记录黑客技术中优秀的内容,传播黑客文化,分享黑客技术精华

1月27日每日安全热点 - 针对安全人员钓鱼攻击被认为是朝鲜黑客所为

Inspired by 360CERT漏洞 Vulnerability最新SUDO漏洞可被利用提权https://www.qualys.com/2021/01/26/cve-2021-3156/baron-samedit-heap-based-overflow-sudo.txt Google修复Golang RCE漏洞https:
发布时间:2021-01-27 11:48 | 阅读:344 | 评论:0 | 标签:攻击 黑客 安全 钓鱼

Java安全之ysoserial-JRMP模块分析(一)

 0x00 前言在分析到Weblogic后面的一些绕过方式的时候,分析到一半需要用到ysoserial-JRMP该模块。不止是Weblogic的反序列化漏洞会利用到,其他的反序列化漏洞也会利用到,所以在此对该模块做一个分析。了解底层原理,一劳永逸。但看到网上分析文章偏少,如有分析错误望师傅们指出。概述在这里简单来讲讲JRMP协议相关内容,JRMP是一个Java远程方法协议,该协议基于TCP/IP之上,RMI协议之下。也就是说RMI该协议传递时底层使用的是JRMP协议,而JRMP底层则是基于TCP传递。RMI默认使用的JRMP进行传递数据,并且JRMP协议只能作用于RMI协议。
发布时间:2021-01-27 11:48 | 阅读:157 | 评论:0 | 标签:java 安全

美军网络安全:用零信任替代中间层安全?

文/柯善学DOT&E(作战试验和鉴定主任,TheDirector,OperationalTest&Evaluation)是美军试验和鉴定领域的最高主管,由总统任命,其报告直接提交给国防部长和国会。每年一度的DOT&E年度报告,是非常重量级的国防部报告。笔者一直关注其每年对JRSS(联合区域安全栈)项目的评估结论。JRSS(联合区域安全栈)是美国国防部联合信息环境(JIE)的最重要的创新之举,是一种标准化的中间层安全设备。既备受颂扬,又屡遭指责,争议不断。自2017年被列入DOT&E年度报告以来,几乎每年都遭到批评。
发布时间:2021-01-27 11:08 | 阅读:534 | 评论:0 | 标签:网络安全 安全

美国东海岸大范围断网,影响谷歌、亚马逊等公司服务

美国宽带提供商Verizon凤凰网科技讯 北京时间1月27日消息,当地时间周二,美国东海岸数以千计的用户面临Verizon通信等宽带网络提供商出现的大范围互联网中断问题,破坏了谷歌、亚马逊、Zoom以及其他公司提供的在线服务。作为美国主要宽带服务提供商,Verizon已经就布鲁克林的一条光纤断裂向用户发出了警报。Verizon发言人里克·杨(Rich Young)表示,公司已经获悉影响通过东北走廊所提供宽带服务的质量问题。他补充称,Verizon已经看到“服务水平开始恢复”。与此同时,美国联邦通信委员会(FCC)正在评估中断报告。
发布时间:2021-01-27 11:08 | 阅读:462 | 评论:0 | 标签:无

ENISA报告:欧洲铁路的7大网络安全挑战

E安全1月27日讯 铁路是欧盟经济发展的关键,铁路的存在使货物和旅客能够便捷地在国内和欧盟境内跨境运输。ENISA近日的《铁路网络安全》报告分析了在每个欧洲成员国在执行NIS指令的背景下,欧洲铁路部门网络安全措施的实施水平。该研究报告提供了一个完整的基本铁路服务清单,并对其支持的铁路系统进行了详细的概述。最后,介绍了欧洲铁路交通管理系统以及一些关键的网络安全挑战和建议。
发布时间:2021-01-27 11:08 | 阅读:508 | 评论:0 | 标签:网络安全 安全

