文章推荐
更多

漏洞快讯

最新文章
最新图文
更多
  • 关于Spring Core Spring Beans远程代码执行0day漏洞警告

    关于Spring Core Spring Beans远程代码执行0day漏洞警告

    信息表明 Spring Framework 中已报告了一个 RCE 0day 漏洞。如果目标系统使用Spring开发,并且JDK版本高于JDK9,未经授权的攻击者可以利用该漏洞在目标设备上远程执行任意代码。一、漏洞情况分析Spring框架是Java应用最广泛的轻量级开源框架,在JDK9版本的Spri

    2022-03-31 0 0 0 0
  • Springcore RCE漏洞分析

    Springcore RCE漏洞分析

    2022-03-31 0 0 0 0
  • Spring4Shell POC

    Spring4Shell POC

    漏洞描述:https://www.cyberkendra.com/2022/03/springshell-rce-0-day-vulnerability.htmlPOC的构建:https://github.com/BobTheShoplifter/Spring4Shell-POC构建/运行的步骤使用

    2022-03-31 0 0 0 0
  • 扫描工具 AppScan Standard 10.0.7

    扫描工具 AppScan Standard 10.0.7

    描述本文档介绍如何下载和安装 HCL AppScan Standard 版本 10.0.7。发布日期2022-03-21新特性欢迎使用新的 AppScan 标准!引入全新的用户体验全新的外观、改进的工作流程、更好的指导和更轻松的自我故障排除快速清晰的扫描评估新仪表板收集基本扫描信息,包括扫描运行状况

    2022-03-28 0 0 0 0
  • Spring4Shell 概念证明/信息

    Spring4Shell 概念证明/信息

    Spring4Shell 概念证明/信息今天一大早,多个消息来源得知流行的 java 框架 spring 中可能存在 RCE 漏洞。这个漏洞的命名是基于与臭名昭著的 Log4j LOG4Shell 的相似性。暂时没有共享POC细节https://www.cyberkendra.com/2022/03

    2022-03-31 0 0 0 0
  • SpringShell:Spring Core RCE 0-day 漏洞

    SpringShell:Spring Core RCE 0-day 漏洞

    2021 年底,由于 Apache Log4j2 中的远程代码执行漏洞(也称为Log4Shell )的零日漏洞,互联网火了。该漏洞由阿里云安全团队发现。今天,研究人员发现了另一个可能破坏互联网的最严重漏洞。此时,此漏洞没有 CVE id,但我们可以将其 称为 SpringShell。该漏洞存在于JD

    2022-03-30 0 0 0 0
  • Spring Cloud (SPEL) 中发现 RCE 0-day 漏洞

    Spring Cloud (SPEL) 中发现 RCE 0-day 漏洞

    近日,Spring Cloud Function 官方测试用例曝光了 Spring Cloud Function SPEL 表达式注入漏洞,可利用该漏洞通过注入 SPEL 表达式来触发远程命令执行。研究人员分析了spring cloud函数的 主分支(commit dc5128b),发现开发者添加了

    2022-03-30 0 0 0 0
  • 乌克兰:俄罗斯世界末日网络钓鱼攻击欧盟政府机构

    乌克兰:俄罗斯世界末日网络钓鱼攻击欧盟政府机构

    乌克兰计算机应急响应小组 (CERT-UA) 发现了新的网络钓鱼尝试,这些尝试归因于被追踪为世界末日 (Gamaredon) 的俄罗斯威胁组织。恶意电子邮件试图以乌克兰战争为主题的诱饵来欺骗收件人,并用以间谍活动为重点的恶意软件感染目标系统。CERT-UA 已经确定了两个不同的案例,一个针对乌克兰组

    2022-04-07 0 0 0 0
  • Burp suite主题插件-图文教程

    Burp suite主题插件-图文教程

    点击上方蓝字“Ots安全”一起玩耍下载地址:https://github.com/CoreyD97/BurpCustomizer/releases/tag/v1.0.3

    2022-03-16 0 0 0 0
  • 2022年3月第四周全球网络安全威胁情报

    2022年3月第四周全球网络安全威胁情报

    360云安全大脑实验室发现US最新攻击武器量子攻击系统成立于2004年,包含多个子项目,其名称均以“量子”开头。360云安全大脑实验室发现,它包含九个先进的网络攻击能力模块,包括Quantumbot、Quantumhand、Quantumcopper和Quantummackdown。量子攻击系统可以

    2022-03-23 0 0 0 0
  • SpringCloudFunction漏洞分析

    SpringCloudFunction漏洞分析

    SpringCloudFunction是一个SpringBoot开发的Servless中间件(FAAS),支持基于SpEL的函数式动态路由。在特定配置下,3 = 版本 = 3.2.2(commit dc5128b之前)存在SpEL表达式执行导致的RCE。补丁分析在main分支commit dc512

    2022-03-29 0 0 0 0
  • Burp 扩展武器库

    Burp 扩展武器库

    CORS 跨域漏洞 插件分为简单的请求、非简单的请求简单简单的自动请求自动使用Origin,返回结果为浏览器中包含请求: Access-Control-Allow-Origin: origin_host or * Access-Control-Allow-Credentials: true Acce

    2022-03-19 0 0 0 0
  • 绕过 4xx HTTP 响应状态代码。基于 PycURL

    绕过 4xx HTTP 响应状态代码。基于 PycURL

    目录如何运行自动化HTTP 方法HTTP 标头网址路径结果格式如何运行从 /src/ 打开您首选的控制台并运行如下所示的命令。安装所需工具:apt-get install -y curl安装所需的软件包:pip3 install -r requirements.txt运行脚本:python3 禁止的

    2022-03-25 0 0 0 0
  • 【0day EXP】Apache APISIX 2.12.1 远程执行代码(RC

    【0day EXP】Apache APISIX 2.12.1 远程执行代码(RC

    描述据发现,由于打包问题,持久键值数据库 redis 容易出现(特定于 Debian)的 Lua 沙箱逃逸,这可能导致远程代码执行。参考https://nvd.nist.gov/vuln/detail/CVE-2022-0543https://bugs.debian.org/1005787https

    2022-03-23 0 0 0 0
  • CMSTP配置文件参数利用

    CMSTP配置文件参数利用

    原理及代码介绍CMSTP.exe是用于安装Connection Manager服务配置文件的命令行程序。程序接受INF配置文件作为参数。这项攻击手段的关键点就在于配置文件。攻击者可能会向CMSTP.exe提供受恶意命令感染的INF文件,以脚本(SCT)和DLL的形式执行任意代码。它是一个受信任的Mi

    2022-04-18 0 0 0 0
  • kali2020.2设置中文

    kali2020.2设置中文

    kali2020.2设置中文1.先更新源vi /etc/apt/sources.list更新源#中科大

    debhttp://mirrors.ustc.edu.cn/kalikali-rollingmainnon-freecontrib

    deb-srchttp://mirrors.ustc.edu

    2020-07-04 0 0 0 0
  • AWVS14破解版下载

    AWVS14破解版下载

    链接: https://pan.baidu.com/s/1Wji1CyC1YmzTzSjYsdXH4A 提取码: ebhbAWVS14.5最新版的安装与使用https://blog.csdn.net/weixin_46318141/article/details/121058698

    2022-03-16 0 0 0 0
  • Apache HTTP Server 2.4漏洞

    Apache HTTP Server 2.4漏洞

    Apache HTTP Server 2.4漏洞此页面列出了在Apache HTTP Server 2.4的发行版本中修复的所有安全漏洞。Apache安全团队为每个漏洞都赋予了安全影响等级 -请注意,不同平台之间的等级可能会有所不同。我们还将列出已知会影响该漏洞的Apache httpd的版本,并且

    2019-11-18 0 0 0 0
  • 悬剑3.0 单兵系统公益版

    悬剑3.0 单兵系统公益版

    悬剑是一款安全渗透操作系统。其它就不多说了。继悬剑2.0后,应某朋友的要求,今天主要是体验一下悬剑武器库3.0公益版。顺便笔记一下悬剑 3.0 公益版下载、安装步骤。一、悬剑 3.0 公益版 下载百度网盘链接: https://pan.baidu.com/s/1IVOGHqz9xMUbe6qlATj

    2021-08-30 0 0 0 0
  • Apache Log4j 反序列化远程代码执行(​靶机环境)

    Apache Log4j 反序列化远程代码执行(​靶机环境)

    Apache Log4j 远程代码执行 靶机环境:感谢vulfocus平台为我提供实操环境,谢谢!http://vulfocus.fofa.so/#/dashboard?image_id=3b8f15eb-7bd9-49b2-a69e-541f89c4216c靶机环境操作描述:描述: Apache 

    2021-12-10 0 0 0 0
最新图文
更多
  • 零基础 UI 入门七:教你快速上手APP适配

    零基础 UI 入门七:教你快速上手APP适配

    这是移动端规范的最后一篇,关于移动端适配相关原则的解析。适配是一个讲起来非常麻烦的问题,网上其实基本搜不到靠谱的解释,这可能就是你们可以找到的唯一一篇完整分享,要好好珍惜。手机屏幕尺寸众多,一直是个很让人头疼的问题,苹果手机自己就包含 7 个尺寸的设备,更遑论机型无数的安卓阵营。屏幕尺寸不统一,带来

    2021-12-23 0 0 0 0
  • 实战案例复盘!如何设计一款实用的时间管理 APP?

