SQL注入漏洞 风险等级：高危 漏洞描述： SQL注入漏洞产生的原因是网站应用程序在编写时未对用户提交至服务器的数据进行合法性校验，即没有进行有效地特殊字符过滤，导致网站服务器存在安全风险，这就是SQL Injection，即SQL注入漏洞。 漏洞危害： 机密数据被窃取； 核心业务数据被篡改； 网页被篡改； 数据库所在服务器被攻击从而变为傀儡主机，导致局域网(内网)被入侵。 修复建议： 在网页代码中对用户输入的数据进行严格过滤；（代码层） 部署Web应用防火墙；（设备层） 对数据库操作进行监控。（
apache一些样例文件没有删除，可能存在cookie、session伪造，进行后台登录操作
Web程序中对于用户提交的参数未做过滤直接拼接到SQL语句中执行，导致参数中的特殊字符破坏了SQL语句原有逻辑，攻击者可以利用该漏洞执行任意SQL语句，如查询数据、下载数据、写入webshell、执行系统命令以及绕过登录限制等。
近日，Apache软件基金会为Tomcat应用程序服务器推送了最新的安全更新，并修复了多个安全漏洞，其中包括一个DoS漏洞和一个信息泄露漏洞。
CTF在线工具-CTF工具|CTF编码|CTF密码学|CTF加解密|程序员工具|在线编解码 (hiencode.com)
2019年8月14日，微软发布更新了windows的系统补丁，代号：CVE-2019-1181，CVE-2019-1182补丁针对与windows远程桌面远程代码执行漏洞进行了全面的修复，根据SINE安全技术对补丁的分析发现修复的这两个漏洞，可以造成攻击者通过远程链接的方式绕过管理员的身份安全验证，对服务器以及电脑进行攻击，提权并上传webshell，跟之前发生的勒索病毒，永恒之蓝是一个级别，危害性较大，关于该漏洞的详情我们来看下：
近年来数据泄露安全事件频发，在今年的hw网络安全攻防演练中，获取敏感信息、数据泄露等漏洞的得分也越来越高，我们SINE安全近十年来成功的帮助了许多客户，查找到了数据泄露的原因，在这里向大家分享我们的经验与心得，包括数据泄露的排查办法以及修复。
【漏洞详情】 近日，腾讯云安全中心情报平台监测到 Netflix 信息安全团队研究员Jonathan Looney发现 Linux 以及 FreeBSD 等系统内核上存在严重远程DoS漏洞，攻击者可利用该漏洞构造并发送特定的 SACK 序列请求到目标服务器导致服务器崩溃或拒绝服务。
微软日前发布了最新安全补丁，修复内容包括谷歌90天前提交的0day漏洞（微软本计划2月修复，但迫于谷歌不愿违背其90天公布漏洞详情的策略只好提前发布补丁）等8个安全漏洞。其中Windows Telnet服务远程代码执行漏洞被微软标记为了高危级别，其余7个都是重要级别。 TS WebProxy Windows组件目录追踪漏洞 微软指出MS15-004修复的是TS WebProxy Windows组件上的目录追踪漏洞，它须结合其他安全漏洞才能远程执行代码。 如果攻击者利用其他的一些漏洞通过IE浏览器运行任意
前言ZOOM麻烦不断全部漏洞一览屏幕共享功能中的漏洞漏洞详情修复方案与Facebook 共享数据漏洞详情修复方案参会者注意力跟踪漏洞详情修复方案参与者IP地址泄露漏洞详情修复方案误导性的安装提示漏洞详情修复方案LinkedIn销售导航仪功能漏洞详情修复方案内置的web服务器漏洞详情修复方案UNC安全问题漏洞详情修复方案zoom炸弹漏洞原理修复方案数据中心错误划分漏洞原理修复方案会议加密漏洞原理修复方案Zoom安全性问题可能是故意设计的功能zoom的改造计划zoom不适合群体参考资料
Mac Zoom客户端中存在漏洞，允许任何恶意网站在未经许可的情况下启用摄像头。这一漏洞可能会暴露出世界上多达75万家使用ZOOM进行日常业务的公司。
原文来自雷神众测，然后是整理自github的一个项目redteam_vul，这份系统漏洞清单还是很详实的，具有一定的参考意义，当然，要是有poc就更美了
针对MySQL 5.5和5.6版本的Riddle漏洞会经由中间人攻击泄露用户名密码信息。请尽快更新到5.7版本。 Riddle漏洞存在于DBMS Oracle MySQL中，攻击者可以利用漏洞和中间人身份窃取用户名和密码。 “Riddle是一个在Oracle MySQL 5.5和5.6客户端数据库中发现的高危安全漏洞。允许攻击者在中间人位置使用Riddle漏洞破坏MySQL客户端和服务器之间的SSL配置连接。”漏洞描述写道。“此漏洞是一个非常危险的漏洞，因为首先它会影响MySQL – 非常流行的SQL数
