记录黑客技术中优秀的内容,传播黑客文化,分享黑客技术精华

四年来首次更新:OWASP Top 10漏洞排名

#OWASP 1 个内容 #CWE 3 个内容 #漏洞 4 个内容 最新排名中,访问控制失效(Broken Access Control)从第五位上升到了第一位。非营利基金会开放Web应用安全项目(OWASP)发布了其2021年Top 10漏洞排名更新(初版),自2017年11月以来首次做出变更。新列表凸显出明显的变化,包括访问控制失效的急速蹿升——从第五位升至第一位。该组织宣称,对94%的应用执行了某种形式的访问控制失效测试,“映射到访问控制失效的34个CWE在应用中的出现率高于其他任何类别。
发布时间:2021-09-17 00:31 | 阅读:171 | 评论:0 | 标签:漏洞 OWASP

【漏洞通告】 Windows win32k本地提权漏洞 CVE-2021-38639

漏洞名称 : Windows win32k本地提权漏洞 CVE-2021-38639组件名称 : win32kfull.sys、win32kbase.sys、win32k.sys影响范围 :Windows 10 Version 1607/1809/1909/2004
发布时间:2021-09-16 21:49 | 阅读:443 | 评论:0 | 标签:提权 漏洞 CVE windows

【漏洞预警】微软9月漏洞补丁日修复多个高危漏洞

1. 通告信息近日,安识科技A-Team团队监测到一则微软9月漏洞补丁日修复多个高危漏洞的信息,当前官方已发布受影响的补丁。对此,安识科技建议广大用户及时升级到安全版本,并做好资产自查以及预防工作,以免遭受黑客攻击。 2. 漏洞概述CVE-2021-38647 - Open Management Infrastructure 远程代码执行漏洞简述:某些 Azure 产品(例如 Configuration Management)暴露了一个监听 OMI 的 HTTP/S 端口(通常是端口 5986 )。
发布时间:2021-09-16 19:07 | 阅读:576 | 评论:0 | 标签:漏洞 微软

渗透测试与漏洞扫描有什么区别?

前几天,小A去一家网络安全公司面试。面试官问他:小伙子,你说一说渗透测试与漏洞扫描有什么区别?作为小白新手的小A有点丈二和尚摸不着头脑,心想,这两者之间有区别吗?不都是发现漏洞、利用漏洞、拿服务器webshell、提权、内网渗透、权限维持这些工作吗?但如果这样回答面试官的提问,多半都会与小A的结果差不多——面试失败。那么渗透测试与漏洞扫描这两者之间究竟有什么区别呢?我们从以下几点进行分析说明。概念渗透测试并没有一个标准的定义。国外一些安全组织达成共识的通用说法是:通过模拟恶意黑客的攻击方法,来评估计算机网络系统安全的一种评估方法。
发布时间:2021-09-16 19:07 | 阅读:632 | 评论:0 | 标签:扫描 漏洞 渗透

平安外部漏洞/情报处理规则5.1

编写人平安安全应急响应中心(PSRC)版本号V5.1最后更新时间2021-09-16适用范围适用于PSRC平台(security.pingan.com)所收到的漏洞/情报修订记录V1.0  20
发布时间:2021-09-16 19:07 | 阅读:550 | 评论:0 | 标签:漏洞 情报

微软在 Linux 虚拟机偷偷安装Azure App,后修复严重漏洞但Linux虚拟机难以修复

#漏洞技术分析 31 个内容 #供应链安全 52 个内容  聚焦源代码安全,网罗国内外最新资讯!专栏·供应链安全数字化时代,软件无处不在。软件如同社会中的“虚拟人”,已经成为支撑社会正常运转的最基本元素之一,软件的安全性问题也正在成为当今社会的根本性、基础性问题。随着软件产业的快速发展,软件供应链也越发复杂多元,复杂的软件供应链会引入一系列的安全问题,导致信息系统的整体安全防护难度越来越大。近年来,针对软件供应链的安全攻击事件一直呈快速增长态势,造成的危害也越来越严重。为此,我们推出“供应链安全”栏目。
发布时间:2021-09-16 16:28 | 阅读:1539 | 评论:0 | 标签:漏洞 linux app 微软