    实战案例复盘!如何设计一款实用的时间管理 APP?

    在日常生活中,你是否喜欢做计划?时间管理的效果如何?无论答案怎样,我们都不可避免那些总在计划外的事情,可能是突发事件,也可能是环境干扰,又或者是拖延症作祟,导致一个计划的周期被延长,下一个计划的时间被压缩。我们好像总是很难预测任务的时间。为了解决这一问题,作者借助设计思维框架,设计了一款具有专注模式

    2021-06-13 0 0 0 0
  • 设计师口袋心理学系列指南(一):社会认同

    设计师口袋心理学系列指南(一):社会认同

    最初,购物手推车的发明者 Sylvan Goldman 注意到顾客一旦觉得购物袋过沉就放弃购物,因而发明了购物手推车后,先是将其放在店铺的显著位置并用标识牌提示人们注意,但很少有人使用。后来,Sylvan Goldman 想到了一个计策:他聘请了专业的男女演员,让这些假扮的购物车使用者推着购物手推车

    2021-06-05 0 0 0 0
  • 2021 年 5 月设计圈超实用干货大合集

    2021 年 5 月设计圈超实用干货大合集

    5月份的设计圈干货大合集来了!这次的干货合集挑选了不少贴合当下需求的设计与前端的设计素材,尤其是不少适用于 Figma 和 Sketch 的设计资源,上手即用,非常方便!5月设计素材精选AM I FLOCED?这是一个测试工具,用来帮你确认 Chrome 浏览器中最新的「FLoC」跟踪功能是否被开启

    2021-05-16 0 0 0 0
  • 按钮的最佳尺寸到底是多少?这篇给你权威答案!

    按钮的最佳尺寸到底是多少?这篇给你权威答案!

    很多设计师包括我在内对按钮尺寸有着颇多困惑。为什么很多产品甚至苹果本身并没有遵循 44pt 的标准规范?为什么有些场景下的 CTA 按钮那么小?按钮的最佳尺寸到底是多少?按钮规范背后到底是什么样的科学依据?这些依据可否量化?emmmm,如果你和我一样有着这些困惑,本篇文章应该可以给你很多启发。按钮尺

    2021-05-16 0 0 0 0
  • 超详细!从零到一带你制作可视化地图(一)

    超详细!从零到一带你制作可视化地图(一)

    今天分享下在做可视化中一些地图的获取方法、常见的一些效果的实现方法以及跟开发如何对接的一些经验分享给大家,欢迎大家沟通交流。第三方地图的获取和对接普通地图一般都是去对接三方平台,如百度地图、高德地图、腾讯地图、谷歌地图等。他们都会提供对应的地图开放服务。以高德地图为例,实操下地图的获取和调色方法以及

    2021-05-05 0 0 0 0
  • 如何在设计中构建共情?收下这份6000+的干货总结!

    如何在设计中构建共情?收下这份6000+的干货总结!

    编辑导语:同理心对于任何人来说都是难得可贵的,它在人际交往中有非常突出的优势。对于设计师来说,则更为重要。拥有同理心的设计师往往能更好的进行设计,知道用户的需求才有可能做出让用户满意的产品,满足了用户的需求,他们才会愿意长期使用你的产品,从而形成正向的反馈。在体验设计的过程中,如果不能对设计对象有更

    2021-05-05 0 0 0 0
  • 如何让你的运营设计具有合理性?来看58的实战案例!

    如何让你的运营设计具有合理性?来看58的实战案例!

    前言当完成一个运营项目后,总觉得画面不太符合业务的属性,但是又不知道如何去解决这个问题,作为设计师的你是否遇到过这样的问题呢?接下来我会在项目里,分享一下设计师解决这个问题的小心思。业务背景58 本地服务:通过本地生活服务的平台,帮助用户看到所在地的商户,给用户提供便捷、全面的商户信息,给线下商户提

    2021-04-30 0 0 0 0
  • 如何强化图标设计的品牌基因?我总结了12个方法!

    如何强化图标设计的品牌基因?我总结了12个方法!

    随着互联网产品的不断发展,产品设计越来越成熟多样,而同质化的设计也变得越来越严重。如何定制化设计拉开差异化是设计师不断探索的方向,而立足于品牌做设计也是其中的方向之一,基于品牌差异化形成产品特有的设计风格,是我们可以不断尝试和深入的方向。那么如何将品牌融入到产品设计中呢?今天将和大家探索其中的一个方

    2021-04-24 0 0 0 0
  • 新手的作品集,至少都应该具备这3个基础原则

    新手的作品集,至少都应该具备这3个基础原则

    美丽的重要性或许超乎你的梦想。如果是视觉规划师就不必多说了,作品集的美丽性自身就代表了你的中心竞争力。如果是交互/领会规划师,必定要注意,千万不要让差的排版毁了一份优异的作品。我以为作品集是一个承载着个人才能的信息载体,用于信息传达。咱们的技术水平能够在作品集项目中得以展示仅仅作品集的作用之一,它还

    2021-04-12 0 0 0 0
  • 两个图标改了13版,我是如何逐步优化的?

    两个图标改了13版,我是如何逐步优化的?

    今天这个需求是直播间 pk 后,主播胜利与失败的两个状态设计,过程经历了很多次修改,现在来分享一下自己的感受。状态还是需要有一些设计感的结构不能乱画,要有基本逻辑在颜色层级一定要分明根据情绪设计形象根据情绪选择色系状态还是需要有一些设计感的其实最开始我有点天真了,以为这种状态直接画个圈圈,写个胜、败

    2021-04-02 0 0 0 0
  • 如何提高用户体验?来看QQ阅读的设计师怎么做!

    如何提高用户体验?来看QQ阅读的设计师怎么做!

    本文本人将为大家分享设计团队如何结合公司策略调整,挖掘更多提升体验的可能性。背景现状2020 年,伴随着互联网日新月异的发展,QQ 阅读制定了全新的商业目标。一直以来,我们的用户主要集中在九五后的年轻群体,而这次策略的调整会覆盖到更大跨度的用户群体;同时,用户的休闲时间越来越多的被短视频、游戏等娱乐

    2021-03-31 0 0 0 0
  • 设计师学前端有用吗?来看腾讯设计师的分析!

    设计师学前端有用吗?来看腾讯设计师的分析!

    凡事编程类课程广告找上门来,我都会立马拒绝,以为我真心不鼓励设计师盲目学习代码,包括前端。现在我这个做过 UI 会前端的交互设计师,就来语重心长地讨论一下学前端对设计的帮助:至于我的前端水平嘛,只能说在设计师里算是有点经验,可以参考一下这个:没什么互通性设计和前端都知识和技能相差十万八千里,用游戏比

    2021-03-21 0 0 0 0
  • 如何用设计驱动转化?来看QQ购物大促季的设计探索​

    如何用设计驱动转化?来看QQ购物大促季的设计探索​

    QQ 购物号是专门为 QQ 用户定制的购物平台,2020 年随着疫情过后,整体电商行业开始恢复阶段,QQ 购物号计划了今年双 11 大促季活动,活动的业务目标是希望强化特殊样式设计来促进购买转化,驱动整体大盘消耗与效果提升。为此如何通过设计赋能业务,从而突破增长的瓶颈呢?现状难点购物号是属于 QQ 

    2021-02-03 0 0 0 0
  • 高手总结!帮你快速提高页面可用性的8个原则

    高手总结!帮你快速提高页面可用性的8个原则

    编者按:不论是设计网页还是 APP,在UI设计的时候,确保产品的可访问性都是一件知易行难的事情。这种细节上的打磨优化,逻辑上是没有上限的,但是在保证基本的可访问性和可用性上,是有下限的。这篇来自资深设计师Brianna Koch 的文章梳理总结了8个基本的可访问性优化的方向和原则:四年前,在我刚刚开

    2021-02-03 0 0 0 0
  • 超多知识点!服务设计概述及国内外案例分析

    超多知识点!服务设计概述及国内外案例分析

    我们常说,现在是体验至上的时代,用户对产品的使用不再是单纯的需求满足,更要获得满意的体验。服务设计的发展为我们改善用户的体验提供了新的思路,从本质出发,任何产品都是在提供某种服务,服务的质量从根本上决定了用户的体验。什么是服务设计服务设计一直在我们的生活中,我们无时无刻不在体验着各式各样的服务。荷兰

    2021-01-24 0 0 0 0
  • 万字干货!超全面的小程序设计指南

    万字干货!超全面的小程序设计指南

    最近做的都是小程序的项目,小程序设计进一步的研究的时候,发现现在关于小程序的文章很少,也不全面。目前大部分的问题通过微信开放社区,所以来结合官方指南和文章资料,结合工作设计中遇到的问题,总结一份比较全面的小程序设计指南,希望可以帮助到大家。浅谈小程序1. 小程序的定义小程序是一种即用即走,无需下载的

    2021-01-20 0 0 0 0
  • 15个产品细节剖析,让你看看大厂是如何做设计的!

