文档建议反馈控制台
首页
学习
活动
专区
工具
TVP
最新优惠活动
文章/答案/技术大牛
发布
精选内容/技术社群/优惠产品,尽在小程序
立即前往

2022 年全球网络安全漏洞 TOP 10 | FreeBuf 年度盘点

Veracode 分析结果显示，32% 的应用程序在第一次发布扫描时会出现漏洞，随着时间推移漏洞积累越来越多。...漏洞披露后，研究人员发现旨在擦除设备内容或投放 web shell 恶意脚本的多起攻击企图利用该漏洞。...Microsoft Windows Support Diagnostic Tool 操作系统命令注入漏洞 CVE编号：CVE-2022-30190 CVE-2022-30190于2022年5月被安全研究人员披露...Google Chrome 资源管理错误漏洞 CVE编号：CVE-2022-0609 CVE-2022-0609是Chrome 存在资源管理错误漏洞，该漏洞源于谷歌Chrome中的动画组件内的免费使用后错误...攻击者可利用该漏洞创建一个特别制作的网页，诱骗受害者访问它，触发使用后免费错误，并在目标系统上执行任意代码。

1.5K20

ZDI总结全年最重要的五个漏洞

CVE-2020-0688/ZDI-20-258 CVE-2020-0688/ZDI-20-258：Microsoft Exchange Server的Exchange控制面板加密密钥远程代码执行漏洞...的用户都可以使用该界面。...然而，Lucas发现ESXi使用的是他们自己的定制实现方式。重要的是，这个自定义实现中存在设计缺陷，从而导致了两个严重的安全问题出现。...这个漏洞的利用场景比较可怕，因为当一个毫无防备的受害者在访问一个简单的网页时，这一切他都是毫不知情，因为浏览网页10秒后，恶意代码将会在目标用户的设备上运行，一切都是在后台悄悄完成的。...如果此函数遇到无效数据，它将切换到一条错误路径，该路径将尝试释放函数已创建并存储在对象中的资源。由于此错误路径中存在安全问题，可能会影响函数释放从未初始化的指针。

65820
    • 您找到你想要的搜索结果了吗？
    是的
    没有找到

    Tenacity——Exception Retry 从此无比简单

    Python 装饰器装饰类中的方法这篇文章，使用了装饰器来捕获代码异常。这种方式可以让代码变得更加简洁和Pythonic。 在写代码的过程中，处理异常并重试是一个非常常见的需求。...以爬虫开发为例，由于网页返回的源代码有各种不同的情况，因此捕获异常并重试是很常见的要求。下面这几段代码是我多年以前，在刚开始学习爬虫的时候，由于捕获异常并重试导致代码混乱化过程。...info_dict = json.loads(info_json) data = info_dict['data'] save(data) 代码运行一段时间，发现有时候JSON会随机出现解析错误...这是因为有一些URL返回的是数据始终是错误的，而有些URL，重试几次又能返回正常的JSON数据，于是限制只重试3次： def extract(url): info_json = requests.get...在爬虫主体中，其实有三个地方可能出现异常: requests获取网页出错 解析JSON出错 info_dict字典里面没有data这个key 如果只需要在JSON解析错误时重试，由于异常类型为json.decoder.JSONDecodeError

    62130

    2022年最常被利用的12个漏洞

    Microsoft Exchange Server（CVE-2021-34473、CVE-2021-31207、CVE-2021-34523） Microsoft Exchange Server是一个流行的电子邮件和支持系统...由于大量未打补丁的Microsoft Office产品可用，Follina持续出现在各种网络攻击中。...当用户在Office应用程序中遇到嵌入式链接时，这些链接将被自动获取，从而触发Microsoft Support Diagnostic Tool（MSDT）协议的执行。...同年4月，UNC3347针对南亚电信实体和商业服务的运动中出现了更多的Follina样本。第三个名为UNC3819的集群也使用CVE-2022-30190攻击俄罗斯和白俄罗斯的组织。 6....如果与CVE-2022-22954链接在一起，攻击者可以作为VMware用户执行任意shell命令，然后擦除日志，升级权限，并横向移动到具有root访问权限的其他系统。 12.