特斯拉工程师窃取特斯拉全部运营自动化代码

近日特斯拉已向北加州美国地方法院提起诉讼,指控特斯拉聘请的系统工程师亚历克斯·哈蒂洛夫(Alex Khatilov)窃取了整个公司运营的专有自动化软件。在特斯拉的信息安全人员得知哈蒂洛夫先生不当地转移了2600个特斯拉业务自动化脚本后,特斯拉提起了诉讼。据称被盗的数据包含特斯拉的许多自动化流程,从订购零件到交付车辆的整个制造流程都在此流程上运行。特斯拉声称被盗的最重要的脚本包括“QualityAssurance流程”,可无需人工即可运行广泛的业务功能,包括采购、物料计划和处理、应付账款等。据特斯拉称,窃取的数据包括特斯拉的整个自动化服务,这些服务代码是12年(约200人年)的工作成果。
发布时间:2021-01-27 11:08 | 阅读:529 | 评论:0 | 标签:自动化 自动

今日威胁情报2021/1/25-26(第342期)

收录于话题 TI.360.CN高级威胁分析1、Google TAG发布朝鲜网络攻击组织对定向攻击网络安全人员,思路社工手段:聊天聊天啊聊天,建立感情后,帮忙分析?
发布时间:2021-01-27 00:57 | 阅读:3873 | 评论:0 | 标签:情报 威胁情报

浅谈流量放大攻击

收录于话题 前言:最近看到一篇news说有人通过WindowsRDP的UDP放大流量,从而进行ddos攻击。于是好奇心的驱使下了解了一波,本文本次只讲述最基础的原理,不涉及协议本身。1.流量放大攻击流量放大攻击从字面上很好理解,流量被放大了,被用于攻击。那如何攻击放大流量?又该如何攻击呢?我们这里就来唠一唠。1.1正常访问流量连接总所周知,我们想在网上要跟对方交互首先得建立连接,不管是还是TCP,UDP,ICMP连接一般是这样的。1.2流量重定向攻击要想进行流量放大攻击,攻击的首先是其他人,不能是自己。1.3流量放大流量放大,就是你发一个包给对方,对方能够成倍数的把包返回给你。
发布时间:2021-01-27 00:57 | 阅读:3911 | 评论:0 | 标签:攻击

信创产业:操作系统深度研究(PPT原文)

收录于话题 本文来源于:信创知识库  公众号注:文中报告节选自兴业证券经济与金融研究院已公开发布研究报告,具体报告内容及相关风险提示等详见完整版报告。
发布时间:2021-01-26 22:31 | 阅读:4944 | 评论:0 | 标签:无

年度盘点 | 2020重大网络安全事件 · 政府篇

收录于话题 #年度安全事件盘点 5个 导读2020 年,网络安全挑战再度升级,各行业数据泄露事件层出不穷。Risk Based Security(风险基础安全)数据显示,2020 年全球数据泄露总数高达 360 亿,达到历史新高。微步在线持续密切关注全球网络安全态势,并对 2020 年全球重大安全事件进行了梳理,精选出金融、能源、互联网、工控、政府、医疗、教育等行业的代表性事件,以及疫情相关的重大攻击事件,以便大家了解全球最新安全威胁,及时做好安全加固,防患于未然。2020 重大安全事件盘点将会按细分行业陆续发布,敬请持续关注。
发布时间:2021-01-26 22:23 | 阅读:4720 | 评论:0 | 标签:网络安全 安全

30人贩卖6亿个人信息获利800万 受害者遍布全国数十个省市

收录于话题 关键词个人信息这可能是迄今为止范围最大的个人信息贩卖案了。30 人利用境外聊天软件和区块链虚拟货币收付款,共贩卖个人信息 6 亿余条,涉及 10 多个省市,且贩卖信息中包含数据种类繁多,涉及姓名、身份证号、联系方式、家庭住址、银行流水等众多信息,获利 800 余万。此消息一出,网友们都不淡定了:我直呼好家伙,贩卖了几乎半个国家的个人信息,太可怕了。不用怀疑我也是其中之一。
发布时间:2021-01-26 22:23 | 阅读:5133 | 评论:0 | 标签:安全

