挖洞日记 | 信息收集+任意重置
扫码领资料获网安教程本文由掌控安全学院 - 腾风起 投稿来Track安全社区投稿~ 千元稿费！还有保底奖励~（ https://bbs.zkaq.cn）记得那是一个美丽冻人的下午，无意间翻到了一个站
阅读全文【攻防世界】新手练习区(下)
xff_referer访问url：http://111.200.241.244:43718/题目告诉我们是xff_referer，猜测是与xff和referer相关，打开环境看看我们分析一下协议Ref
阅读全文OpenResty/lua-nginx-module HEAD 请求中的 HTTP 请求走私 - CVE-2024-33452
发现与动机我第一次遇到这个 HTTP 请求走私漏洞是在为工作中的客户进行内部渗透测试时。意识到它的潜在影响后，我决定深入挖掘其根本原因，并发现它源于 OpenResty 中的 lua-nginx-mo
阅读全文进程注入第 2 部分：现代进程注入
介绍在本系列的第 1 部分中，我们研究了进程注入背后的理论以及 Windows 主机上成功执行进程注入所需的条件。在该博客的最后，给出了两个示例：Shellcode 注入DLL 注入然而，这些都没有考
阅读全文【安全圈】王者荣耀崩了，官方致歉：问题已修复，补偿方案公布
关键词网络崩溃3月28日晚，“王者荣耀崩了”登上热搜，引发网友热议。随后，王者荣耀紧急回应：由于服务器异常，部分玩家出现登录异常、对局无法进入的问题，我们正在紧急处理中。我们将会在官方渠道同步以上问题
阅读全文【安全圈】黑客组织攻击纽约大学官网，泄露 300 万学生敏感信息
关键词黑客近日，一个自称为“Computer Niggy Exploitation”的黑客组织对美国著名高等学府纽约大学（NYU）的官方网站发动了网络攻击。该组织声称此举旨在揭露纽约大学在招生过程中存
阅读全文【安全圈】数据罗生门：600 万用户泄露信息被证真实，甲骨文坚称未被入侵
关键词数据泄露科技媒体 bleepingcomputer 昨日（3 月 26 日）发布博文，尽管甲骨文（Oracle）坚决否认其云服务遭入侵及 600 万用户数据被盗，但该媒体向多家企业证实，黑客泄露
阅读全文【能力验证】题目01：SM4-CBC 实现机密性保护
题目01：SM4-CBC 实现机密性保护你是一个商用密码应用安全性评估专家，现在有一道题目需要你来分析。某信息系统通过调用服务器密码机，采用 SM4 密码算法 CBC 工作模式实现对系统中服务器 A
阅读全文【技术干货】一个命令搞定Windows UAC防护，微软却不愿修复
前言"不战而屈人之兵，善之善者也。"——孙子兵法在网络安全领域，如果能以最小的代价取得最大的成效，无疑是理想的策略。作为一名安全研究人员，你应该培养非常规思维，寻找最简单直接的系统访问路径。有时需要采
阅读全文2025年3月三大网络攻击事件盘点
2025年3月，网络威胁事件激增，个人用户和企业组织均面临严峻风险。从被武器化用于窃取个人数据的银行应用，到遭滥用于将用户重定向至钓鱼陷阱的可信域名，网络犯罪分子手段层出不穷。其攻击策略正变得更具创造
阅读全文FreeBuf周报 | Oracle否认泄露600万条记录；Oracle客户证实云数据泄露事件
各位 Buffer 周末好，以下是本周「FreeBuf周报」，我们总结推荐了本周的热点资讯、一周好文，保证大家不错过本周的每一个重点！热点资讯1. Oracle客户证实云数据泄露事件中被盗数据真实有效
阅读全文恶意npm包篡改本地"ethers"库以发起反向Shell攻击
网络安全研究人员在npm注册表中发现两个恶意软件包，这些软件包专门感染本地安装的其他程序包，这标志着针对开源生态系统的软件供应链攻击持续升级。恶意包伪装与感染机制涉事的两个软件包分别为ethers-p
阅读全文【2025年春季班招生】看雪安卓高研2w、3w计划，实现逆向技术飞跃
有问必答，知无不言，言无不尽，用心服务！更有职业推介服务，全方位简历指导/服务就业！1、开学大礼包现在购课，开学礼包升级3W班高研网课开学大礼包：orange pi 5 3588S 云手机套装（包含香
阅读全文又一品牌并入吉利汽车！
点击上方蓝字谈思实验室获取更多汽车网络安全资讯3月29日，根据吉利控股“台州宣言”的指引，吉利汽车将继续进行战略整合，睿蓝汽车品牌正在进行被并入吉利汽车集团的整合工作。这标志着吉利的品牌梳理整合战略已
阅读全文《网络安全法》再次征求意见，违法行为处罚力度空前
点击上方蓝字谈思实验室获取更多汽车网络安全资讯为了做好《中华人民共和国网络安全法》与相关法律的衔接协调，完善法律责任制度，保护个人、组织在网络空间的合法权益，维护国家安全和公共利益，根据《十四届全国人
阅读全文校招的尽头是中小厂...