本次写的是一篇如何通过针对性系统学习Web安全或者说如何能成为一名渗透测试人员（有疑问或者错误的地方还望大家多多指正）。
在一次内部安全月审查过程中，某业务内部查出有ssrf漏洞，通过伪造url路径，可以看到暴露内网ip，存在较高安全隐患。
近日网络安全界谈论的影响安全最大的问题就是Heartbleed漏洞，该漏洞是4月7号国外黑客曝光的。据Vox网站介绍，来自Codenomicon和谷歌安全部门的研究人员，发现OpenSSL的源代码中存在一个漏洞，可以让攻击者获得服务器上64K内存中的数据内容。该漏洞在国内被译为” OpenSSL心脏出血漏洞”，因其破坏性之大和影响的范围之广，堪称网络安全里程碑事件。 OpenSSL心脏出血漏洞的大概原理是OpenSSL在2年前引入了心跳(heartbeat)机制来维持TLS链接的长期存在，心跳机制是作为TL
Nginx是一个开源的高性能Web服务器和反向代理服务器，具有快速、可扩展、高可靠性和低内存占用等优点，广泛应用于互联网和企业网络中。然而，由于Nginx的复杂性和灵活性，也会导致一些安全问题的出现。
微软日前发布了最新安全补丁，修复内容包括谷歌90天前提交的0day漏洞等8个安全漏洞。其中Windows Telnet服务远程代码执行漏洞被微软标记为了高危级别，其余7个都是重要级别。 微软指出MS15-004修复的是TS WebProxy Windows组件上的目录追踪漏洞，它须结合其他安全漏洞才能远程执行代码。如果攻击者利用其他的一些漏洞通过IE浏览器运行任意代码，由于受到IE浏览器环境限制，代码会被限制运行（因为诚信度等级太低，受访问限制）；但是，如果攻击者利用Windows漏洞并借用当前用户的权限
② 云安全产品使用教程：基于以上五款产品，分享使用的相关教程，如云防火墙访问控制规则设置、入侵防御规则设置实践。
IIS是Internet Information Services的缩写，意为互联网信息服务，是由微软公司提供的基于运行Microsoft Windows的互联网基本服务。最初是Windows NT版本的可选包，随后内置在Windows 2000、Windows XP Professional和Windows Server 2003一起发行，但在Windows XP Home版本上并没有IIS。IIS是一种Web（网页）服务组件，其中包括Web服务器、FTP服务器、NNTP服务器和SMTP服务器，分别用于网页浏览、文件传输、新闻服务和邮件发送等方面，它使得在网络（包括互联网和局域网）上发布信息成了一件很容易的事。
昨天，安全协议OpenSSL爆出本年度最严重的安全漏洞“心脏出血”。利用该漏洞，黑客坐在自己家里电脑前，就可以实时获取到很多https开头网址的用户登录账号密码，包括网银、知名购物网站、电子邮件等信息
主机安全（Cloud Workload Protection，CWP）基于腾讯安全积累的海量威胁数据，利用机器学习为用户提供资产管理、木马文件查杀、黑客入侵检测、漏洞风险预警及安全基线等安全防护服务，解决当前服务器面临的主要网络安全风险，帮助企业构建服务器安全防护体系。现支持用户腾讯云外服务器统一进行安全防护，轻松共享腾讯云端安全情报，让私有数据中心拥有云上同等级别的安全体验。
近日，腾讯云安全运营中心监测到知名FTP服务软件 ProFTPD 被曝存在远程命令执行漏洞（漏洞编号：CVE-2019-12815），攻击者可利用该漏洞在没有权限的情况下拷贝FTP服务器上的任何文件。目前，互联网上数百万安装了 ProFTPD 的服务器可能存在该漏洞风险。
渗透测试面试题目 一、基础问题 1.请你用一分钟时间介绍下你自己 2.现在在哪个城市 3.最快什么时候可以到岗 4.项目经历 5.对面试的岗位职责和工作内容了解吗 二、技术问题 1.拿到一个待检测的站，你觉得应该先做什么 1)信息收集 1，获取域名的whois信息,获取注册者邮箱姓名电话等。 2，查询服务器旁站以及子域名站点，因为主站一般比较难，所以先看看旁站有没有通用性的cms或者其他漏洞。 3，查看服务器操作系统版本，web中间件，看看是否存在已知的漏洞，比如IIS，APACHE,NGINX的解析漏洞4
北京时间 2017 年 4 月 14 日晚，黑客团体Shadow Brokers （影子经纪人）再次泄露了一份 117.9 MB 的 NSA 机密文档，内含 23 个最新黑客工具，其中包含了多个Win
近日，Linux 内核被曝存在TCP “SACK PANIC” 远程拒绝服务漏洞（漏洞编号：CVE-2019-11477,CVE-2019-11478,CVE-2019-11479），攻击者可利用该漏洞远程攻击目标服务器，导致系统崩溃或无法提供服务。