9 月补丁星期二活动:微软共计修复 66 处系统漏洞和 20 处 Chromium 漏洞

在 9 月的补丁星期二活动日中,微软共计修复了 66 处系统漏洞和 20 处 Microsoft Edge 中的 Chromium 安全漏洞。受影响的产品包括。Azure、Edge(Android、Chromium 和 iOS)、Office、SharePoint Server、Windows、Windows DNS 和 Windows Subsystem for Linux。 在修复的这些漏洞中,其中 3 个被评为“critical”(关键)、1 个被评为“moderate”(中等),其余的被评为“important”(重要)。
发布时间:2021-09-16 16:20 | 阅读:1025 | 评论:0 | 标签:漏洞 Chromium漏洞 微软 系统漏洞

微软9月安全更新多个产品高危漏洞通告

阅读:10一、漏洞概述9月15日,绿盟科技CERT监测到微软发布9月安全更新补丁,修复了86个安全问题,涉及Windows、Microsoft Office、Microsoft Visual Studio、Azure等广泛使用的产品,其中包括权限提升、远程代码执行等高危漏洞类型。本月微软月度更新修复的漏洞中,严重程度为关键(Critical)的漏洞有3个,重要(Important)漏洞有62个,中等(Moderate)漏洞有1个,其中还包括9月初修复的20个Microsoft Edge (Chromium)漏洞。
发布时间:2021-09-16 12:07 | 阅读:1697 | 评论:0 | 标签:威胁通告 微软 漏洞 安全

开放管理基础设施(OMI)多个高危漏洞通告

阅读:12一、漏洞概述9月15日,绿盟科技CERT监测到微软发布9月安全更新补丁,修复了86个安全问题,其中包括Open Management Infrastructure中的几个高危漏洞,某些 Azure 产品(例如 Configuration Management),当开放了侦听 OMI 的 HTTP/S 端口(默认为5986)时,受下列漏洞影响。
发布时间:2021-09-16 12:07 | 阅读:999 | 评论:0 | 标签:威胁通告 OMI 漏洞

Web 文件管理器elFinder 的漏洞链分析

应用程序与文件系统的交互始终是高度安全敏感的,因为较小的功能漏洞很容易成为可利用漏洞的来源。这种观察在web文件管理器的情况下尤其正确,其作用是复制完整文件系统的功能并以透明的方式将其公开给客户端的浏览器。elFinder 是一种流行的 Web 文件管理器,常用于 CMS 和框架,例如 WordPress 插件 (wp-file-manager) 或 Symfony 包,以允许对本地和远程文件进行简单操作。在过去,elFinder一直是针对不安全配置或实际代码漏洞的活跃攻击的一部分。因此,elFinder的发布带有一个安全的默认配置,以防止攻击者进行任何恶意使用。
发布时间:2021-09-16 11:50 | 阅读:740 | 评论:0 | 标签:漏洞 分析

微软发布针对主动利用的 Windows 零日漏洞的补丁

在苹果和谷歌推送紧急安全更新之后的第二天,微软亦推送了9月的“星期二补丁”,用以修复威胁window及组件的66处漏洞,包括Azure, Office, BitLocker, and Visual Studio等,其中包括一个于上周曝光的 MSHTML 平台中积极利用零日漏洞。在这66个漏洞中,3个被评为“critical”(关键)、1 个被评为“moderate”(中等),其余均被评为“important”(重要)。这些不包括该公司自本月初以来解决的基于 Chromium 的 Microsoft Edge 浏览器中的20个漏洞。
发布时间:2021-09-16 11:43 | 阅读:844 | 评论:0 | 标签:漏洞 windows 微软

严重的ThroughTek SDK漏洞可让黑客监视数百万个物联网设备

远程攻击者可以利用关键漏洞窃听实时音频和视频或控制。漏洞存在于ThrowTek的 Kalay网络中,该网络用于8300万台设备。安全研究人员发现了一个影响数以千万计的物联网 (IoT)设备的严重漏洞——该漏洞将实时视频和音频流暴露给窃听威胁者,并使攻击者能够控制设备,包括安全网络摄像头和连接的婴儿监视器。该漏洞被追踪为CVE-2021-28372和FEYE-2021-0020,并被分配了关键的CVSS3.1基础评分9.6分,该漏洞是在通过ThroughTek的KalayIoT云平台连接的设备中发现的。
发布时间:2021-09-16 03:00 | 阅读:1979 | 评论:0 | 标签:漏洞 黑客 物联网

