安全脉搏

25

文章

0

积分

0

收藏

0

关注

0

粉丝

至今.

2015-9-9
安全报告

PfSense命令注入漏洞分析 

0x00 导言 在本文中,我们将向大家介绍在PfSense的2.1.3以及更低版本中的CVE-2014-4688漏洞;对于更高的版本来说,pfSense已经修复了这个漏洞。 0x01 Diag_dns…

2015-9-9
代码审计

Disucz 插件漏洞挖掘手册 

  Disucz 插件漏洞挖掘手册 基本函数的了解 基本变量的了解 插件的调用方法 学习几个小例子   1.基本函数的了解 在Discuz中存在如下几个重要的函数 <?php…

2015-8-23
Web安全

WordPress4.2.3提权与SQL注入漏洞(CVE-2015-5623)分析 

这是这几天一直关注的漏洞了,wordpress上个礼拜发布的4.2.4版本,其中提到修补了可能存在的SQL漏洞和多个XSS。 Check point也很快发出了分析,我也来分析与复现一下最新的这个漏洞…

2015-8-17
Web安全

JS敏感信息泄露:不容忽视的WEB漏洞 

0x00 前言 这段时间jsonp漏洞再一次证明了一个微小的漏洞,经过攻击者的巧妙而持久的利用,也会对企业和用户造成巨大的危害。而本文将要介绍的JS泄露敏感信息问题也是如此,攻击者不仅可以轻松收集用户…

2015-8-16
代码审计

Discuz! X系列远程代码执行漏洞分析 

0x00 漏洞概述 上周有一个朋友问我有没有办法在知道uc的appkey的情况下getshell,刚好我在原来看discuz代码时曾经有过几个相关的想法,但是一直没有仔细去看,接着这个机会去看了下,果…

2015-7-7
安全报告

Hacking Team攻击代码分析Part 2: 一个Pwn2Own漏洞的奇幻漂流 

前一篇文章我们分析了HackingTeam泄露数据中的Flash 0day (bytearray 0day)。而在泄露数据中我们其实还看到了另外一个名为convolution_filter的flash…

2015-7-7
安全报告

Hacking Team攻击代码分析Part 1: Flash 0day (附0day下载) 

最近专门提供通过攻击手法进行网络监听的黑客公司Hacking Team被黑,包含该公司的邮件、文档和攻击代码的400G数据泄漏,参见安全脉搏《专业黑客公司Hacking Team被黑,泄露大量内部资料…

2015-7-3
Web安全

业务安全漏洞挖掘归纳总结 

0x00 索引说明 6.30在OWASP的分享,关于业务安全的漏洞检测模型。进一步的延伸科普。       0x01 身份认证安全 1 暴力破解 在没有验证码限制或者一次…

2015-7-3
移动安全

太极越狱重大安全后门 

0x00 背景 太极越狱iOS8.1.3-8.4含有重大安全后门,越狱后导致任意APP可以提权到Root,从而影响用户数据的安全。举例来说获取Root权限后可以完全控制系统文件,甚至进一步安装木马等严…

2015-7-1
移动安全

影响数千万APP的安卓APP“寄生兽”漏洞技术分析 

前言: 360手机安全研究团队vulpecker近日发现了一种新型的安卓app安全漏洞,市面上数以千万的app都受该漏洞影响。该漏洞一旦被攻击者利用,可以直接在用户手机中植入木马,盗取用户的短信、照片…

2015-6-30
安全文献

聊一聊chkrookit的误信和误用 

  chkrookit以及rkhunter基本上已经成为类unix系统的应急响应中的标配了。大多数处理安全事件基本上上机器的第一步都是来个两连发。但很多是以失望结束,或者出了结论又不知道如何…

2015-6-30
安全报告

大华“乐橙”智能摄像头信息泄露及登录绕过漏洞分析 

概 述 浙江大华技术股份有限公司是领先的监控产品供应商和解决方案服务商,面向全球提供领先的视频存储、前端、显示控制和智能交通等系列化产品。其公司的摄像头产品大量的分布在智慧城市、智能交通等重要场所。该…

2015-6-29
安全报告

祸起萧墙:由播放器引爆的全国性大规模挂马分析 

事件起因 从5月底开始,360云安全系统监测到一个名为“中国插件联盟”的下载者木马感染量暴涨。令人匪夷所思的是,该木马的下载通道竟然是多款用户量上千万甚至过亿的播放器客户端。 起初,我们怀疑这些播放器…

2015-6-24
移动安全

Android应用分析进阶教程之一 —— 初识JEBAPI 

0x00 前言 & 背景 还在对着smali和jdgui抓耳挠腮grep来grep去吗?本系列教程将围绕Soot和JEB,讲述Android应用的进阶分析,感受鸟枪换炮的快感. JEB是And…

2015-6-16
Web安全

【实战篇】没有绝对安全的系统:记一次服务器沦陷后的分析 

0x01 前言在这个open的互联网时代, 风险几乎无处不在,无时不有。如果对安全不重视的话,就会被挨打。接到一个哥们的江湖救急,说他的测试服务器被机房电话投诉流量过大,把出口带宽都跑完了,自己上去检…