    15个产品细节剖析,让你看看大厂是如何做设计的!

    前言设计的思考不仅要注重表象层面,也需要围绕信息传达这一设计的本质功能,以充满自省的精神深化和反思自己的设计意识,即做到“好看、好用”。在设计过程中,要站在公司的利益上,懂用户所想,在每一个关键点都要带给用户意想不到的惊喜,这些往往都是通过细节体现出来的。「夸克浏览器」首个页面:我的地盘我做主「百度

    2021-01-19 0 0 0 0
  • 2021年值得收藏的素材网站,全都在这里了!

    2021年值得收藏的素材网站,全都在这里了!

    今天我来放出一些我日常做设计和插画都会用到的一些素材网站,这些网站我都一个个亲自验证过,不用搭梯子,可以正常访问。前言设计师们在做设计的时候通常会有大量的图片素材库作为设计参考,但是我们经常发现明明收集了很多资料,在要用的时候却找不到。于是发现往往收集的网站使用效率很低。一般遇到这种情况会觉得觉得自

    2021-01-14 0 0 0 0
  • 这份医疗保健类 APP 设计的 12 个要点,我先收藏了

    这份医疗保健类 APP 设计的 12 个要点,我先收藏了

    2020 年,新冠疫情席卷全球,后疫情时代的需求也促使设计师们不断提出更有意义的医疗解决方案。作者梳理了医疗保健类 APP 的类型,从产品的研究、功能特性、导航、颜色等角度提出了针对医疗保健 APP 的一系列设计建议,简单直观的界面、便捷的功能,以及积极的情感,才能使用户接受并喜欢原本 “令人生畏”

    2021-01-14 0 0 0 0
最新图文
更多
  • 顶级白嫖!!!八个python免费自学网站一周搞定python(抓紧收藏)

    顶级白嫖!!!八个python免费自学网站一周搞定python(抓紧收藏)

    导读人工智能必将到来,在那个时代,我们的工作方式会发生很大的改变,尤其是Python都已经进入了中小学教育的大纲,在智能为主的时代,Python就像现在的电脑一样,每个人工作中必备的工作技能,学会python真的可以解决一些问题,无论在哪些领域(话有些大了)。1.哔哩哔哩.B站相信很多小伙伴都知道,

    2021-06-20 0 0 0 0
  • 一分钟学会Python中pip的安装与使用

    一分钟学会Python中pip的安装与使用

    一、简单介绍pip 是 Python 包管理工具,该工具提供了对Python 包的查找、下载、安装和卸载的功能,现在大家用到的所有包不是自带的就是通过pip安装的。Python 2.7.9 + 或 Python 3.4+ 以上版本都自带 pip 工具。给出pip官网链接:pip官网。二、下载安装可以

    2021-06-20 0 0 0 0
  • css如何设置透明度

    css如何设置透明度

    在css中,可以使用rgba()函数来设置透明度,该函数使用红(R)、绿(G)、蓝(B)、透明度(A)的叠加来生成各式各样的颜色,语法格式“color:rgba(R,G,B,A);”或“background:rgba(R,G,B,A);”。本文环境:windows10系统、css3版本,thinkp

    2021-06-05 0 0 0 0
  • align的属性值有哪些

    align的属性值有哪些

    align的属性值有left、right、center、justify、char;align属性规定单元格中内容的水平对齐方式,其语法是“td align=value”。本文操作环境:windows10系统、thinkpad t480电脑、HTML5。align 属性规定单元格中内容的水平对齐方式。

    2021-05-16 0 0 0 0
  • a标签的属性有哪些

    a标签的属性有哪些

    a标签的属性有charset、coords、download、href、hreflang、media、name、rel、rev、shape、target、type。本文操作环境:windows7系统、Lenovo 小新Air14电脑、HTML5。a 标签定义超链接,用于从一张页面链接到另一张页面。a

    2021-05-16 0 0 0 0
  • 收藏!各大网站CSS代码初始化集合

    收藏!各大网站CSS代码初始化集合

    各大网站CSS代码初始化集合css代码之所以初始化,是因为能尽量减少 各浏览器之间的兼容性问题!腾讯QQ官网 样式初始化body,ol,ul,h1,h2,h3,h4,h5,h6,p,th,td,dl,dd,form,fieldset,legend,input,textarea,select{marg

    2021-04-20 0 0 0 0
  • 10种javascript中交换值的方法

    10种javascript中交换值的方法

    在开发过程中又是我们需要对值进行交换。一般我们都在用一种简单的解决方案:“临时变量”。不过还有更好的办法,而且不只有一个,有很多。有时我们在网上搜寻解决方案,找到后复制粘贴,但是从没想过这小段代码是怎样工作的。现在我们该学习一下应该怎样轻松高效地交换值了。1、使用临时变量先是最简单的一种。funct

    2021-04-20 0 0 0 0
  • 详细了解一下HTML中的表格table

    详细了解一下HTML中的表格table

      在CSS出现之前,table元素常常用来布局。这种做法在HTML4之后不再推荐使用。而现在有些矫枉过正,使用table展示数据都可能会被说不规范。本文将详细介绍HTML表格tabletable【默认样式】//IE7-浏览器不支持border-spacing

    table{

      border-c

    2021-03-31 0 0 0 0
  • 深入浅析HTML中的图像

    深入浅析HTML中的图像

    imgimg表示image图像,从技术上讲,img标签并不会在网页中插入图像,而是从网页上链接图像。img 标签创建的是被引用图像的占位空间。【推荐:html文档】【必须属性】  1、src:地址  2、alt:图像替代文本,供探索引擎抓取使用【可选属性】  1、height:图像高度  2、wid

    2021-03-29 0 0 0 0
  • 你不可错过的,10个对javascript对开发人员超有用的小技巧!!

    你不可错过的,10个对javascript对开发人员超有用的小技巧!!

    众所周知,JavaScript 一直在迅速变化。新的 ES2020 引入了许多很棒的功能。你可以通过很多不同的方式去编写代码。他们会达到相同的目标,但其中一些会更短、更清晰。你可以凭借一些小技巧来使代码更清晰。这里列出的对 JavaScript 开发人员有用的技巧,一定会对你有所帮助。【相关推荐:j

    2021-03-29 0 0 0 0
  • 常用选择器有哪些

    常用选择器有哪些

    常用选择器有:1、标签选择器;2、类选择器;3、ID选择器;4、全局选择器;5、组合选择器;6、继承选择器;7、伪类选择器。本文操作环境:windows10系统、css 3、thinkpad t490电脑。第一种是标签选择器,也成为元素选择器。标签选择器的基本形式如下:tagName{propert

    2021-03-21 0 0 0 0
  • 2021年10个实用的Javascript插件推荐

    2021年10个实用的Javascript插件推荐

    本篇文章给大家推荐10个实用的Javascript插件。有一定的参考价值,有需要的朋友可以参考一下,希望对大家有所帮助。现代 JavaScript 框架使构建复杂的 Web 应用变得非常容易。 Vanilla JavaScript 指的是纯 Javascript 代码,没有使用任何框架进行扩展,这在

    2021-02-03 0 0 0 0
  • 聊聊JS中的空值合并运算符(??)

    聊聊JS中的空值合并运算符(??)