    63110

    近年APT组织常用的攻击漏洞

    例如，用户误以为这个弹出式窗口是自己的计算机提示错误的窗口或者以为这是一个正常的弹出式广告，因此点击了这个窗口。...CVE编号 漏洞类型 使用组织 CVE-2009-2496 堆损耗远程代码执行漏洞，又称作 “Office Web 组件堆损耗漏洞 “ 丰收行动 CVE-2010-3333 RTF分析器堆栈溢出漏洞，又称...RCE漏洞” 摩诃草蔓灵花白象Rotten Tomato CVE-2013-3906 Microsoft Graphics组件处理特制的TIFF图形时存在远程代码执行漏洞 摩诃草白象 CVE-2014...-1761 Microsoft Word RTF文件解析错误代码执行漏洞 摩诃草Pitty Tiger白象Rotten Tomato CVE-2014-4114 OLE包管理INF 任意代码执行漏洞 摩诃草白象...CVE编号 漏洞类型 影响版本 使用组织 CVE-2010-0806 Microsoft IE畸形对象操作内存破坏漏洞 Microsoft Internet Explorer 7.0Microsoft

    1.8K20

    Tenacity——Exception Retry 从此无比简单

    Python 装饰器装饰类中的方法这篇文章，使用了装饰器来捕获代码异常。这种方式可以让代码变得更加简洁和Pythonic。 在写代码的过程中，处理异常并重试是一个非常常见的需求。...--more--> 以爬虫开发为例，由于网页返回的源代码有各种不同的情况，因此捕获异常并重试是很常见的要求。下面这几段代码是我多年以前，在刚开始学习爬虫的时候，由于捕获异常并重试导致代码混乱化过程。...info_dict = json.loads(info_json) data = info_dict['data'] save(data) 代码运行一段时间，发现有时候JSON会随机出现解析错误...这是因为有一些URL返回的是数据始终是错误的，而有些URL，重试几次又能返回正常的JSON数据，于是限制只重试3次： def extract(url): info_json = requests.get...在爬虫主体中，其实有三个地方可能出现异常: requests获取网页出错 解析JSON出错 info_dict字典里面没有data这个key 如果只需要在JSON解析错误时重试，由于异常类型为json.decoder.JSONDecodeError

    1.3K10

    黑客入侵微软邮件服务器部署勒索软件、惠普更新打印机漏洞｜12月2日全球网络安全热点

    亚马逊是与网络钓鱼工具包相关的欺诈网页的顶级品牌，研究人员观察到近4,000个模仿该品牌的网页——是流行的在线拍卖网站eBay检测到的网页数量的三倍，是美国零售巨头沃尔玛的四倍多。...富文本格式(RTF)文件是由Microsoft创建的一种文档格式，可以使用Microsoft Word、写字板和几乎所有操作系统上的其他应用程序打开。...ProxyShell是一组三个Microsoft Exchange漏洞的名称，这些漏洞允许在链接在一起时在服务器上未经身份验证的远程代码执行。...WebShell是上传到Web服务器的小脚本，允许威胁行为者获得对设备的持久性并远程执行命令或将其他文件上传到服务器。...与此同时，通信板中的错误只能被能够物理访问设备的人利用。

    1.2K30

    远程调试的利用

    CVE 漏洞利用 既然可以浏览任意网页，同时我们可以获取到浏览器的详细版本信息，那么触发 CVE 也就有了有利条件，这里以一个比较简单的直接浏览网页进行触发 如果直接以 Chrome --new-window...> set lhost 10.211.55.7 > set lport 4444 > exploit 4) 通过远程调试触发 PoC 成功获取 meterpreter 的 shell 当然也可以直接使用远程执行直接加载恶意网页...successfulUrls.forEach(url => console.log(url)); }) .catch(error => { console.error('在处理请求队列时发生错误...：', error); }); 受害终端启动调试的网页这次我们也不用百度了，因为如果使用百度，开发者工具控制台也是百度的，百度默认有一些安全策略，我们可以自行搭建没有安全策略的网页，或者找一些安全策略比较少的网页进行打开获取控制台..., error); } } }); }); writeStream.on('error', (error) => { console.error('文件下载或保存时发生错误

    72510

    2018年10月十大恶意软件，挖矿类仍然占据头牌

    2018年10月十大恶意软件 （排名显示与上个月的区别） ↔Coinhive：众所周知的挖矿平台Cryptominer的产物，该软件用于在用户访问相应网页时执行挖矿程序，对门罗币进行在线挖掘，整个过程用户可能完全不知道...其次是OpenSSL造成的心脏出血漏洞，在全球范围内占比约46%，随后则是Web服务器中的PHPMyAdmin配置错误造成的代码注入漏洞，影响范围约42%。...↔MicrosoftIIS WebDAV ScStoragePathFromUrl缓冲区溢出漏洞（CVE-2017-7296）：通过Microsoft Internet Information Services...6.0通过网络向Microsoft Windows Server 2003发送设置好的用户请求，可使远程攻击者执行任意代码或造成系统的拒绝服务情况出现。...↑OpenSSL TLS DTLS Hartbeat Information Disclosure（CVE-2014-0160，CVE-2014-0346）：由于在处理TLS/DTLS传输数据时出错，可导致

