原创 docker學習筆記詳解
一、Docker 簡介 Docker 兩個主要部件： Docker: 開源的容器虛擬化平臺 Docker Hub: 用於分享、管理 Docker 容器的 Docker SaaS 平臺 – Docker Hub Docker 使用客戶
2018-08-25 08:35:14
原创 BugKu MISC 部分題目Write_up（三）
第十三題: Linux基礎1 1.通過網址下載題目zip包brave.zip,解壓得到brave文件，題目說的是linux基礎，應該是想考察linux下的grep命令，但是我直接用notepad++打開，搜索字符串KEY，直接找到了fla
2018-08-25 08:35:14
11
原创 賽博地球杯線下賽WEB_RCE Write_up
這次參與賽博地球杯線下賽出題，看到巨佬們強還是強啊，先膜一下，然後獻上自己的出題思路，萌新出題，輕噴 ！！！ 第一步、登錄 查看網站發現網站無法登錄，並且根據robots.txt能發現hint.php和hack.php 不過可以注意到c
2018-08-25 08:35:14
2
原创 Struts2-052漏洞分析
1. 漏洞描述 漏洞描述：Struts2 REST插件的XStream組件存在反序列化漏洞，使用XStream組件對XML格式的數據包進行反序列化操作時，未對數據內容進行有效驗證，存在安全隱患，可被遠程攻擊。 漏洞編號：CVE-201
2018-08-25 08:35:14
原创 FFmpeg任意文件讀取漏洞分析
1. 漏洞描述 漏洞簡述： 漏洞利用了FFmpeg可以處理HLS播放列表的特性，而播放列表可以引用外部文件。通過在AVI文件中添加自定義的包含本地文件引用的HLS播放列表，可以觸發該漏洞並在該文件播放過程中顯示本地文件的內容 漏洞發現
2018-08-25 08:35:14
2
原创 JBOSS AS 5.x/6.x 反序列化命令執行漏洞（CVE-2017-12149）
JBOSS AS 5.x/6.x 反序列化命令執行漏洞（CVE-2017-12149） 1. 漏洞描述 漏洞描述：該漏洞爲 Java反序列化錯誤類型，存在於 Jboss 的 HttpInvoker 組件中的 ReadOnlyAcces
2018-08-25 08:35:14
1
原创 實戰Linux下三種不同方式的提權技巧
介紹 在滲透測試或者漏洞評估的過程中，提權是非常重要的一步，在這一步，黑客和安全研究人員常常通過exploit,bug,錯誤配置來提升權限。本文的例子都是在虛擬機裏測試的，不同的虛擬機可以從Vulnhub下載。 實驗一：利用Linux內核
2018-08-25 08:35:14
原创 Fastjson反序列化漏洞分析
1. 漏洞描述 漏洞簡述： 2017年3月15日，fastjson官方主動爆出fastjson在1.2.24及之前版本存在遠程代碼執行高危安全漏洞。攻擊者可以通過此漏洞遠程執行惡意代碼來入侵服務器。 影響版本： fastjson <=
2018-08-25 08:35:12
原创 BugKu MISC 部分題目Write_up（一）
這周沒啥事，就去Bugku平臺裏做了幾道CTF題，這裏做個記錄，以免以後忘記。 附上MISC的主要完成題目，就差最後一道題目AK，最後一道好難（org）： 第一題: 這是一張單純的圖片？？ 這一題是一道非常簡單的題目： 1.直接
2018-08-25 08:35:12
5
原创 Spring Web Flow 遠程代碼執行漏洞分析
1. 漏洞描述 漏洞編號： CVE-2017-4971 漏洞簡述： 由於Spring的框架越來越多，而且後面引入了SpringEl作爲默認的表達式解析方式，所以一旦引入了類似於OGNL的表達式，很可能會帶來一些安全問題，本次漏洞就是由
2018-08-25 08:35:12
2
原创 ImageMagick遠程代碼執行漏洞分析
1. 漏洞描述 漏洞編號： CVE-2016-3714 發現人員： Slack安全工程師Ryan Hube 漏洞簡述： 產生原因是因爲字符過濾不嚴謹所導致的執行代碼. 對於文件名傳遞給後端的命令過濾不足,導致允許多種文件格式轉換過程中
2018-08-25 08:35:12
1
原创 Maccms8.x 命令執行漏洞分析
1. 漏洞描述 漏洞簡述： Maccms搜索頁面搜索輸入參數過濾不嚴謹導致前臺命令執行可getshell 影響版本： Maccms8.x 2. 漏洞簡介 魅魔電影程序(Maccms PHP)是一套採用PHP/MySQL數據庫運行
2018-08-25 08:35:12
10
原创 DVWA-1.9系列操作之FileInclusion
DVWA-1.9系列一共分爲10個功能模塊： Brute Force（暴力破解） Command Injection（命令行注入） CSRF（跨站請求僞造） File Inclusion（文件包含） File Upload（文件上傳）
2018-08-25 08:35:12