    今年ECMAScript2020(ES2020)将发布!自 2015 年 ECMAScript 2015(ES6)发布以来,我们每年都对 JavaScript 语言进行更新。目录使用 JavaScript 空值合并运算符使用实例空值合并运算符与逻辑或(||)浏览器支持总结在ES2020中,我们获得了

    2021-02-03 0 0 0 0
  • 谈谈HTML中锚点及其使用

    谈谈HTML中锚点及其使用

    概念a元素(或HTML锚元素, Anchor Element)通常用来表示一个锚点/链接。但严格来说,a元素不是一个链接,而是超文本锚点,可以链接到一个新文件、用id属性指向任何元素。如果没有a元素没有href属性的话,可以作为原本链接位置的占位符,常用于home链接【推荐:html文档】[注意]任

    2021-01-24 0 0 0 0
  • 内联元素和块状元素的区别

    内联元素和块状元素的区别

    html中的标签元素大体被分为三种不同的类型:块状元素、内联元素(又叫行内元素)和内联块状元素。内联元素在html中,span、em、a、p等标签是典型的内联元素。当然块状元素也可以通过设置display:inline;显示为内联元素,从而使块级元素具有内联元素的特点。【推荐:html文档】div{

    2021-01-24 0 0 0 0
  • 深入了解DOM事件流的三个阶段

    深入了解DOM事件流的三个阶段

    事件发生时会在元素节点之间按照特定的顺序传播,这个传播过程即DOM事件流。DOM事件流分为三个阶段,分别为:捕获阶段:事件从Document节点自上而下向目标节点传播的阶段;目标阶段:真正的目标节点正在处理事件的阶段;冒泡阶段:事件从目标节点自上而下向Document节点传播的阶段。捕获阶段:!DO

    2021-01-20 0 0 0 0
  • HTML的10个最佳实践

    HTML的10个最佳实践

    2021-01-20 0 0 0 0
  • 纯CSS如何实现火焰动画效果?(实例介绍)

    纯CSS如何实现火焰动画效果?(实例介绍)

    本篇文章给大家介绍一下使用纯CSS实现火焰动画效果。有一定的参考价值,有需要的朋友可以参考一下,希望对大家有所帮助。正文从下面开始。今天的小技巧是使用纯 CSS 生成火焰,逼真一点的火焰。嗯,长什么样子?在 CodePen 上输入关键字CSS Fire,能找到这样的:或者这样的:我们希望,仅仅使用 

    2021-01-19 0 0 0 0
  • css3如何实现进度条动画效果?(代码示例)

    css3如何实现进度条动画效果?(代码示例)

    项目过程中,开始使用了js的requestAnimationFrame方法实现进度条,但是在数据超级多的时候非常影响性能,如此改用css去实现,优化。先贴代码:!DOCTYPEhtmlhtmlheadmetacharset=UTF-8metaname=viewportcontent=width=de

    2021-01-19 0 0 0 0
  • 10个实用的 ES6 方法

    10个实用的 ES6 方法

    毫无疑问,JavaScript 是Web开发中最流行的编程语言之一。 无论使用的是 React,Vue 还是Angular,都只是 JavaScript。 JS围绕着广阔而至关重要的生态系统发展,提供了无数的框架和库,可帮助我们更快地开发应用程序。但是有时候最好退一步,尝试了解如何在没有使用库的情况

    2021-01-14 0 0 0 0
渗透测试
最新图文
更多
  • 绕过 4xx HTTP 响应状态代码。基于 PycURL

    绕过 4xx HTTP 响应状态代码。基于 PycURL

    目录如何运行自动化HTTP 方法HTTP 标头网址路径结果格式如何运行从 /src/ 打开您首选的控制台并运行如下所示的命令。安装所需工具:apt-get install -y curl安装所需的软件包:pip3 install -r requirements.txt运行脚本:python3 禁止的

    2022-03-25 0 0 0 0
  • Web长密码拒绝服务漏洞

    Web长密码拒绝服务漏洞

    没有对明文密码的长度施加任何最大值,这意味着攻击者可以简单地提交任意大且保证失败的密码,迫使运行 服务器执行由此产生的昂贵的哈希计算以尝试检查密码。例如,在使用 PBKDF2 哈希器时,大小为 1 兆字节的密码将需要大约一分钟的计算时间来检查,“这允许通过重复提交大密码来进行拒绝服务攻击,从而在昂贵

    2022-03-08 0 0 0 0
  • Vulhub渗透测试靶场

    Vulhub渗透测试靶场

    内网渗透靶场,渗透测试靶机,vulnhb渗透测试靶场下载下载Vulhub渗透靶场安装完成docker和docker-compose后,拉取Vulhub到本地任意目录即可:gitclonehttps://github.com/vulhub/vulhub.git启动漏洞环境docker-compose会

    2021-12-03 0 0 0 0
  • 跨站 WebSocket 劫持的命令行工具

    跨站 WebSocket 劫持的命令行工具

    CSWSH 工具可以连接到标准的和基于 socket.io 的 WebSockets。标准的 websocket 将具有向服务器发送消息和从服务器接收消息的功能。基于 socket.io 的 websocket 将只有 ping 功能来检查连接是否成功。

    2021-09-09 0 0 0 0
  • 我是如何从 js 文件中找到大量泄露的 AWS s3 存储桶的

    我是如何从 js 文件中找到大量泄露的 AWS s3 存储桶的

    漏洞背后的故事:这是我发现的最近错误的写法。当我对 js 文件进行侦察时。我是如何从 js 文件中找到大量泄露的 AWS s3 存储桶的。它是这样的:假设我们假设目标名称是 example.com,其中所有内容都在范围内,如下所示:范围内:*.example.com为了从互联网档案中收集所有子域,我

    2021-09-07 0 0 0 0
  • 专业人士使用的11种渗透测试工具

    专业人士使用的11种渗透测试工具

    顶级渗透测试工具回到过去的旧时代,黑客入侵非常困难,并且需要大量的手动操作。但是,今天,一整套的自动化测试工具将黑客变成了电子人,这些人可以对计算机进行增强,从而可以进行比以往更多的测试。1. Kali Linux如果您不使用Kali作为基本的渗透测试操作系统,那么您要么掌握前沿知识,就拥有专门的用

    2021-01-24 0 0 0 0
  • 验证码外部控制(绕过)实例

    验证码外部控制(绕过)实例

    漏洞CMS:ThinkCMF 1.X-2.X0x01 前言源于上周到广州参加培训时的实战经历。同事给出了一个9000+的站点列表,这么多的站点要是一个一个看得话得看到猴年马月啊。于是随手写了一个脚本先去探测基础信息:https://github.com/TheKingOfDuck/bcScan先摸清

    2020-12-01 0 0 0 0
  • 黑盒测试与白盒测试:了解区别

    黑盒测试与白盒测试:了解区别

    质量保证不足是破坏软件公司声誉的最快,肯定的方法之一。隐藏在应用程序源代码中的微小错误可能导致巨大的财务损失。如果错误足够严重,则该公司可能永远无法恢复。备受瞩目的软件案例遭到破坏,并给大型公司造成了数百万美元的损失,这些问题一直无时无刻成为头条新闻。由于POS系统故障,星巴克曾经不得不暂时关闭其一

    2020-11-24 0 0 0 0
  • 使用SharpBlock的无补丁AMSI旁路

    使用SharpBlock的无补丁AMSI旁路

    对于那些关注我的个人博客文章创建EDR和绕过它的人,我开发了一种名为SharpBlock的新工具。该工具实现Windows调试器,以防止EDR或任何其他DLL加载到SharpBlock启动的进程中。SharpBlock的初始版本中缺少的一项功能是能够绕过AMSI。当前,有几种AMSI旁路可用于逃避最

    2020-11-17 0 0 0 0
  • 非域加入主机的低特权Active Directory枚举

    非域加入主机的低特权Active Directory枚举

    情境您已经恢复了域的域用户凭据,但是没有对任何目标的特权或交互访问,即没有域管理员帐户或任何能够建立RDP会话的帐户。介绍最近,我对几个不受信任的Windows域进行了内部评估。使用Kerberos域用户名枚举并随后执行SMB密码猜测,可以实现对多个域帐户的访问。但是,发现没有一个已标识的凭据集具有

    2020-11-04 0 0 0 0
  • 浏览器的XSS过滤器旁路备忘单

    浏览器的XSS过滤器旁路备忘单

    此页面总结了XSS Auditor和XSS筛选器绕过。列出了适用于最新版本的Chrome / Safari和IE11 / Edge的版本。如果您是安全研究人员,请帮助我们发现更多绕过之处,以令人信服地证明如果您可以诊断漏洞,则可以进行攻击。列出的是在一般情况下可以绕开的那些。即使未在此处列出该方法,