微软官方发布了2022年04月的安全更新。本月更新公布了145个漏洞，包含47个远程执行代码漏洞、55个特权提升漏洞、13个信息泄露漏洞、9个拒绝服务漏洞以及4个身份假冒漏洞，其中10个漏洞级别为“Critical”（高危），115个为“Important”（严重）。建议用户及时使用火绒安全软件（个人/企业）【漏洞修复】功能更新补丁。
在当今数字化时代，网络安全成为了企业和组织的首要关注点之一。针对 Linux 服务器的漏洞扫描和评估是确保服务器安全性的重要步骤之一。OpenVAS（Open Vulnerability Assessment System）作为一款开源的漏洞评估工具，提供了全面的漏洞扫描和分析功能。
近日，腾讯云安全中心监测到Linux 内核被曝存在TCP “SACK Panic” 远程拒绝服务漏洞（漏洞编号：CVE-2019-11477,CVE-2019-11478,CVE-2019-11479），攻击者可利用该漏洞远程攻击目标服务器，导致系统崩溃或无法提供服务。 为避免您的业务受影响，云鼎实验室建议Linux系统用户及时开展安全自查，如在受影响范围，请您及时进行更新修复，避免被外部攻击者入侵。同时建议云上租户免费开通「安全运营中心」-安全情报，及时获取最新漏洞情报、修复方案及数据泄露情况，感知云上
当服务器遭受攻击时，第一步是立即与相关人员取得联系。这些人员可能包括网络安全专家、系统管理员和法律顾问。他们将能够提供专业的帮助和指导，以应对和解决服务器遭受的攻击。
近日有研究人员公布，广为流行的网络加密软件OpenSSL存在名为Heartbleed的重大漏洞，人们的账号密码、信用卡号码等个人信息可能会 失窃。各大主流网站都在加紧解决这一问题。究竟是什么回事呢?普
临近2021春节年末，我们SINE安全监测中心发现Linux系统被爆出致命漏洞，导致大部分服务器受到黑客的攻击与入侵，该漏洞发生的根源是由于系统的管理命令。SUDO存在问题，导致普通用户无需输入root密码，可以直接使用sudo命令提权到root管理员权限，这漏洞是今年linux爆出的最大的漏洞，危害性极高，目前受漏洞影响的Linux版本是Linux Sudo1.8.2- 1.8.31p2 LinuxSudo1.9.0- 1.9.5 p1等版本，可以说是大多数的linux系统都有漏洞。目前我们已对SINE安全的客户服务器紧急修复该漏洞，目前可防御该漏洞的攻击，与黑客的入侵。
近日，OpenSSL被披露存在一个远程代码执行漏洞（CVE-2022-2274），该漏洞影响了OpenSSL 3.0.4 版本。
这篇文章主要收集一些常见的未授权访问漏洞。未授权访问漏洞可以理解为需要安全配置或权限认证的地址、授权页面存在缺陷导致其他用户可以直接访问从而引发重要权限可被操作、数据库或网站目录等敏感信息泄露。
临近2020年末，我们SINE安全监测中心发现Linux系统被爆出致命漏洞，导致大部分服务器受到黑客的攻击与入侵，该漏洞发生的根源是由于系统的管理命令。SUDO存在问题，导致普通用户无需输入root密码，可以直接使用sudo命令提权到root管理员权限，这漏洞是今年linux爆出的最大的漏洞，危害性极高，目前受漏洞影响的Linux版本是Linux Sudo1.8.2- 1.8.31p2 LinuxSudo1.9.0- 1.9.5 p1等版本，可以说是大多数的linux系统都有漏洞。目前我们已对SINE安全的客户服务器紧急修复该漏洞，目前可防御该漏洞的攻击，与黑客的入侵。
在网络安全专家能够发现并修复计算机软件的“零日”漏洞之前，黑客可对这些漏洞利用的平均时长长达312天。美国国防部高级研究计划局（DARPA）正在致力于开发新的人工智能技术，希望能够在数秒或数分钟内发现并修复此类漏洞。 在2016年夏季由DARPA主办的Cyber Grand挑战赛中成功入围决赛的七支团队将展示各自的人工智能系统，这些系统可自动扫描对手的网络服务器是否存在漏洞利用程序，并通过主动发现和修复软件漏洞来保护自己的服务器。前三名获胜团队将直接获得200万美元、100万美元、75万美元的奖励。但从长远
最近一段时间在业余时间帮朋友做了个小型的信息管理系统，主要功能：用户用户登录、注册、信息维护、业务数据的增删改查，首页信息展示，模型关联关系等。麻雀虽小，但五脏俱全，这个系统从前端到后端，到服务器的生产部署，完全由自己独立完成，让这个因疫情而百无聊赖的春节充实了不少。
cURL 是一个支持多种网络协议的开源项目，被广泛集成到自动化构建、网络测试、网络数据采集以及其他网络相关的任务中，备受开发者和系统管理员青睐。