直播公开课|OpenCV 图像处理入门——视频人物提取实战

收录于话题 这些年,你可能看过很多这样的新闻:“用 Python + OpenCV 把照片变成油画……”“Python + OpenCV 实现自动扫雷,挑战世界记录……”“Python + OpenCV 实现人脸识别、年龄识别、人脸融合……”“Python + OpenCV 实现自动驾驶……”这些新闻的背后,都来自「计算机视觉技术」。计算机视觉是一门致力于教会计算机” 看 “的科学,其目的是让计算机理解图片的内容。我们都知道,通过眼睛看世界对于一个视力正常的人来说,是一种与生俱来的本能,但是对于计算机来说,理解图片内容是非常困难的事情。
发布时间:2021-01-26 22:23 | 阅读:4399 | 评论:0 | 标签:无

智能网联汽车信息安全建设十大常见误区

数字化浪潮以来,装备制造业很早就已经开始对传统生产制造方式进行数字化改造。数字技术持续提升了生产效率及产品力,也让消费者感受到了更民主、舒适的驾乘体验。将视线展望到下一个十年——网络连接的丰富,多样性传感器的使用,终端算力的提升都将给产业的未来赋予无限可能。驾驶者和编程人员在迫不及待地将众多新技术引入车内,信息安全管理也在发生根本性的变化,汽车产品的风险控制属性除了主被动安全外,网络安全问题开始被越来越多被行业所提及和重视。过去的二十余年,汽车行业把大量的数字化技术应用在智能制造、协同工作、设计开发、销售及服务等方面,但是局限于可靠性、产业生态等原因,汽车产品自身的智能化进步速度始终有限。
发布时间:2021-01-26 20:24 | 阅读:5808 | 评论:0 | 标签:智能 安全

更适合文本分类的轻量级预训练模型

自 BERT 起,预训练语言模型沿着海量训练数据和庞大网络结构的方向在不断发展着。在12月落幕的 NeurIPS 2020 会议上,语言模型 GPT-3 荣膺最佳论文奖。OpenAI 的研究人员使用了多达 45TB 的文本数据来训练它的 1750 亿个参数。GPT-3 不仅仅是“变得更大”,它用“Few-Shot”学习替代了 FineTune,能够出色完成代码生成、领域问答、吉他谱曲等高难度的复合型 NLP 任务。
发布时间:2021-01-26 20:24 | 阅读:5174 | 评论:0 | 标签:无

致远OA 任意文件上传

老版本 POST /seeyon/pdfservlet HTTP/1.1 User-Agent: Mozilla/5.0 (Windows; U; Windows NT 5.1; zh-CN; rv:1.9) Gecko/20080705 Firefox/3.0 Kapiko/3.0 Accept: text/html,application/xhtml+xml,application
发布时间:2021-01-26 20:14 | 阅读:5000 | 评论:0 | 标签:无

docker代理配置 pull 加速

一、代理加速 这里是socket5 127.0.0.1:23333 然后burp 代理一下处理 [root@localhost ~]#mkdir -p /etc/systemd/system/docker.service.d [root@localhost ~]#vi /etc/systemd/system/docker.serv
发布时间:2021-01-26 20:14 | 阅读:5088 | 评论:0 | 标签:无

CVE-2021-2109 Weblogic Server远程代码执行漏洞复现

Docker 搭建环境 docker pull ismaleiva90/weblogic12 docker run -d -p 49163:7001 -p 49164:7002 -p 49165:5556 ismaleiva90/weblogic12:latest http://localhost:49163/console User: weblogic Pass: welcome1 访问weblogic 登陆进去。
发布时间:2021-01-26 20:14 | 阅读:5130 | 评论:0 | 标签:漏洞 CVE 远程 执行

SonicWall SSL-VPN 未授权RCE漏洞 复现

https://www.seebug.org/vuldb/ssvid-99110 https://darrenmartyn.ie/2021/01/24/visualdoor-sonicwall-ssl-vpn-exploit/ exp: # !/usr/bin/python import requests proxies = { "http": "http://127
发布时间:2021-01-26 20:14 | 阅读:5564 | 评论:0 | 标签:漏洞