    2020-11-03 0 0 0 0
  • 初学者漏洞赏金猎人资源

    初学者漏洞赏金猎人资源

    介绍有许多新的黑客定期加入社区,他们通常会问的第一件事是:“我如何开始,有哪些好的资源?”。作为一名黑客,您需要熟悉很多技术,术语和主题以了解应用程序的工作方式。我和Cody Brocious (@daeken),@ 0xAshFox一起将这些资源放在一起,以帮助有资源的新黑客学习Web应用程序安全

    2020-11-03 0 0 0 0
  • Apple Bug赏金计划记录过程

    Apple Bug赏金计划记录过程

    在7月6日至10月6日期间,我本人Brett Buerhaus,Ben Sadeghipour,Samuel Erb和Tanner Barnes一起工作,并入侵了Apple Bug赏金计划。山姆咖喱(@samwcyo)布雷特·布尔豪斯(@bbuerhaus)Ben Sadeghipour(@naha

    2020-10-22 0 0 0 0
  • 红蓝对抗中的近源渗透

    红蓝对抗中的近源渗透

    编者按近源渗透(物理渗透)是红蓝对抗演练中的一个关键点,从相关新闻及实际测试结果来看,许多企业线上部署各种安全设备严阵以待,结果马奇诺防线在线下被物理渗透绕过 —— 物理安全或许就是部分企业的短板。本期TSRC特别邀请到腾讯企业IT部蓝军团队成员、《黑客大揭秘:近源渗透测试》第二作者杨芸菲(yyf)

    2020-09-23 0 0 0 0
  • Wireshark教程:网络和密码嗅探器

    Wireshark教程:网络和密码嗅探器

    计算机使用网络进行通信。这些网络可以位于局域网LAN上,也可以暴露于Internet。网络嗅探器是捕获通过网络传输的低级程序包数据的程序。攻击者可以分析此信息,以发现有价值的信息,例如用户ID和密码。在本文中,我们将向您介绍用于嗅探网络的常见网络嗅探技术和工具。我们还将研究可以采取的对策,以保护通过

    2020-09-20 0 0 0 0
  • 通过示例了解ARP中毒

    通过示例了解ARP中毒

    什么是IP和MAC地址IP地址是Internet协议地址的缩写。Internet协议地址用于唯一标识计算机或设备,例如打印机,计算机网络上的存储磁盘。当前有两个版本的IP地址。IPv4使用32位数字。由于Internet的迅猛发展,已经开发了IPv6,它使用128位数字。IPv4地址的格式为四组数字

    2020-09-20 0 0 0 0
  • 红蓝对抗之邮件钓鱼攻击

    红蓝对抗之邮件钓鱼攻击

    作者| 腾讯蓝军 jumbo红蓝对抗越加普遍及重要,甚至成为了大型赛事,随之⽽来的是防守方大量部署安全设备,如FW、WAF、IDS、IPS等,想要从Web端深⼊到对⽅内⽹已经困难重重。但是,⼈永远是最⼤的弱点,在日渐

    2020-09-07 0 0 0 0
  • 登录点测试的那些事

    登录点测试的那些事

    当我们渗透测试已经走到登录页面时,有哪些思路来作为本次渗透的切入点呢本文会分享关于登录页面测试一些常规的思路(水平有限,如果有缺有错,师傅们多带带)1.暴力破解对于用户名密码明文传输的登陆点。

    2020-08-30 0 0 0 0
  • 推荐几款渗透测试练习靶场

    推荐几款渗透测试练习靶场

    1.bWAPPbWAPP,或者一个有缺陷的web应用程序,是一个免费的、开源的、故意不安全的web应用程序。是什么让bWAPP如此独特?嗯,它有超过100个网络漏洞!它涵盖了所有已知的主要web错误,包括来自OWASP Top 10项目的所有风险。bWAPP是一个使用MySQL数据库的PHP应用程序

    2020-07-30 0 0 0 0
  • 渗透测试及漏洞复现的一个文章收集

    渗透测试及漏洞复现的一个文章收集

    某企业授权渗透报告https://www.freebuf.com/articles/network/243831.html渗透经验分享之SQL注入思路拓展https://xz.aliyun.com/t/7919从0到1学会搭建小型企业拓扑到由外向内的渗透测试https://www.anquanke.

    2020-07-28 0 0 0 0
漏洞预警
最新图文
更多
  • 关于Spring Core Spring Beans远程代码执行0day漏洞警告

    关于Spring Core Spring Beans远程代码执行0day漏洞警告

    信息表明 Spring Framework 中已报告了一个 RCE 0day 漏洞。如果目标系统使用Spring开发,并且JDK版本高于JDK9,未经授权的攻击者可以利用该漏洞在目标设备上远程执行任意代码。一、漏洞情况分析Spring框架是Java应用最广泛的轻量级开源框架,在JDK9版本的Spri

    2022-03-31 0 0 0 0
  • Spring4Shell 概念证明/信息

    Spring4Shell 概念证明/信息

    Spring4Shell 概念证明/信息今天一大早,多个消息来源得知流行的 java 框架 spring 中可能存在 RCE 漏洞。这个漏洞的命名是基于与臭名昭著的 Log4j LOG4Shell 的相似性。暂时没有共享POC细节https://www.cyberkendra.com/2022/03

    2022-03-31 0 0 0 0
  • Spring Cloud (SPEL) 中发现 RCE 0-day 漏洞

    Spring Cloud (SPEL) 中发现 RCE 0-day 漏洞

    近日,Spring Cloud Function 官方测试用例曝光了 Spring Cloud Function SPEL 表达式注入漏洞,可利用该漏洞通过注入 SPEL 表达式来触发远程命令执行。研究人员分析了spring cloud函数的 主分支(commit dc5128b),发现开发者添加了

    2022-03-30 0 0 0 0
  • SpringShell:Spring Core RCE 0-day 漏洞

    SpringShell:Spring Core RCE 0-day 漏洞

    2021 年底,由于 Apache Log4j2 中的远程代码执行漏洞(也称为Log4Shell )的零日漏洞,互联网火了。该漏洞由阿里云安全团队发现。今天,研究人员发现了另一个可能破坏互联网的最严重漏洞。此时,此漏洞没有 CVE id,但我们可以将其 称为 SpringShell。该漏洞存在于JD

    2022-03-30 0 0 0 0
  • 【0day EXP】Apache APISIX 2.12.1 远程执行代码(RC

    【0day EXP】Apache APISIX 2.12.1 远程执行代码(RC

    描述据发现,由于打包问题,持久键值数据库 redis 容易出现(特定于 Debian)的 Lua 沙箱逃逸,这可能导致远程代码执行。参考https://nvd.nist.gov/vuln/detail/CVE-2022-0543https://bugs.debian.org/1005787https

    2022-03-23 0 0 0 0
  • CVE-2022-25556 Tenda-AX12 V22.03.01.21_C

    CVE-2022-25556 Tenda-AX12 V22.03.01.21_C

    影响设备:Tenda-AX12 V22.03.01.21_CN( https://www.tenda.com.cn/download/detail-3237.html )漏洞类型:堆栈溢出影响:拒绝服务 (DoS)漏洞描述该漏洞位于/goform/SetStaticRouteCfg影响Tenda-A

    2022-03-19 0 0 0 0
  • CVE-2022-26967 base64_encode 中的堆缓冲区溢出

    CVE-2022-26967 base64_encode 中的堆缓冲区溢出

    感谢您报告您的问题。请确保在提交您的问题之前选中这些框 - 谢谢!我寻找了类似的问题,但找不到任何问题。我尝试使用最新版本的 GPAC。安装程序在http://gpac.io/downloads/gpac-nightly-builds/我为贡献者提供了足够的信息来重现我的问题(有意义的标题、gith

    2022-03-19 0 0 0 0
  • PhpMyAdmin 漏洞(中等:CVE-2022-0813)和新版本(4.9.

    PhpMyAdmin 漏洞(中等:CVE-2022-0813)和新版本(4.9.

