【PHP代码审计】ZZCMS 2019多个漏洞（附POC）

引言 zzcms,站长招商网cms,适用于招商代理型的行业网站,可用于医药招商网站程序源码,服装招商网站程序源码,化妆品招商网站的程序源码等。 为啥审这个CMS，洞多（类型也多） 官网最新版下载地

疑似某红队CS样本分析四

安全分析与研究专注于全球恶意软件的分析与研究前言概述不知道今年的活动啥时候开始，此前每年活动都会有发现一堆有意思的CS免杀木马样本，这些样本会使用各种免杀加载、反调试反分析对抗技术，研究起来挺有意思的

2025云安全新范式：CADR 超越 CNAPP ？

所有 excalidraws 均可在此处获取： https://link.excalidraw.com/l/6qFzFKIJXdd/9IF1yYlyRek我从事云安全工作的时间越久，就越发厌恶云原生应

提取网页敏感信息扩展插件

声明：该公众号分享的安全工具和项目均来源于网络，仅供安全研究与学习之用，如用于其他用途，由使用者承担全部法律及连带责任，与工具作者和本公众号无关。现在只对常读和星标的公众号才展示大图推送，建议大家把”

请立即拿下软考证书（政策风口）

重大利好！！如今80%的运维、网工人都在冲软考证：国家认证、报名费更低、含金量更高。🔥而且今年正值改革变动期，考试难度最小，是最好拿证的一年。如果想今年一次拿下软考证书，强烈建议大家考【高级-系统规划

请网安人立即拿下软考证书(政策风口）

重大利好！！如今80%的网安人都在冲软考证：国家认证、报名费更低、含金量更高。🔥而且今年正值改革变动期，考试难度最小，是最好拿证的一年。如果想今年一次拿下软考证书，强烈建议大家考【高级-系统规划与管理

微软签名的 XOML 工具，通过 Sharp4LoadXOML 执行任意命令绕过安全防护

在红队打点与对抗过程中，如何在目标系统中实现高隐蔽性的代码执行，一直是攻防双方关注的重点。本文将详细介绍一款专为此目的设计的工具 —— Sharp4LoadXOML.exe，它不仅延续了我们之前介绍过

文中福利 | 国内最专业、最全面的 [ .NET 代码审计 ] 体系化学习社区

别再纸上谈兵！这门代码审计课程带你走进 .NET Web 漏洞挖掘之旅。从一行代码入手，揭示隐藏在业务逻辑中的安全风险，手把手教你审计、复现与修复全过程。无论你是红队人员、安全研究员，还是想转型的开发

.NET 高级代码审计：一种尚未公开绕过 GZip 实现反序列化漏洞的方法

在.NET反序列化漏洞审计与利用过程中，攻击者通过 BinaryFormatter 类型进行 payload 加载与执行。本文将从 GZip 技术基础出发，逐步分析如何结合 BinaryFormatt

Honeypot 蜜罐系统 基于Go语言开发的分布式蜜罐系统，用于网络安全监测、攻击行为捕获与分析。

免责声明由于传播、利用本公众号夜组安全所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，公众号夜组安全及作者不为此承担任何责任，一旦造成后果请自行承担！如有侵权烦请告知，我们会立即

漏洞预警 | UniTalk信息泄露漏洞

0x00 漏洞编号CVE-2024-396760x01 危险等级中危0x02 漏洞概述Apache Pinot是由Apache软件基金会开源的分布式、实时OLAP数据库，它专为高性能数据查询和分析设计

漏洞预警 | 百易云资产管理运营系统SQL注入漏洞

0x00 漏洞编号暂无0x01 危险等级高危0x02 漏洞概述百易云资产管理运营系统是一款基于云计算技术的资产管理与运营平台，主要面向各类企事业单位提供全方位的资产管理服务。0x03 漏洞详情漏洞类型

漏洞预警 | 汉王e脸通智慧园区管理平台任意文件上传漏洞

0x00 漏洞编号暂无0x01 危险等级高危0x02 漏洞概述汉王e脸通综合管理平台是一个集生物识别、大数据、NFC射频、计算机网络、自动控制等技术于一体，通过“人脸卡”及关联信息实现多种功能智能管理