阿里巴巴Canal信息泄露漏洞 复现

“Canal” +port:”8089″  默认账号 :admin/123456 GET /api/v1/canal/config/1/0 HTTP/1.1 Host:192.168.1.71:8089 Cache-Control: max-age=0 Upgrade-Insecu
发布时间:2021-01-26 20:14 | 阅读:5291 | 评论:0 | 标签:漏洞 泄露

基于burp的fuzz上传插件

收录于话题 一、背景之前在雷神众测公众号看到过关于burp插件开发的一些文章,感觉还是很方便实用,回来后的第一件事就是自己尝试一下,搞定这个插件。现在把自己在尝试过程中遇到的一些问题做简单整理如下。二、环境burpsuit官方支持用java、python、ruby开发扩展,这里选择利用Python。利用python开发依赖Jython,需要先下载 Standalone Jar,并在burp中配置python的环境变量。
发布时间:2021-01-26 19:49 | 阅读:5108 | 评论:0 | 标签:无

实习生招聘-山东安恒

收录于话题 公司:杭州安恒信息技术股份有限公司职位:实习生工作地点:山东岗位职责:1.负责安全服务项目实施工作,安全服务项目包含渗透测试?
发布时间:2021-01-26 19:49 | 阅读:5346 | 评论:0 | 标签:招聘

SSRF安全指北

收录于话题 文|腾讯蓝军 silence前言SSRF (Server-Side Request Forgery:服务器端请求伪造) 是一种由攻击者构造形成,由服务端发起请求的一个安全漏洞。SSRF是笔者比较喜欢的一个漏洞,因为它见证了攻防两端的对抗过程。本篇文章详细介绍了SSRF的原理,在不同语言中的危害及利用方式,常见的绕过手段,新的攻击手法以及修复方案。SSRF介绍SSRF是Server-side Request Forge的缩写,中文翻译为服务端请求伪造。产生的原因是由于服务端提供了从其他服务器应用获取数据的功能且没有对地址和协议等做过滤和限制。
发布时间:2021-01-26 19:49 | 阅读:4532 | 评论:0 | 标签:ssrf 安全

【漏洞预警】SAP Solution Manager EemAdmin 远程代码执行漏洞(CVE-2020-6207)

收录于话题 2021年1月25日,阿里云应急响应中心监控到国外安全研究人员披露了SAP Solution Manager EemAdmin 远程代码执行漏洞(CVE-2020-6207)利用脚本。01漏洞描述SAP Solution Manager是一套系统监控,能方便对企业进行技术相关与应用相关功能的监控。2020年SAP官方发布安全更新修复了位于UXMon中的一处远程代码执行漏洞(CVE-2020-6207)。
发布时间:2021-01-26 19:49 | 阅读:5563 | 评论:0 | 标签:漏洞 CVE 远程 执行

慢雾科技三周年啦!

收录于话题 2018 年 1 月 26 日,慢雾科技正式成立,转眼间,慢雾已经三岁啦!在过去的三年内,慢雾科技推出了 12 项区块链安全服务、6 款区块链安全产品,累计服务客户超:70+ 交易所、110+ 钱包、40+ 公链、800+ 智能合约,覆盖全球主要的十几个国家与地区。
发布时间:2021-01-26 19:49 | 阅读:5279 | 评论:0 | 标签:无

Weblogic T3/IIOP反序列化漏洞(XXE漏洞)分析

收录于话题 #weblogic 2 #T3/IIOP反序列化 2 #XXE 1 #反序列化 2 #卫兵实验室 10 Smi1e@卫兵实验室漏洞复现证明截图影响范围Oracle Weblogic Server 12.1.3.0, 12.2.1.3, 12.2.1.4漏洞分析com.tangosol.util.ExternalizableHelper#readXmlSerializable 会对反序列化读取到的 sXml 传入 (new SimpleParser()).parseXml 进行XML解析。
发布时间:2021-01-26 19:49 | 阅读:5361 | 评论:0 | 标签:漏洞 序列化