    PhpMyAdmin 的漏洞(中等:CVE-2022-0813)和新版本(4.9.10、5.1.3)于 2022 年 3 月 9 日发布。这一次,我将简要总结一下这个漏洞的概要和每个分布的对应关系。[过去的相关链接]phpMyadmin 的漏洞信息(中等:CVE-2020-10802、CVE-202

    2022-03-18 0 0 0 0
  • CVE-2022-0778:OpenSSL 拒绝服务漏洞警报

    CVE-2022-0778:OpenSSL 拒绝服务漏洞警报

    OpenSSL 项目组于 2022 年 3 月 15 日发布安全公告,披露了 CVE-2022-0778漏洞,该漏洞严重性较高,CVSS 评分为 7.5。此漏洞影响 OpenSSL 版本 1.0.2、1.1.1 和 3.0,并在 2022 年 3 月 15 日发布的版本 1.1.1n 和 3.0.2

    2022-03-17 0 0 0 0
  • CVE-2021-37159 Linux 内核双重释放

    CVE-2021-37159 Linux 内核双重释放

    从 5.13.4 到 Linux 内核的 drivers/net/usb/hso.c 中的 hso_free_net_device 调用 unregister_netdev 而不检查 NETREG_REGISTERED 状态,导致释放后使用和双重释放。CVSS 2.0:4.4 中 CVSS 3.x:

    2021-12-13 0 0 0 0
  • CVE-2022-21907 HTTP 协议栈远程代码执行漏洞。

    CVE-2022-21907 HTTP 协议栈远程代码执行漏洞。

    HTTP 协议栈远程代码执行漏洞。CVSS 2.0:10.0 高 CVSS 3.x:9.8 临界▼ CVSS3 Vec CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H攻击向量 (AV) 网络 邻近的 当地的 身体的攻击复杂度 (AC) 低的 高的所需权限 (

    2022-01-31 0 0 0 0
  • CVE-2022-21928 Windows 弹性文件系统 (ReFS) 远程代

    CVE-2022-21928 Windows 弹性文件系统 (ReFS) 远程代

    Windows 弹性文件系统 (ReFS) 远程代码执行漏洞。此 CVE ID 在 CVE-2022-21892、CVE-2022-21958、CVE-2022-21959、CVE-2022-21960、CVE-2022-21961、CVE-2022-21962、CVE-2022-21963 中是唯

    2022-01-31 0 0 0 0
  • CVE-2022-0185 Linux 内核缓冲区溢出缺陷

    CVE-2022-0185 Linux 内核缓冲区溢出缺陷

    在 Linux 内核的文件系统上下文功能中的 legacy_parse_param 函数验证提供的参数长度的方式中发现了一个基于堆的缓冲区溢出缺陷。非特权(在启用非特权用户命名空间的情况下,否则需要命名空间的 CAP_SYS_ADMIN 特权)本地用户能够打开不支持文件系统上下文 API 的文件系统

    2022-03-03 0 0 0 0
  • CVE-2021-44757 Desktop Central MSP 允许攻击者

    10.1.2137.9 之前的 Zoho ManageEngine Desktop Central 和 10.1.2137.9 之前的 Desktop Central MSP 允许攻击者绕过身份验证,读取敏感信息或将任意 ZIP 存档上传到服务器。CVSS 2.0:6.4 中等 CVSS 3.x:9

    2022-01-31 0 0 0 0
  • CVE-2021-40444 Microsoft MSHTML 远程代码执行漏洞

    CVE-2021-40444 Microsoft MSHTML 远程代码执行漏洞

    Microsoft MSHTML 远程代码执行漏洞CVSS 2.0:6.8 中等 CVSS 3.x:7.8 高▼ CVSS3 Vec CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H攻击向量 (AV) 网络 邻近的 当地的 身体的攻击复杂度 (AC) 低的 高

    2022-03-14 0 0 0 0
  • CVE-2021-4034 pkexec本地权限提升漏洞

    CVE-2021-4034 pkexec本地权限提升漏洞

    在 polkit 的 pkexec 实用程序中发现了一个本地权限提升漏洞。pkexec 应用程序是一个 setuid 工具,旨在允许非特权用户根据预定义的策略以特权用户身份运行命令。当前版本的 pkexec 无法正确处理调用参数计数,并最终尝试将环境变量作为命令执行。攻击者可以通过制作环境变量来利用

    2022-01-14 0 0 0 0
  • CVE-2021-22045 VMware ESXi 堆溢出漏洞

    VMware ESXi(ESXi670-202111101-SG 之前的 7.0、6.7 和 ESXi650-202110101-SG 之前的 6.5)、VMware Workstation (16.2.0) 和 VMware Fusion (12.2.0) 在 CD-ROM 设备仿真中包含一个堆溢

    2022-01-31 0 0 0 0
  • CVE-2022-24348 Argo CD允许遍历漏洞

    2.1.9 之前的 Argo CD 和 2.2.4 之前的 2.2.x 允许遍历与 Helm 图表相关的目录,因为 repository.go 中的 helmTemplate 有错误。例如,攻击者可能能够发现存储在 YAML 文件中的凭据。CVSS 2.0:4.0 中等 CVSS 3.x:7.7 高

    2022-02-28 0 0 0 0
  • CVE-2021-43893 Windows (EFS) 特权提升漏洞

    Windows 加密文件系统 (EFS) 特权提升漏洞CVSS 2.0:6.0 中等 CVSS 3.x:7.5 高▼ CVSS3 Vec CVSS: 3.1 / AV: N / AC: H / PR: L / UI: N / S: U / C: H / I: H / A: H攻击向量 (AV) 网络

    2022-02-28 0 0 0 0
  • CVE-2021-4034 pkexec本地权限提升漏洞

    在 polkit 的 pkexec 实用程序中发现了一个本地权限提升漏洞。pkexec 应用程序是一个 setuid 工具,旨在允许非特权用户根据预定义的策略以特权用户身份运行命令。当前版本的 pkexec 无法正确处理调用参数计数,并最终尝试将环境变量作为命令执行。攻击者可以通过制作环境变量来利用

    2022-03-14 0 0 0 0
系统安全
最新图文
更多
  • 广东有哪些测评机构

    广东有哪些测评机构

    DJCP2010440124 广州竞远安全技术股份有限公司(广东省南方信息安全等级保护服务中心) 广州市天河区五山路371-1号中公教育大厦2609-2612单元DJCP2010440125 中国赛宝实验室(工业和信息化部电子第五研究所) 广东省广州市天河区东莞庄路110号DJCP201044012

    2022-03-19 0 0 0 0
  • 等保2.0和等保三级

    等保2.0和等保三级

    等保2.0和等保三级什么是等保2.0等保2.0是等保1.0的“升级版”,等保1.0是2007年和2008年颁布实施的《信息安全等级保护管理办法》和《信息系统安全等级保护基本要求》,被称为等保1.0。而等保2.0是针对等保1.0进行的优化版本,其中涵盖有等保评级改为优、良、中、差四个等级等内容,这边不

    2022-03-17 0 0 0 0
  • 网站等级保护测评

    网站等级保护测评

    网站为什么要做等保等保定义:等保即信息安全等级保护,是指对国家重要信息、法人和其他组织及公民的专有信息以及公开信息在存储、传输、处理这些信息时分等级实行安全保护;对信息系统中使用的信息安全产品实行按等级管理;对信息系统中发生的信息安全事件分等级响应、处置。法律要求:《中华人民共和国网络安全法》【第二

    2022-03-17 0 0 0 0
  • 等级保护测评基本介绍,等保是做什么的?

    等级保护测评基本介绍,等保是做什么的?

    1.什么是等保测试?  等保为信息安全等级保护的简称,是指对国家秘密信息、法人、其他组织和公民的专有信息以及存储、传输和处理公共信息的信息系统的分级安全保护,以及对信息系统中信息安全事件的分级响应和处置。二、什么系统需要做等保测评?  1.国家事务处理信息系统(党政机关办公系统)  2.金融、税务、

    2021-12-03 0 0 0 0
  • 等保测评技术要求

    等保测评技术要求

    1、GB/T XXX-200X ICS 35.040L80信息安全技术 信息系统安全等级保护测评要求Information security technology- Testing and evaluation requirement for classified protection of inf

    2021-12-03 0 0 0 0
  • 等保测评二级三级多久测一次了?

    等保测评二级三级多久测一次了?