工具 | pwnpasi

注：仅供安全研究与学习之用，若将工具做其他用途，由使用者承担全部法律及连带责任，作者及发布者不承担任何法律及连带责任。0x00 简介pwnpasi是一款专为CTF PWN方向入门基础题目开发设计的自动

攻防 | 不出网环境下的渗透测试

免责声明：由于传播、利用本公众号李白你好所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，公众号李白你好及作者不为此承担任何责任，一旦造成后果请自行承担！如有侵权烦请告知，我们会立

macOS全新取证方案重磅来袭！CS6100已全面支持！

由于macOS安全机制的升级（如芯片加密），传统适用于Windows的一些取证思路难以高效适应现阶段macOS的取证实战需求。通过开机制作逻辑镜像的方式往往也会因为权限问题，导致数据提取不全，如无法获

威努特荣获石油和化工自动化行业科学技术奖！

近日，中国石油和化工自动化应用协会在浙江省杭州市组织召开“2025年度中国石油和化学工业智能化发展大会”，并同步举办“2024年度中国石油和化工自动化行业科学技术奖与专利奖颁奖大会”。大会隆重表彰20

记一次5000万资产的渗透测试

1、资产收集这里我是根据图标去搜集的，然后也可以根据域名等其他信息去收集我拿了某个域名去进行扫描，然后有这几个路由是可以访问的，先看/admin2、弱口令访问/admin路由账号：admin密码：12

几千个产品的默认账号密码

设备默认账号默认密码致远OAsangforadmin1audit-admingroup-adminsystem123456123456123456泛微OAsysadmin1Miniominioadmi

渗透测试中任意文件读取小技巧

声明：文中所涉及的技术、思路和工具仅供以安全为目的的学习交流使用，任何人不得将其用于非法用途给予盈利等目的，否则后果自行承担！如有侵权烦请告知，我们会立即删除并致歉。谢谢！文章有疑问的，可以公众号发消

为开发人员分享快速参考备忘清单(速查表)

项目地址：https://github.com/jaywcjlove/reference

了解窃取日志及其在安全测试中的作用（第一部分）

窃取日志包含凭证和 Cookie 等敏感信息，是安全测试中不容忽视的因素。这些日志通常为攻击者提供初始立足点，使其能够更深入地访问目标，或更深入地了解被检查的目标。在本文中，我们将探讨窃取日志的基本概

如何通过反序列化进行打马

免责声明：由于传播、利用本公众号所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，公众号及作者不为此承担任何责任，一旦造成后果请自行承担！如有侵权烦请告知，我们会立即删除并致歉。谢

开盒的信息就是被这些APP泄露的，活该下架

你用APP是不是经常遇到下面情况：一打开 App 就疯狂索权！这些软件首次运行时根本不弹隐私协议，直接默认勾选同意！App 的隐私条款写得云里雾里！就算让你仔细看，认真看你也看不懂。用户信息未经匿名就

故意阻碍国安执法 严肃查处

我国法律规定，公民和组织应当支持协助国家安全机关工作，保守所知悉的国家秘密。近期，国家安全机关查处一起故意阻碍国家安全机关依法执行任务的案件，相关责任人受到了处理。拒不配合 不知悔改国家安全机关工作掌

SDL 60/100问：软件安全领域有哪些成熟度模型？

新型钓鱼攻击：SVG文件中植入恶意HTML文件

网络安全专家发现了一种利用SVG（可缩放矢量图形）文件格式的新型钓鱼技术，攻击者通过该技术向不知情的受害者投递恶意HTML内容。这种于2025年初首次被发现的威胁手段，标志着钓鱼战术的显著升级——攻击

网络安全场景中的 MCP 融合：技术架构与实施路线探讨

网安知识分享DFYX’s KNOWLEDGE & NEWS 科普知识 一起成长 东方隐侠·悟剑堂引言在 AI 深度融入网络安全的当下，安全厂商与红蓝对抗参与者都在积极探索如何利用 AI 提升威胁情

webshell管理器 -- AWD_webshell-manager（4月20日更新）

Web安全课堂 -- PHP反序列化漏洞代码审计.mp4链接：https://pan.quark.cn/s/b8410cf0f6b3==================================

隐藏风险：Notepad Cowriter Bearer Token 泄露

【翻译】The Hidden Risk Compromising Notepad Cowriter’s Bearer Tokens 引言2023 年，微软推出了 Office 365 Copilot。