    58220

    Microsoft 安全公告摘要（2015 年 10 月）

    有关在 Microsoft 安全公告发布时如何收到自动通知的信息，请访问 Microsoft 技术安全通知。...最严重的漏洞可能在用户使用 Internet Explorer 查看经特殊设计的网页时允许远程执行代码。成功利用这些漏洞的攻击者可以获得与当前用户相同的用户权限。...最严重的漏洞可能在用户使用 Microsoft Edge 查看经特殊设计的网页时允许信息泄漏。成功利用这些漏洞的攻击者可以获得与当前用户相同的用户权限。...Input Band 释放后使用漏洞CVE-2015-25484 - 不受影响1 - 可能被利用不适用MS15-110Microsoft Office 内存损坏漏洞CVE-2015-25552 - 不太可能利用...Microsoft Baseline Security Analyzer (MBSA) 支持管理员扫描本地和远程系统中缺少的安全更新和常见的安全错误配置。

    1.7K70

    深入剖析最新IE0day漏洞

    像上面一样，使用一个URL名字对象来加载远程web页面是可能实现的，因为针对Moniker相关漏洞(CVE-2017-0199, CVE-2017-8570和CVE-2017-8759)的微软补丁，引入了一个激活过滤器...尽管Word文档是初始攻击向量，但漏洞实际上是在VBScript中，而不是在Microsoft Word中。...这种技术允许使用IE引擎加载并呈现一个web页面，即使受害者机器上的默认浏览器设置为别的浏览器。 下载的HTML页面中的VBScript包含了函数名和混淆的整数值。 ?...当继续执行，并且ArrB被擦除时，整个循环会重复，除了这一次，ArrB(1)引用了一个已释放的ClassVuln对象，因此当调用ClassVuln vtable中的一个虚拟方法时，我们观察到了崩溃。...总结 在本文中，我们分析了CVE-2018-8174背后的核心原因，Use-After-Free是一个特别有趣的漏洞，这可能是由于在Class_Terminate VBScript方法中错误的对象周期处理造成的

    81120

    入侵挖矿处置方案、原因分析

    由于云主机用户一般不使用浏览器访问网页，故基于浏览器的挖矿在公有云上并非较大的威胁。...-2017-0144 Lnk远程代码执行漏洞 CVE-2017-846 等等漏洞 组件漏洞,如 Struts远程执行漏洞 WebLogic反序列化漏洞 (CVE-2017-10271) Jenkins...(2018-1000861) 等等漏洞 攻击者利用一个漏洞或多个漏洞的组合拿到执行命令的权限 如图所示，攻击者利用上述漏洞执行命令或脚本，往往一个脚本就可以完成下载挖矿软件，写入后门，执行挖矿，擦除入侵痕迹等一系列操作...2.各类服务应设置健壮的密码，避免未授权开放的情况，如SSH、RDP、Redis、Mysql等服务 3.Web攻击是入侵挖矿利用的重要途径，可安装WAF(WAF全称Web Application Firewall...，可阻断常见Web攻击)，推荐使用腾讯云网站管家

    2.4K30

    【威胁通告】微软更新多个产品高危漏洞威胁通告

    Edge、Microsoft Exchange Server、Microsoft Office等广泛使用的产品，其中包括提权和远程代码执行等高危漏洞。...在基于Web的攻击场景中，攻击者可能会搭建一个特制的网站，然后诱使用户访问该站点。不过攻击者无法强迫用户查看恶意内容。所以通常会通过电子邮件或即时消息的方式来诱导用户。...-0729 Media Foundation CVE-2020-0738 Windows Media Foundation不正确地处理内存中的对象时，存在内存损坏漏洞。...攻击者可以采用多种方式利用此漏洞，例如，说服用户打开特制文档，或说服用户访问恶意网页。.../zh-cn/security-guidance 注：由于网络问题、计算机环境问题等原因，Windows Update的补丁更新可能出现失败。

    1K10

    【Python】已解决：json.decoder.JSONDecodeError: Expecting value: line 1 column 1 (char 0)