    网络安全等级保护评估(等保测评)众所周知,三级信息系统每年评估一次,那么二级信息系统多久评估一次呢?  很多人对这个知识点模糊不清,包括一些现有的评价机构。很多测评机构在和客户沟通的时候会说三级系统一年测评一次,二级系统两年测评一次,所以客户对这个知识点的了解就更少了。其实很多销售都是模糊的。事实上

    2021-12-03 0 0 0 0
  • 发现新的 TURLA 后门

    发现新的 TURLA 后门

    Turla 网络间谍组织已经运作了 25 年的大部分时间,并与臭名昭著的月光迷宫攻击五角大楼和其他机构有关,最近一直在部署一个以前未公开的小型后门,以针对美国的目标,德国和阿富汗。这个后门被称为 TinyTurla,非常简单,研究人员认为它可能作为该组织的备份持久性机制,以保持对受感染机器的访问。C

    2021-09-27 0 0 0 0
  • Microsoft 微软2021 年 8 月安全更新

    Microsoft 微软2021 年 8 月安全更新

    本月更新此版本包含以下产品、功能和角色的安全更新。.NET Core 和 Visual StudioASP.NET天蓝色天蓝色球体Microsoft Azure 活动目录连接微软动态微软图形组件微软办公软件微软办公室SharePoint微软办公字微软脚本引擎Microsoft Windows 编解码

    2021-08-30 0 0 0 0
  • 新型蠕虫病毒

    新型蠕虫病毒

    突发!新型蠕虫病毒爆发,一不小心电脑就废了_腾讯新闻1天前1月14日消息,据《北京商报》报道,360安全大脑检测到近期蠕虫病毒incaseformat大范围爆发,许多用户中招。电脑感染该病毒之后,就会将自身复制到C:\WINDOWS\tsay.exe,并...腾讯网百度快照突发!新型蠕虫病毒爆发,

    2021-01-15 0 0 0 0
  • incaseformat

    incaseformat

    【“狂删文件”蠕虫病毒Incaseformat 近期还将发作】_进行www.sohu.com› ...7 小时前 —此前安全公司表示,近期检测到蠕虫病毒Incaseformat大范围爆发,病毒感染用户机器后会通过U 盘自我复制感染到其他电脑,导致电脑中磁盘文件被删除,给用户...360安

    2021-01-15 0 0 0 0
  • 网络与信息安全突发事件应急预案

    网络与信息安全突发事件应急预案

     1总则  1.1目标  为提高龙岗区平湖街道办事处处置网络与信息安全突发事件能力,形成科学、有效、反应迅速的应急工作机制,确保重要计算机信息系统的实体安全、运行安全和数据安全,最大限度地减轻网络与信息安全突发事件造成的损失,保障信息系统及办公网络长期安全稳定运行,为人民群众提供良好的信息服务。  

    2021-01-09 0 0 0 0
  • 等级保护10大管理高风险项

    等级保护10大管理高风险项

    文章来源:等级保护测评等级保护制度我们知道,是由技术和管理两大部分组成。很多人觉得管理没那么重要,只是一些条条框框的规定而已,但是如果一些制度没有或者落实地不好,那么也是高风险项,你的等保测评结论将是“差”。以下为一哥整理的管理制度中10个高风险项,供大家参考。一、没有安全管理制度为高风险二级及以上

    2020-12-25 0 0 0 0
  • 中招目标首次披露:SolarWinds供应链攻击相关域名生成算法可破解

    中招目标首次披露:SolarWinds供应链攻击相关域名生成算法可破解

    事件背景近日,全球最著名的网络安全管理软件供应商SolarWinds遭遇国家级APT团伙高度复杂的供应链攻击并植入木马后门[1][2]。该攻击直接导致使用了SolarWinds Orion管理软件某些版本的企业客户全部受到影响:可任由攻击者完全操控。同时,SolarWinds在其官网发布安全通告称,

    2020-12-19 0 0 0 0
  • 2021年新的网络安全威胁预测

    2021年新的网络安全威胁预测

    2020年,随着全球组织试图适应由大流行引起的新常态,我们看到了全球范围内的许多快速变化。在这种转变中,整个网络威胁领域都出现了重大发展。进入2021年及以后,随着新的智能边缘技术的兴起,我们将面临另一个重大转变,这不仅仅是最终用户和远程连接到网络的设备。在FortiGuard实验室对2021年的威

    2020-12-16 0 0 0 0
  • Microsoft 2020年12月安全更新

    Microsoft 2020年12月安全更新

    Microsoft已发布2020年12月安全更新,其中包含针对58个漏洞的补丁程序,其中9个级别为严重。总之,Microsoft安全更新解决了以下产品中的漏洞:Azure DevOpsAzure SDKAzure SphereChakraCoreMicrosoft DynamicsMicrosoft

    2020-12-10 0 0 0 0
  • TCP / IP堆栈缺陷使数百万物联网设备面临风险

    TCP / IP堆栈缺陷使数百万物联网设备面临风险

    数以百万计的消费者和企业IoT设备在其TCP / IP堆栈中存在软件漏洞,这可能导致远程执行代码,拒绝服务或完全接管设备。Forescout将该漏洞称为“失忆症”批次:33。多达150个供应商的设备可能会受到攻击。这些缺陷影响着各种各样的嵌入式系统,包括医疗设备,工业控制系统,路由器和交换机-几乎所

    2020-12-08 0 0 0 0
  • VMware发布安全更新以解决CVE-2020-4006

    VMware发布安全更新以解决CVE-2020-4006

    原始发行日期:2020年12月3日VMware已发布安全更新,以解决VMware Workspace One Access,Access连接器,Identity Manager和Identity Manager连接器中的漏洞(CVE-2020-4006)。攻击者可能利用此漏洞来控制受影响的系统。网络

    2020-12-06 0 0 0 0
  • 微软修复了NVMe SSD导致的Windows 10 BSOD崩溃

    微软修复了NVMe SSD导致的Windows 10 BSOD崩溃

    Microsoft已解决一个已知问题,当用户插入Thunderbolt NVMe(非易失性内存Express)固态驱动器(SSD)时,Windows 10蓝屏死机(BSOD)崩溃。要受到此已知问题的影响,Windows 10设备必须至少具有一个Thunderbolt NVMe SSD和一个Thund

    2020-12-02 0 0 0 0
  • 2020年上半年Web应用程序攻击增加8倍

    2020年上半年Web应用程序攻击增加8倍

    云安全提供商CDNetworks的一份网络安全报告显示,与2019年上半年相比,分布式拒绝服务(DDoS),Web应用程序和僵尸网络攻击在2020年上半年呈指数级增长。在其报告中,“网络安全状况2020年上半年”,CDNetworks强调指出,特别是Web应用程序攻击上升了800%。2020年上半年

    2020-11-29 0 0 0 0
  • Windows 7和Server 2008零日漏洞获得免费补丁

    Windows 7和Server 2008零日漏洞获得免费补丁

    今天,一个影响所有Windows 7和Server 2008 R2设备的未修补本地特权升级(LPE)漏洞通过0patch平台获得了免费和临时修复。零日漏洞会影响所有受影响的设备,无论这些设备是否已加入Microsoft的扩展安全更新(ESU)程序,直到该公司向ESU客户发布自己的安全更新为止。0pa

    2020-11-26 0 0 0 0
威胁情报
最新图文
更多
  • 乌克兰:俄罗斯世界末日网络钓鱼攻击欧盟政府机构

    乌克兰:俄罗斯世界末日网络钓鱼攻击欧盟政府机构

    乌克兰计算机应急响应小组 (CERT-UA) 发现了新的网络钓鱼尝试,这些尝试归因于被追踪为世界末日 (Gamaredon) 的俄罗斯威胁组织。恶意电子邮件试图以乌克兰战争为主题的诱饵来欺骗收件人,并用以间谍活动为重点的恶意软件感染目标系统。CERT-UA 已经确定了两个不同的案例,一个针对乌克兰组

    2022-04-07 0 0 0 0
  • 美国警告来自 CONTI RANSOMWARE 的持续威胁

    美国警告来自 CONTI RANSOMWARE 的持续威胁

    Conti 勒索软件运营商一年多来一直是一种威胁,在过去几个月中,对医疗保健提供者、911 系统和许多其他关键组织的攻击都与 Conti 关联公司有关。尽管该组织的内部剧本几周前在网上泄露,但 Conti 的攻击并没有放缓,FBI、CISA。和 NSA 正在警告企业,该组织的威胁仍在继续。Conti

    2021-09-27 0 0 0 0
  • 勒索软件的状态:从进化到发展

    勒索软件的状态:从进化到发展

    自过去十年以来,勒索软件一直是网络攻击期间部署的最常见的恶意软件类型之一。但是,如果有人要求标志着勒索软件突然激增的一年,那就是2020年。根据最近的一份报告,在过去的一年中(从2019年下半年到2020年上半年),已经正式报告了超过45个国家的500多次成功的勒索软件攻击。这意味着全球每天都有不止

    2020-11-29 0 0 0 0
  • 收集有关Qakbot银行木马的情报

    收集有关Qakbot银行木马的情报

    背景:Qakbot银行木马是当前威胁形势下的顶级恶意软件家族之一。它在大规模垃圾邮件活动中分发,窃取机密信息,还提供了勒索软件运营商的访问权限。预防和检测到这种威胁已成为许多组织的首要任务,因为成功感染会导致代价高昂的网络事件。在此博客中,我旨在共享由开放源代码提供的有关此恶意软件的更多信息,并重点