兄弟们，3月底了，看到不少26届准备暑期实习的网安小伙伴开始焦虑了！尤其是那些投简历石沉大海，或者面试被反馈"KPI已满"的同学。有球友私信我说："吉祥，我最近投了几十份简历，全都没回音，真的有点迷茫
阅读全文北京红队 线下10天 2k/日
项目需要：01.熟悉红蓝对抗攻击战术，具备情报侦察、打点及绕过入侵检测的能力，精通漏洞挖掘与利用。（2人）02.至少3年攻防演练经验，精通攻击战术，熟练漏洞挖掘与利用，具备攻击链分析和绕过技术能力。（
阅读全文CVE-2025-30208，资产巨多（中国域名资产：12635+），附POC+批量检测脚本
前言 这个CVE-2025-30208资产真的巨多，而且出货量也高。几天前的晚上，我就全部跑了一遍了，导出了12635条中国域名资产，总共大概跑了9000多条，出了大概快3000了，出货量很高，详情
阅读全文习近平就缅甸遭受地震灾害向缅甸领导人敏昂莱致慰问电
3月29日，国家主席习近平就缅甸遭受地震灾害向缅甸领导人敏昂莱致慰问电。习近平表示，惊悉缅甸遭受强烈地震灾害，造成重大人员伤亡和财产损失。我谨代表中国政府和中国人民，对遇难者表示深切哀悼，向遇难者家属
阅读全文《网络安全法》再次征求意见，违法行为处罚力度空前
为了做好《中华人民共和国网络安全法》与相关法律的衔接协调，完善法律责任制度，保护个人、组织在网络空间的合法权益，维护国家安全和公共利益，根据《十四届全国人大常委会立法规划》，我办会同相关部门进一步研究
阅读全文.NET 2025年3月份红队武器库和资源汇总
01阅读须知此文所提供的信息只为网络安全人员对自己所负责的网站、服务器等（包括但不限于）进行检测或维护参考，未经授权请勿利用文章中的技术资料对任何计算机系统进行入侵操作。利用此文所提供的信息而造成的直
阅读全文.NET 内网攻防实战电子报刊
01.NET内网安全攻防报刊小报童电子报刊【.NET内网安全攻防】也正式上线了，引入小报童也是为了弥补知识星球对于轻量级阅读支持的不足，为用户读者提供更佳的阅读体验。如果您对阅读体验的需求比较高，那么
阅读全文通过 Sharp4NetVbsObfuscator 混淆 .NET 程序集和 VBS 脚本
在逆向分析和代码保护对抗的背景下，混淆技术成为了保护 .NET 程序和脚本的重要手段。Sharp4NetVbsObfuscator.exe 是一款专门针对 .NET 程序集 以及 脚本文件进行混淆的工
阅读全文红队技巧分享：看看二进制漏洞研究与免杀相结合
之前在一篇文章里提到过使用编码兼容性问题来绕过一些命令执行的检测。Windows编码是个很大的攻击面，用在免杀方面其实有点大材小用，一个非常棒的资料参考：https://blog.orange.tw
阅读全文强势来袭！BlockSec受邀出席ETH Hangzhou Hackathon
ETH Hangzhou黑客松于作为以太坊基金会（ESP）赞助的线下活动，旨在促进以太坊生态在中国的蓬勃发展，本次ETH Hangzhou是由浙江大学学生区块链协会、PKU Blockchain等领衔
阅读全文国有资本再加持！威努特获上城资本集团战略投资
3月28日，北京威努特技术有限公司（以下简称“威努特”）与杭州上城区国有资本运营集团有限公司（以下简称“上城资本集团”）达成战略投资合作，于杭州市杭港科技大厦举行投资落地签约仪式，正式获得国有资本战略
阅读全文网络安全法拟修订，Cloudflare服务中断 | 一周特辑
国家网信办发布《中华人民共和国网络安全法（修正草案再次征求意见稿）》3月28日，国家互联网信息办公室发布关于公开征求《中华人民共和国网络安全法（修正草案再次征求意见稿）》意见的通知。此次修改拟引入情节
阅读全文20个渗透测试关键突破口 方法绝了！
渗透测试的本质是通过模拟攻击者的视角，发现目标系统的安全漏洞。如何高效寻找突破口，是渗透工程师的核心能力。本文基于实战经验，系统梳理20个关键思路及配套实践方法，覆盖信息收集、漏洞挖掘、权限提升等全
阅读全文