫生健康委规划发展与信息化司司长毛群安、工业和信息化部网络安全管理局数据安全处处长雷楠、中国社科院法学研究所&国际法研究所联合党委书记陈国平、中国信通院党委书记宋灵恩、中国工程院院士沈昌祥等嘉宾...