    2020-11-15 0 0 0 0
  • Iiss病毒清除

    Iiss病毒清除

    艾斯文件病毒什么是艾斯病毒?Iiss被称为一种勒索软件感染,导致对计算机操作系统和个人数据的破坏。该恶意软件已在针对全球用户的积极活动中发布。安全研究人员已报告该病毒是臭名昭著的STOP勒索软件的一种。它似乎是另一个变种,旨在对可能存储有价值的个人信息的文件进行编码。它的名称来自该病毒附加到其锁定的

    2020-10-27 0 0 0 0
  • 检测Microsoft 365和Azure Active Directory后门

    检测Microsoft 365和Azure Active Directory后门

    Mandiant看到涉及Microsoft 365(M365)和Azure Active Directory(Azure AD)的事件有所增加。这些事件大多数是网络钓鱼电子邮件强迫用户输入用于访问M365的凭据到网络钓鱼站点的结果。其他事件是由于对M365租户进行了密码喷洒,密码填充或简单的蛮力尝试

    2020-10-02 0 0 0 0
  • Android恶意软件绕过2FA并定向电报,Gmail密码

    Android恶意软件绕过2FA并定向电报,Gmail密码

    Rampant Kitten威胁小组针对电报凭证等进行的广泛监视活动的一部分,已经发现了一种新的Android恶意软件菌株。研究人员发现威胁组织发起了针对受害者的个人设备数据,浏览器凭据和电报消息应用程序文件的监视运动。该小组武器库中一个值得注意的工具是一个Android恶意软件,该恶意软件收集发送

    2020-09-22 0 0 0 0
  • Maze勒索软件通过虚拟机加密 分析报告

    Maze勒索软件通过虚拟机加密 分析报告

    迷宫勒索软件操作者采用了Ragnar Locker团伙先前使用的策略;从虚拟机中加密计算机。虚拟机会将主机驱动器安装为远程共享,然后在虚拟机中运行勒索软件以加密共享文件。由于虚拟机未运行任何安全软件,并且正在安装主机的驱动器,因此主机的安全软件无法检测到恶意软件并将其阻止。与Ragnar Locke

    2020-09-19 0 0 0 0
  • 什么是Lokibot恶意软件?

    什么是Lokibot恶意软件?

    什么是Lokibot恶意软件?Lokibot,也称为Loki-bot或Loki bot,是一种信息窃取恶意软件,可从最广泛使用的Web浏览器,FTP,电子邮件客户端以及被感染计算机上安装的一百多种软件工具收集数据。它是在前苏联国家之一开发的。它是由创作者发布的销售公告于2015年5月3日首次发现的,

    2020-09-09 0 0 0 0
  • Thanos勒索软件:针对中东和北非的国有组织的破坏性变异

    Thanos勒索软件:针对中东和北非的国有组织的破坏性变异

    执行摘要在2020年7月6日和7月9日,我们观察到与对中东和北非的两个国有组织的攻击有关的文件,这些组织最终安装并运行了Thanos勒索软件的变体。Thanos变体创建了一个文本文件,该文件显示赎金消息,要求受害者将“ 20,000 $”转入指定的比特币钱包以恢复系统上的文件。我们无法了解这些攻击的

    2020-09-05 0 0 0 0
  • 第三方支付平台付款1元实付1000,这个新骗术坑了不少人!

    第三方支付平台付款1元实付1000,这个新骗术坑了不少人!

    概述近日,奇安信病毒响应中心在日常黑产挖掘过程中发现一种利用支付宝支付和微信支付进行诱导诈骗的新型黑产项目,在地下论坛中被称为“暗雷”和“明雷”。

    2020-08-19 0 0 0 0
  • LaoXinWon携带两个勒索病毒样本,重复加密或增加解密难度

    LaoXinWon携带两个勒索病毒样本,重复加密或增加解密难度

    【文章摘要】腾讯安全威胁情报中心检测到ID为LaoXinWon的勒索病毒攻击者在国内活跃,攻击者疑通过弱口令爆破方式投递勒索病毒。该攻击者同时携带2款勒索病毒样本,一款为C#编写的勒索模块,加密添加.aes扩展后缀。另一款为Delphi编写的Scarab勒索模块,加密添加.lampar扩展后缀。腾讯

    2020-08-14 0 0 0 0
  • PyPI 官方仓库遭request恶意包投毒,攻击行为严重威胁linux服务器安

    PyPI 官方仓库遭request恶意包投毒,攻击行为严重威胁linux服务器安

    【文章摘要】腾讯洋葱反入侵系统检测发现PyPI官方仓库被恶意上传了request钓鱼包,攻击者通过钓鱼包实施窃取用户敏感信息及数字货币密钥、种植持久化后门、远程控制等一系列攻击活动。腾讯安全应急响应中心(TSRC)建议各开源镜像站以及对开源镜像站有依赖的公司尽快自查处理,确保清除恶意库,保障用户系统

    2020-08-14 0 0 0 0
  • Phorphiex / Trik Botnet提供Avaddon勒索软件

    Phorphiex / Trik Botnet提供Avaddon勒索软件

    Zix / AppRiver威胁团队对Phorphiex / Trik僵尸网络及其广泛的攻击并不陌生。在6月4日(星期四),我们开始捕获由同一僵尸网络分发的活动,该活动反映了我们在去年4月防御和分析的僵尸网络所使用的技术,战术和程序。但是,此活动提供了新的Avaddon勒索软件,该软件转换为Abad

    2020-08-12 0 0 0 0
  • APT小组使用MgBot恶意软件的新变种针对印度和香港

    APT小组使用MgBot恶意软件的新变种针对印度和香港

    7月2日,我们找到了一个带有嵌入式文件的存档文件,该文件伪装成来自印度政府。此文件使用模板注入来删除加载了Cobalt Strike变体的恶意模板。一天后,同一威胁参与者更改了模板,并放下了一个名为MgBot的加载程序,通过使用Windows上的应用程序管理(AppMgmt)服务来执行并注入其最终有

    2020-07-24 0 0 0 0
  • Android Rootnik恶意软件:深入研究 第二部分

    Android Rootnik恶意软件:深入研究 第二部分

    在该博客的第一部分中,我完成了对新发现的Rootnik恶意软件变体的本机层的分析,并获得了解密后的真实DEX文件。在第二部分中,我们将继续进行分析。看解密的真实DEX文件解密的DEX文件的条目是demo.outerappshell.OuterShellApp类。类OuterShellApp的定义如下

    2020-07-23 0 0 0 0
  • 通过PDF文件传播新的Loki变体

    通过PDF文件传播新的Loki变体

    背景Loki Bot已被观察多年。如您所知,它旨在从受害者计算机上已安装的软件中窃取凭据,例如电子邮件客户端,浏览器,FTP客户端,文件管理客户端等。FortiGuard Labs最近捕获了一个PDF样本,该样本用于传播新的Loki变体。在此博客中,我们将分析此新变体的工作原理以及它所窃取的东西。P

    2020-07-19 0 0 0 0
  • TA505组织:Dridex木马分析

    TA505组织:Dridex木马分析

    2019年TA505组织攻击统计在过去的六个月中,积极技术专家安全中心的威胁情报团队一直密切关注TA505网络犯罪组织。恶意因素被吸引到金融领域,其目标分散在多个大洲的数十个国家中。TA505组织以什么有名?该cybergang已经相当多产从2014年起:他们的武器库包括Dridex银行木马,僵尸网

    2020-07-11 0 0 0 0
  • HiddenAds恶意软件分析

    HiddenAds恶意软件分析

    数以千计的HiddenAds Trojan应用程序伪装成Google Play应用程序McAfee移动研究团队最近发现了HiddenAds Trojan的新变种。HiddenAds Trojan是一个广告软件应用程序,用于显示广告和收集用户数据以进行营销。此类应用程序的目标是通过将用户重定向到广告来

    2020-07-05 0 0 0 0
  • CSI:针对目标勒索软件攻击的证据指标–第二部分

    CSI:针对目标勒索软件攻击的证据指标–第二部分

    在我们的第一篇文章中,我们讨论了有针对性的勒索软件攻击的增长模式,其中第一个感染阶段通常是一种信息窃取类恶意软件,用于获取凭据/访问权以确定目标是否对勒索软件攻击有价值。在第二部分中,我们将从中断的地方继续前进:攻击者可以通过控制受感染的主机来在网络上立足,或者拥有有效的帐户来访问远程服务。使用有效

    2020-06-22 0 0 0 0
文章推荐
更多
视频教程
更多
神兵利器
更多
全栈工程
更多
技术支持: 建站ABC | 管理登录