渗透测试是一种评估计算机系统、网络或应用程序的安全性的方法。它是通过模拟攻击来测试一个系统的安全性，以找出系统中的弱点和漏洞，然后提供解决方案以修复这些问题。渗透测试通常包括应用程序性能和中间件（中间层）的安全、身份验证机制的测试、密码策略、网络设施，以及社交工程等各个方面。渗透测试常用于检测和评估企业的网络安全和安全风险，以便于决策者了解各项目前的安全问题并做出相应的决策和改进措施。
绝大部分 DoS 攻击，一般来说都是目标系统收到大量服务请求，最终导致拒绝服务状态。实际上，随着技术的发展，如果要让现在的系统“拒绝服务”，是需要海量请求配合的——也就是所谓的泛洪攻击才能做到的，这就需要用到分布式拒绝服务，也就是 DDoS 攻击了。但在前不久结束的 DEF CON 大会上，安全研究人员在 Windows SMB 服务中发现一个漏洞，利用该漏洞，即便是一台普通性能的计算机，也能对拥有海量运算资源的服务器发动 DoS 攻击。 近日，RiskSense的安全研究人员找到了一个20年之久的Wind
在Project Zero，我们经常把我们的目标简单地称为 "让0天变得更难"。团队成员主要通过进攻性安全研究的角度来处理这一挑战。而我们为了保持在该领域的领先地位，会经常实验新的目标和方法，但重要的是，团队不能偏离当前的技术水平太远。我们在这方面的努力之一是跟踪公开的已知零日漏洞案例。我们利用这些信息来指导研究工作。遗憾的是，公开的零日报告很少包括捕获的漏洞，而这些漏洞可以为现实世界中的攻击者所做的利用技术和设计决策提供宝贵的见解。此外，我们认为安全社区在检测0天漏洞的能力方面存在差距。
2017年9月19日，Apache Tomcat官方确认并修复了两个高危漏洞，漏洞CVE编号:CVE-2017-12615和CVE-2017-12616,该漏洞受影响版本为7.0-7.80之间，在一定条件下，攻击者可以利用这两个漏洞，获取用户服务器上 JSP 文件的源代码，或是通过精心构造的攻击请求，向用户服务器上传恶意JSP文件，通过上传的 JSP 文件 ，可在用户服务器上执行任意代码，从而导致数据泄露或获取服务器权限，存在高安全风险。 漏洞编号： CVE-2017-12615 CVE-
网络安全分析师警告称，数以千计的Citrix ADC 和网关部署仍然存在安全风险，即便该品牌服务器在此之前已经修复了两个严重的安全漏洞。
近日，Confluence官方发布了SSRF漏洞（CVE-2019-3395）及远程代码执行漏洞（CVE-2019-3396）的安全通告，攻击者利用漏洞可实现远程代码执行、服务器端请求伪造。此次通告的漏洞分别存在于WebDAV、及Widget连接器中。
IIS 是 Internet Information Services 的缩写，意为互联网信息服务，是由微软公司提供的基于运行 Microsoft Windows 的互联网基本服务。最初是 Windows NT 版本的可选包，随后内置在 Windows 2000 、Windows XP Professional 和 Windows Server 2003 一起发行，但在 Windows XP Home 版本上并没有 IIS 。
漏洞描述 近日，爆出httpoxy漏洞，该漏洞主要存在于apache等组件中，原理是将HTTP头部的Proxy字段名变换为“HTTP_PROXY”，Value值不变，并传递给对应的CGI来执行。如果CGI或者脚本中使用对外请求的组件依赖的是“HTTP_PROXY”这个环境变量，那就可能被污染，并导致相关数据被牵引至入侵者设定的代理服务器从而引发泄露。 影响范围 此漏洞将会使受到影响的web服务器代理配置遭到污染，引发数据被监听的后果。但根据目前的情况来看，需要结合用户真实环境对Proxy 环境变量的调用来确
中国黑客现在正是用一个自动工具利用Apache Struts中的已知漏洞，目的是在用这个框架开发的用于托管应用的服务器上安装后门。 Apache Struts是一个非常常见的开源框架，可用于开发基于Java的Web应用，这个框架由Apache Softwware Foundation维护。 研究员透露，黑客现在正非常积极地利用这些漏洞。而研究员们在一个隐秘的中国论坛上发现了一款工具，此工具可针对有漏洞的Struts发起自动攻击。 这款工具利用以下Struts漏洞来损坏服务器
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
实时音视频
即时通信 IM
对象存储