2021-09 补丁日: 微软多个漏洞安全更新通告

#360CERT漏洞预警通告 146个内容 赶紧点击上方话题进行订阅吧!报告编号:B6-2021-091501报告来源:360CERT报告作者:360CERT更新日期:2021-09-151 事件简述2021年09月15日,微软发布了9月份安全更新,事件等级:严重,事件评分:9.8。此次安全更新发布了66个漏洞的补丁,主要覆盖了以下组件:Windows操作系统、Azure、Edge、Office、BitLocker等。其中包含3个严重漏洞,62个高危漏洞。对此,360CERT建议广大用户好资产自查以及预防工作,以免遭受黑客攻击。
发布时间:2021-09-15 21:48 | 阅读:2697 | 评论:0 | 标签:漏洞 安全 微软

微软9月累积更新,修复66个CVE漏洞

编辑:左右里9月14日,微软如期发布了本月的累积更新,涉及到Windows操作系统、Azure、Edge、Office、BitLocker等多个组件,共修复了66个CVE漏洞,其中包括3个“高危”漏洞和62个“严重”漏洞。上次提到的Microsoft MSHTML远程代码执行漏洞(CVE-2021-40444)也在本次更新中得到了修复。 以下是本次更新修复的另外几个值得关注的漏洞: CVE-2021-38647:CVSS分数9.8,这是9月累积更新中评分最高的漏洞。
发布时间:2021-09-15 21:48 | 阅读:2030 | 评论:0 | 标签:漏洞 CVE 微软

【安全更新】微软9月安全更新多个产品高危漏洞通告

通告编号:NS-2021-00402021-09-15TAG:安全更新、Windows、Office、Edge、Visuajl Studio漏洞危害:攻击者利用本次安全更新中的漏洞,可造成信息泄露、权限提升、远程代码执行等。版本:1.01漏洞概述9月15日,绿盟科技CERT监测到微软发布9月安全更新补丁,修复了86个安全问题,涉及Windows、Microsoft Office、Microsoft Visual Studio、Azure等广泛使用的产品,其中包括权限提升、远程代码执行等高危漏洞类型。
发布时间:2021-09-15 21:48 | 阅读:2096 | 评论:0 | 标签:漏洞 安全 微软

烽火狼烟丨Microsoft多个安全漏洞风险提示

01漏洞概述WebRAY安全服务部于2021年9月15日监测到Microsoft发布的9月份安全更新,本次更新共发布86个CVE的漏洞补丁,包含Microsoft Windows和Windows组件、Microsoft Edge(Chromium、iOS和Android)、Azure、Office和Office组件、SharePoint Server、Microsoft Windows DNS和适用于Linux的Windows子系统等软件的安全更新。
发布时间:2021-09-15 19:06 | 阅读:2604 | 评论:0 | 标签:漏洞 安全

黑客绕过防火墙利用Citrix漏洞入侵美国人口普查局

美国人口普查局(US Census Bureau)的服务器于2020年1月11日被黑客入侵,此前黑客利用了CitrixADC零日漏洞(zero-day),但该漏洞未打补丁。“这些服务器的目的是向该局提供远程访问能力,使其企业工作人员能够访问生产、开发和实验室网络。据系统人员称,这些服务器无法接入2020年十年一次的人口普查网络。”“在对远程访问服务器的攻击期间,该局的防火墙早在2020年1月13日就阻止了攻击者试图从远程访问服务器与其指挥和控制基础设施进行通信。“然而,直到2周多后的2020年1月28日,该局才知道服务器被入侵。
发布时间:2021-09-15 16:15 | 阅读:2352 | 评论:0 | 标签:防火墙 漏洞 入侵 黑客 美国