    已解决：json.decoder.JSONDecodeError: Expecting value: line 1 column 1 (char 0) 一、分析问题背景 在使用Python处理JSON...数据时，开发者可能会遇到json.decoder.JSONDecodeError: Expecting value: line 1 column 1 (char 0)的错误。...二、可能出错的原因 导致JSONDecodeError的原因有多种，常见的包括： 空文件：尝试解析一个空文件或空字符串时，会抛出该错误。...网络请求失败：从API获取数据时，可能因为网络问题返回空响应或HTML错误页面，而不是预期的JSON数据。 数据读取错误：读取文件或数据流时出现错误，导致读取内容为空或无效。...异常处理：使用try-except块捕获JSONDecodeError异常，并提供适当的错误处理机制。 验证响应内容：在处理网络请求时，验证响应的状态码和内容是否符合预期。

    4K10

    腾讯安全威胁情报中心推出2024年2月必修安全漏洞清单

    通过使用aiohttp，可以轻松实现高并发、高性能的Web应用程序和服务，同时保持代码简洁易读。...开发者在使用aiohttp实现Web服务的静态资源解析功能时，使用了不安全的参数“follow_symlinks“，这将导致服务存在目录遍历漏洞，攻击者可以利用此漏洞访问系统上的任意文件。...四、Microsoft Outlook 远程命令执行漏洞 概述： 腾讯安全近期监测到Microsoft 官方发布了关于Outlook的风险公告，漏洞编号为TVD-2024-4471 (CVE编号：CVE...https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-21413 五、Microsoft Exchange Server 权限提升漏洞...概述： 腾讯安全近期监测到Microsoft官方发布了关于Exchange的风险公告，漏洞编号为TVD-2024-4456 (CVE编号：CVE-2024-21410，CNNVD编号: CNNVD-202402

    44910

    邮箱安全服务专题 | Web漏洞是表象，代码容错不足是本质

    Web层面服务内容。...我们主要通过工具扫描的方式开展这项检测工作，在服务期间，通常使用安恒信息的明鉴Web应用弱点扫描器开展，明鉴Web应用弱点扫描器（MatriXay）是安恒信息在深入分析研究B/S典型应用架构中常见安全漏洞以及流行的攻击技术基础上...该项服务产品支持OWASP TOP 10等主流安全漏洞的自动检测，同时对各种挂马方式的网页木马如iframe、CSS、JS、SWF、ActiveX等，进行全自动、高性能、智能化分析，并对网页木马传播的病毒类型做出准确剖析和网页木马宿主做出精确定位.../mail/sendmail.inc任意代码执行漏洞(CVE-2016-9920) CVE-2015-0824 Mozilla Firefox拒绝服务漏洞(CVE-2015-0824) CVE-2014...Microsoft Windows SMTP服务可预测DNS查询ID漏洞（MS10-024）

    1.2K80

    windows远程桌面函数无效和RDS报错的典型案例分析

    解决办法： 微软给出的解决方案： https://support.microsoft.com/zh-cn/help/4093492/credssp-updates-for-cve-2018-0886-march...相关的 Microsoft 知识库编号已在 CVE-2018-0886 中列出。 注意： 对加密 Oracle 修正的任何更改都需要重启。 ? 二、RDS组件造成无法远程 报错现象如图： ?...具体分析： 这主要是因为安装了RDS后，RDS会生成6个角色服务： 1、远程桌面Web访问：RD Web Access 远程桌面 Web 访问（RD Web 访问）允许用户通过运行 Windows的计算机上的...“开始”菜单或通过网页浏览器访问 RemoteApp 和桌面连接。...所以，在没有正确配置相关授权的时候，会导致远程桌面无法连接，并出现上述错误提示。

    6.8K11
    点击加载更多

    扫码

    添加站长 进交流群

    领取专属 10元无门槛券

    手把手带您无忧上云

    扫码加入开发者社群

    相关资讯

    热门标签

    更多标签

    活动推荐

      运营活动

      活动名称
      广告关闭

      腾讯云开发者

      扫码关注腾讯云开发者

      扫码关注腾讯云开发者

      领取腾讯云代金券

      热门产品

      热门推荐

      更多推荐

      Copyright © 2013 - 2025 Tencent Cloud. All Rights Reserved. 腾讯云 版权所有

      深圳市腾讯计算机系统有限公司 ICP备案/许可证号：粤B2-20090059 深公网安备号 44030502008569

      腾讯云计算（北京）有限责任公司 京ICP证150476号 | 京ICP备11018762号 | 京公网安备号11010802020287

      领券