WEB安全
简单粗暴的文件上传漏洞
SecJack
前言 文件上传漏洞可以说是日常渗透测试用得最多的一个漏洞，因为用它获得服务器权限最快最直接。但是想真正把这个漏洞利用好却不那么容易，其中有很多技巧，也有很多需要掌握的知识。俗话说，知己知彼方能百战不殆，因此想要研究怎么防护漏洞，就要…
ZLAB恶意软件分析报告：RANSOMWARE-AS-A-SERVICE平台
CSE CybSec ZLab恶意软件实验室的安全专家对黑暗网络上的主要Ransomware即服务平台进行了有趣的分析。 多年来，黑网的传播创造了新的非法商业模式。除了毒品和支付卡数据等典型的非法商品外，地下黑客还出现了其他服务，包…
利用/绕过PHP escapeshellarg / escapeshellcmd函数
介绍 TL; DR：如何利用/绕过/使用PHP escapeshellarg / escapeshellcmd函数。 我创建了这个简单的备忘单，因为GitList 0.6 Unauthenticated RCE，因此您可以轻松理解它…
基于JXWAF快速搭建钓鱼网站
一、前言 前段时间为了加强内部安全意识，需要进行钓鱼邮件演练，于是通过JXWAF快速搭建了一个钓鱼网站，发现效果不错，特此分享。 PS：本文仅用于技术讨论及分享，严禁用于非法用途 二、规则配置 首先假设攻击场景为获取公司内部OA账号…
黑客入侵加密企业所有服务器，嚣张留言勒索9.5比特币
0×1 概述 近日，腾讯御见威胁情报中心接到某公司反馈，公司里数台Windows服务器中了勒索病毒，电脑除了C盘，其他磁盘分区都被整个加密，公司业务已接近停摆。此外，该勒索病毒勒索索要的赎金高达9.5比特币（约40万人民币）。在实际…
Memcache UDP反射放大攻击技术分析
Memcache UDP 反射放大攻击（以下简称 Memcache DRDoS）在最近的一周里吸引了安全社区的较多注意。以下介绍我们对该类型攻击观察到的情况。 在PoC 2017 会议上的原始报告 Memcache DRDoS，由3…
【漏洞预警】Z-Blog程序存在高危0day漏洞
z-bolg 漏洞预警 简介: 该程序最早于2005年推出，经历多次版本升级，其拥有强大的功能，特性包括： 1.支持主题、插件等功能和配置，打造个性化博客； 2.zblogasp版本支持Access+MYSQL双数据库，可实现静态…
大规模 EvilTraffic 恶意广告活动感染数万 WordPress CMS 网站
CSE Cybsec 的恶意软件专家发现了一个大规模的恶意广告运动 EvilTraffic，利用数万个受感染的网站开展攻击。据悉，黑客在此次攻击活动中利用了一些 CMS 漏洞上传和执行用于通过广告创收的任意 PHP 页面。 研究人员…
2017 年 WordPress 插件和主题漏洞的统计数据
外媒 1 月 23 日消息，安全研究人员近期公布了 2017 年 WordPress 插件和主题漏洞的统计数据，这些数据来源于 ThreatPress 最新的 WordPress 漏洞数据库。据悉，目前 ThreatPress 正在…
PHP文件包含漏洞总结
0x00 前言 PHP文件包含漏洞的产生原因是在通过PHP的函数引入文件时，由于传入的文件名没有经过合理的校验，从而操作了预想之外的文件，就可能导致意外的文件泄露甚至恶意的代码注入。 最常见的就属于本地文件包含（Local File…