Windows RDP协议 Fuzzing 漏洞挖掘研究

0x01 基本介绍本文描述了我在Fuzzing Windows RDP 客户端和服务端方面所做的一些尝试和挑战,以及Crsahs分析。Microsoft 的远程桌面协议 (RDP) 持续受到安全社区的关注。从 2019 年发现的几个可能危及数百万面向互联网的服务端的关键漏洞,到RDP 被攻击者用作主要的初始访问向量之一。我对这个目标最初的兴趣是与 VM 相关的。因为连接到 Azure Windows 机器或 Hyper-V 虚拟机的默认方式是 RDP,所以我认为 RDP 是比较重要的目标。
发布时间:2021-09-15 14:28 | 阅读:2296 | 评论:0 | 标签:漏洞 windows

惠普游戏本曝内核级漏洞,影响全球数百万台计算机

HP OMEN 驱动程序软件中存在一个严重漏洞,该漏洞影响全球数百万台游戏计算机。该漏洞被命名为CVE-2021-3437(CVSS 评分:7.8),可能允许威胁行为者在不需要管理员权限的情况下将权限提升到内核模式,从而进行禁用安全产品、覆盖系统组件,甚至破坏操作系统的操作。今年2月17日,网络安全公司 SentinelOne 发现并向惠普报告了这一漏洞,不过当时暂未发现在野利用的证据。漏洞源于一个名为OMEN Command Center的组件,该组件预装在HP OMEN品牌的笔记本电脑和台式机上,也可以从Microsoft Store下载。
发布时间:2021-09-15 14:22 | 阅读:1629 | 评论:0 | 标签:漏洞

谷歌因滥用安卓的市场主导地位被韩国罚款2070亿韩元;Microsoft发布9月份星期二补丁,总计修复86个漏洞

#攻击事件 ,42 #安全简讯 ,96 #分析报告 ,54 #勒索软件 ,42 维他命安全简讯15星期三2021年09月【安全播报】谷歌因滥用安卓的市场主导地位被韩国罚款2070亿?
发布时间:2021-09-15 13:47 | 阅读:2510 | 评论:0 | 标签:漏洞

CVE-2021-40444 MSHTML组件漏洞|附:实现过程

#漏洞 ,6个 漏洞说明CVE-2021-40444 微软发布MSHTML组件漏洞危害:未经身份验证的攻击者可以利用该漏洞在目标系统上执行代 1Windows Server, versio
发布时间:2021-09-15 13:46 | 阅读:2309 | 评论:0 | 标签:漏洞 CVE

Linux提权漏洞利用兼容性适配:向下兼容centos 7.9

robots 作者:维阵漏洞研究员—km1ng一、漏洞简介1.1 Linux Kernel Heap Buffer Overflow2021年三月,Linux内核5.11.3发布版本发现了一个名为Linux Kernel Heap Buffer Overflow的漏洞,CVE编号为2021-27365。1.2 关于SCSI本文中涉及的子系统为SCSI(Small Computer System Interface,小型计算机系统接口)数据传输系统,它是为连接计算机与外围设备而制定的数据传输标准。
发布时间:2021-09-15 11:40 | 阅读:2556 | 评论:0 | 标签:提权 漏洞 linux

2021-09 补丁日:微软多个漏洞安全更新通告

robots 0x01   事件简述2021年09月15日,微软发布了9月份安全更新,事件等级:严重,事件评分:9.8。此次安全更新发布了66个漏洞的补丁,主要覆盖了以下组件:Windows操作系统、Azure、Edge、Office、BitLocker等。其中包含3个严重漏洞,62个高危漏洞。对此,360CERT建议广大用户好资产自查以及预防工作,以免遭受黑客攻击。
发布时间:2021-09-15 11:40 | 阅读:4643 | 评论:0 | 标签:漏洞 安全 微软

〖EXP〗Ladon CVE-2021-40444 Office漏洞复现

=============================================================================================+++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++ 漏洞概述?
发布时间:2021-09-15 03:29 | 阅读:3115 | 评论:0 | 标签:exp 漏洞 CVE