企业安全开发建设 | 软件开发流程是主线,管控需贯穿全生命周期

收录于话题 全文共3491字,阅读大约需要7分钟。Part 1开发安全现状及趋势分析当前部分企业已经充分认识到开发安全在整个软件生命周期的重要性,国家也正从重点行业着手逐步要求企业完善软件安全开发能力建设。这在宏观政策、市场现状、技术趋势三个方面均有所体现:宏观政策:网络安全法第三十三条规定,建设关键信息基础设施应当确保其具有支持业务稳定、持续运行的性能,并保证安全技术措施同步规划、同步建设、同步使用。这与应用开发安全理念完美契合,建设即合规。市场现状:2020年开发安全市场已经逐渐发展起来,这从企业自身对开发安全重要性的认识、企业客户增加开发安全预算投入、安全厂商持续涌入三个维度即可见一斑。
发布时间:2021-01-26 19:49 | 阅读:5543 | 评论:0 | 标签:安全

诸子云 | 2020评优:最佳项目候选展播及投票

收录于话题 诸子云,是由安在新媒体发起、组织并运营,以中国境内各行业各领域企业机构网络安全从业骨干为主体的纯民间社群组织。利用安在作为专业媒体的便利和优势,诸子云开展个人专访、主题征文、线上交流、线下沙龙、课题项目、调查报告等一系列社群活动,旨在为企业用户(甲方)一线工作者提供一个交流互助、影响传播和价值共享的平台。自2018年8月成立至今,诸子云先后在上海、北京、深圳、杭州、武汉、厦门、西南(成都+重庆)、厦门等地建立分会,认证会员近1500人。会员分布极其广泛,涉及超过80个不同的行业,其中尤以金融、互联网、制造和大型企业为众。
发布时间:2021-01-26 19:49 | 阅读:5464 | 评论:0 | 标签:

破壳行动 - Lazarus(APT-C-26)组织针对安全研究人员的定向攻击活动揭秘

收录于话题 #Lazarus 2个 概述Lazarus(APT-C-26)组织是一支来自于朝鲜半岛的APT组织,该组织长期对韩国、美国、中国、印度等国家进行渗透攻击,此外还对全球的金融机构进行攻击,堪称全球金融机构的最大威胁,该组织最早的攻击活动可以追溯到2007年。近年来,Lazarus(APT-C-26)组织的攻击目标由传统金融行业逐步转向数字货币市场,全球加密货币组织及相关机构都成为其众矢之的。
发布时间:2021-01-26 19:49 | 阅读:5505 | 评论:0 | 标签:apt 攻击 安全

不讲武德 | 朝鲜黑客打着安全研究的旗号社工安全研究人员

收录于话题 《伊索寓言》中,有一个“披着羊皮的狼”的故事。一只狼为了随心所欲地吃羊,披上了羊皮混进了羊圈。不过假的终究是假的,牧羊人最终还是发现了这只恶狼……时至今日,这样的故事还在上演。本周一,谷歌威胁分析小组发布博客称,他们发现了一个从 2020 年下半年持续至今的攻击活动。这个攻击的目标主要是各大公司、组织中从事漏洞研究和分析的安全研究员。
发布时间:2021-01-26 19:49 | 阅读:4833 | 评论:0 | 标签:黑客 安全

拜登政府将投入100亿美元建造美国网络安全梦之队

美国总统拜登新官上任三把火,准备筹建美国政府网络安全团队,将投入100亿美元构筑山姆大叔计算机网络防御堤坝。据报道,前美国国家安全局(NSA)和国家安全委员会官员Jen Easterly将出任国家网络总监(National Cyber Director),监管美国联邦政府的网络安全活动。Easterly是美国国防部网络司令部筹建团队成员之一,2006年在伊拉克服役,期间利用信号情报追踪目标,目前担任国际金融巨头摩根士丹利公司弹性主管。国家网络总监(NCD)是今年必定通过的军费预算中设立的全新职位。
发布时间:2021-01-26 19:42 | 阅读:5393 | 评论:0 | 标签:网络安全 安全

公告

❤人人都能成为掌握黑客技术的英雄⛄️

ADS

标签云

友情链接

微信扫一扫,快速掌握黑客技术⇩