漏洞
未读
CVE-2024-36401 JDK 11-22 通杀内存马
BCEL 的尝试 在分析的过程中，发现 lib 中存在 BCEL 的 ClassLoader。 但是在调试 BCEL 表达式注入的过程中发现，简单的命令执行的 BCEL 表达式都无法执行。在调试之后发现，BCEL 表达式执行过程中 createClass 一定会报错，导致无法返回 clazz，也就无
漏洞
未读
CVE-2024-3833 Chrome沙盒RCE
在这篇文章中，我将利用Chrome的JavaScript引擎v8中的一个对象损坏漏洞CVE-2024-3833，这是我在2024年3月报告的漏洞331383939。还有一个类似的漏洞331358160，也被报告并被分配了CVE-2024-3832。这两个漏洞都在版本124.0.6367.60/.61
Active Directory漏洞利用技术命令
LOLAD和 Exploitation项目提供了全面的 Active Directory 技术、命令和功能集合，可用于本地支持攻击性安全操作和红队演习。这些技术利用 AD 的内置工具进行侦察、特权升级和横向移动等策略。了解这些方法有助于防御者加强 AD 配置并提高监控能力。
XML 基础知识 && XXE 漏洞原理解析及实验
XML 介绍 XXE全称XML外部实体注入，所以在介绍XXE漏洞之前，先来说一说什么是XML以及为什么使用XML进而再介绍一下XML的结构。 XML全称 可拓展标记语言，与HTML相互配合后： HMTL用来显示数据
Fastjson漏洞利用姿势技巧集合 | Fastjson payload
Fastjson姿势技巧集合,Fastjson poc,Fastjson exp, Fastjson payload 说明 本项目涉及的一些姿势和payload是从之前的随手记的笔记直接粘进来的，很多找不到出处了所以来源未贴出来，望师傅们见谅。 高版本的很多细节还有待更新。 浅蓝Kcon议题内容由@
漏洞
未读
【PoC】Apple iOS 中严重符号链接漏洞CVE-2024-44258
概述 CVE-2024-44258 代表苹果设备中 ManagedConfiguration框架 和 profiled守护程序 的一个符号链接漏洞。在还原一个经过精心设计的备份时，迁移过程未验证目标文件夹是否为符号链接（symlink），导致未经授权的文件迁移到受限区域。 CVE ID 此问题已分配
漏洞
未读
Citrix Virtual Apps & Desktops RCE 漏洞
安全研究人员披露Citrix虚拟应用和桌面系统存在新漏洞，可被黑客利用实现无需身份验证的远程代码执行（RCE） 据watchTowr实验室发现，这个漏洞存在于会话录制组件中。该组件允许系统管理员捕获用户活动，记录键盘和鼠标输入，以及桌面视频流，用于审计、合规和故障排查。 安全研究员辛纳·凯尔哈尔指出
漏洞
未读
关于超高危漏洞"狂躁许可"的一些信息
近期，微软披露最新的远程代码执行超高危漏洞CVE-2024-38077， CVSS评分高达9.8 ，可导致开启了远程桌面许可服务的Windwos服务器完全沦陷。漏洞影响Windows Server 2000到Windows Server 2025所有版本，已存在近30年。该漏洞可稳定利用、可远控、可
漏洞
未读
GitLab CVE-2024-45409漏洞
一、漏洞描述 CVE-2024-45409 漏洞是由 Ruby SAML 库引起的。Ruby SAML 库是用于实现 SAML 授权的客户端。12.2 及以下的所有版本、1.13.0 到 1.16.0 之间的 Ruby-SAML 版本都受此影响。这些版本不能够正确验证 SAML 响应的签名。因此，具
漏洞
未读
Fastjson反序列化漏洞深度分析
概述 Fastjson是阿里巴巴的⼀个开源Java库，提供了Java对象与Json相互转换的API toJSONString()方法：将Json对象转换成Json字符串； parseObject()方法：将Json字符串转换成Json对象； pase()方法：将Json字符串转换为Json对象
漏洞
未读
【0day】某云HKMP智慧商业软件存在逻辑缺陷漏洞
漏洞简介 某和正信息技术有限公司，成立于2010年，位于山东省青岛市，是一家以从事软件和信息技术服务业为主的企业。某云HKMP智慧商业软件存在任意用户添加漏洞 资产详情 body="金斗云 HKMP" 漏洞复现
漏洞
未读
反序列化漏洞学习指南
分类 反序列化漏洞，就是在将一段特定格式的数据流反序列化为特定数据结构或对象时，由于处理不当，而造成的安全漏洞。 特定格式的数据流？那都有哪些格式呢？按照不同的数据流类型，将Java反序列化漏洞分为以下四类： 二进制流反序列化漏洞
漏洞
未读
Tomcat弱口令&war远程部署漏洞
一、漏洞原理介绍 Tomcat弱口令&WAR远程部署漏洞的原理主要涉及Tomcat服务器的默认密码设置不当和WAR文件远程部署功能的潜在安全风险。 首先，关于Tomcat弱口令漏洞，Tomcat在默认情况下可能使用简单的密码（如“tomcat/tomcat”）作为进入后台管理的凭证。如果管理员没有修
漏洞
未读
某HCM智能人力资源系统存在SQL注入漏洞导致Getshell
漏洞简介 某HCM智能人力资源系统帮助大型企业解决跨地域、多层次集团发展过程中面临的人力资源管控、协调性、资源共享等问题，内置强大的工作流引擎驱动各大复杂的人力资源业务流程其实 并实现快速构建的业务模块而无须开发。结合大型企业对人才选、育、用、留的特点，本系统丰富并完善了招聘、培训、绩效、薪酬、能力