黑莓QNX嵌入式操作系统内存漏洞使设备受到攻击 影响数百万汽车、医疗设备

黑莓QNX实时操作系统(RTOS)的老版本存在一个重大漏洞,可能会让恶意行为者削弱并控制各种产品,包括汽车、医疗和工业设备。该缺陷(CVE-2021-22156,CVSS评分:9.0)是更广泛的缺陷集合的一部分,统称为BadAlloc,最初是由微软在2021年4月披露的,它可能会打开许多这些设备的后门,允许攻击者占领它们或扰乱它们的操作。美国网络安全和基础设施安全局(CISA)在周二的公告中表示:威胁行为者可以通过利用与黑莓QNX 操作系统 (OS) 相关的所谓 BadAlloc漏洞来接管或对设备和关键基础设施发起拒绝服务攻击。截至目前,没有证据表明该漏洞被积极利用。
发布时间:2021-09-15 02:55 | 阅读:2570 | 评论:0 | 标签:漏洞 攻击 内存

腾讯云防火墙、云WAF成功防御MimuMiner挖矿木马利用Confluence RCE漏洞的攻击

#挖矿木马 ,30 #僵尸网络 ,20 长按二维码关注腾讯安全威胁情报中心一、概述8月26日,Atlassian官方发布公告,披露了一个Atlassian Confluence远程代码执行漏洞(CVE-2021-26084),攻击者利用漏洞可完全控制服务器。8月31日晚,腾讯云原生安全漏洞检测响应平台通过主机安全(云镜)检测到首个利用该漏洞的在野攻击案例,之后陆续发现至少7个已知网络黑产团伙在利用该漏洞发起的攻击行动。
发布时间:2021-09-14 21:44 | 阅读:3274 | 评论:0 | 标签:防火墙 漏洞 防御 WAF 攻击 木马 腾讯 RCE

【漏洞学习】FTP后门漏洞复现(含有漏洞的vsftpd2.3.4)

网安教育培养网络安全人才技术交流、学习咨询FTP后门漏洞复现01漏洞简述vsftpd-2.3.4 手工触发漏洞:当进行FTP认证时,如果用户名USER中包含:),那么直接就触发监听6200端口的连接的shell。
发布时间:2021-09-14 19:04 | 阅读:2666 | 评论:0 | 标签:后门 漏洞 学习

Adobe ColdFusion 反序列化漏洞复现踩坑

Adobe ColdFusion是美国Adobe公司的一款动态Web服务器产品,其运行的CFML(ColdFusion Markup Language)是针对Web应用的一种程序设计语言。Adobe ColdFusion中存在java反序列化漏洞。攻击者可利用该漏洞在受影响应用程序的上下文中执行任意代码或造成拒绝服务。以下版本受到影响:Adobe ColdFusion (2016 release) Update 3及之前的版本,ColdFusion 11 Update 11及之前的版本,ColdFusion 10 Update 22及之前的版本。
发布时间:2021-09-14 13:45 | 阅读:2662 | 评论:0 | 标签:漏洞 序列化

苹果设备零日漏洞威胁持续高发,今年已发生近十起针对性攻击事件

本周一,苹果紧急修复遭间谍软件滥用的iOS零日漏洞;今年以来,全球已披露近10起针对苹果设备的针对性攻击事件,其中涉及约20个相关零日漏洞。周一,苹果公司发布紧急安全更新修复两个零日漏洞,此前曾出现多起利用这些漏洞攻击iPhone及Mac设备的事件。安全人员发现,有攻击者利用其中一个漏洞在iPhone上安装Pegasus间谍软件。两个安全漏洞的编号分别为CVE-2021-30860、CVE-2021-30858,攻击者能够借此在易受攻击的设备上打开精心设计的恶意文档并执行相应命令。
发布时间:2021-09-14 13:38 | 阅读:3518 | 评论:0 | 标签:漏洞 攻击

Facebook账户接管漏洞

#facebook ,1 #漏洞 ,23 #网站安全 ,35 #Web安全 ,17 #渗透测试 ,45 在漏洞挖掘方面,我更喜欢apps而不是web。我下载了一堆不同版本的FB和Messenger APK,收集了所有的端点,对它们进行了分类并进行了检查。在这个过程中,我遇到了一个有趣的端点,名为:POST auth/flashcall_account_recovery该端点需要3个参数cuid, encrypted_phone_numbers & cliCUID基本上意味着加密的电子邮件/电话,很容易找到。
发布时间:2021-09-14 00:32 | 阅读:3248 | 评论:0 | 标签:漏洞

公告

永久免费持续更新精选优质黑客技术文章Hackdig,帮你成为掌握黑客技术的英雄

求赞助求支持💖

标签云