Cybersecurity information flow

干净的信息流推送工具,偏向安全圈的点点滴滴,为安全研究人员每日发现优质内容.

了解更多 »

全部节点
时间 节点
2024年6月13日 19:48 微信公众号rss
CNVD 2024-06-13 10:42 北京
2024年06月03日-2024年06月09日


本周漏洞态势研判情况



本周信息安全漏洞威胁整体评价级别为中。
国家信息安全漏洞共享平台(以下简称CNVD)本周共收集、整理信息安全漏洞573个,其中高危漏洞308个、中危漏洞247个、低危漏洞18个。漏洞平均分值为6.82。本周收录的漏洞中,涉及0day漏洞430个(占75%),其中互联网上出现“SeaCMS SQL注入漏洞(CNVD-2024-26090)、ECshop SQL注入漏洞(CNVD-2024-26111)”等零日代码攻击漏洞。本周CNVD接到的涉及党政机关和企事业单位的漏
2024年6月13日 19:48 微信公众号rss
CNVD 2024-06-13 10:42 北京
一、境外厂商产品漏洞
1、Adobe Commerce资源管理错误漏洞(CNVD-2024-25603)
Adobe Commerce是美国奥多比(Adobe)公司的一种面向商家和品牌的全球领先的数字商务解决方案。Adobe Commerce 2.4.7版本之前存在资源管理错误漏洞,该漏洞源于受到不受控制的资源消耗漏洞的影响,攻击者可利用该漏洞导致轻微的应用程序拒绝服务。
参考链接:

https://www.cnvd.org.cn/flaw/show/CNVD-2024-25603
2、WordPress Boostify Header Fo
2024年6月13日 19:48 微信公众号rss
原创 智能安全实验室 2024-06-13 13:36 广东
使用LLVM(Low Level Virtual Machine) PASS可以通过编译器后端自动插入花指令,
使用LLVM(Low Level Virtual Machine) PASS可以通过编译器后端自动插入花指令, 而不需要手动在源代码里内联汇编。
1. 花指令简介
简单来说就是一块无意义的汇编指令, 用于干扰反汇编器工作。
无论是做CTF题, 还是实战破解, 偶尔也会遇到一些花指令。
传统的花指令可以通过内联汇编进行编写, 例如:
int main(int argc, const char* argv[])
{ __asm
2024年6月13日 19:48 微信公众号rss
原创 TT 2024-06-13 10:27 辽宁
今天,为大家带来一份极具价值的资料——《非洲、亚洲、欧洲、中东和北非地区的政府与非政府组织的关系》。
今天,为大家带来一份极具价值的资料——《非洲、亚洲、欧洲、中东和北非地区的政府与非政府组织的关系》。这份由作者Raffaele Marchetti精心撰写的作品,于2018年首次亮相,便引起了广泛关注和热议。
在本资料中,Raffaele Marchetti深入剖析了非洲、亚洲、欧洲、中东和北非这些多元且复杂的地区中,政府与非政府组织之间的微妙关系。通过一系列案例研究,揭示了不同地区在政府与民间社会组织互动方面的共性与差异。
作者汇集了政治学
2024年6月13日 19:48 微信公众号rss
原创 DMT 2024-06-13 10:27 辽宁
在这个信息爆炸的时代,开源情报已成为一种潮流和趋势。越来越多的人开始关注开源,参与到开源情报的行列中来。
在这个信息爆炸的时代,开源情报已成为一种潮流和趋势。越来越多的人开始关注开源,参与到开源情报的行列中来。每日精心筛选的开源信息,一网打尽全球热点动态,轻松掌握情报行业动态,把握时代脉搏!
截至2024年6月13日,地缘信息知识星球上的热门栏目《每日开源》已经迎来了第349期的精彩更新!
这一期又一期的内容,都是从全网开源信息中精心筛选、提炼而来,力求呈现最实时、最精准的地缘情报。
在这个信息爆炸的时代,获取有价值的信息并不容易。但是,《
2024年6月13日 19:48 微信公众号rss
2024-06-13 14:56 北京
“人民网转载报道本公众号原创文章‘首个国内自主挖掘的RISC-V处理器设计中危漏洞研究’”
文章来源:西工大科研团队发现“中危漏洞”
http://sn.people.com.cn/n2/2024/0529/c378288-40860604.html
文章:原创 | 首个国内自主挖掘的RISC-V处理器设计中危漏洞研究




原文来源:人民网
“投稿联系方式:010-82992251   sunzhonghao@cert.org.cn”
阅读原文
2024年6月13日 19:48 微信公众号rss
2024-06-13 14:56 北京
日前,自动化网络安全渗透测试平台Vonahi Security发布了2024年度《渗透测试活动中的重大发现》报告。
日前,自动化网络安全渗透测试平台Vonahi Security发布了2024年度《渗透测试活动中的重大发现》报告,基于对超过1000家企业组织近万次自动化网络渗透测试活动的研究分析,研究人员总结了当前企业网络系统在渗透测试过程中最容易被利用的10大安全弱点。尽管这些弱点是由不同的安全漏洞引发,但却有许多的相似共同点。配置缺陷和补丁管理不足仍然是导致许多重大威胁隐患的主要原因。

1、 MDNS欺骗
MDNS是一种用于小型网络的DNS名称解析
2024年6月13日 19:48 微信公众号rss
2024-06-13 14:56 北京
代号为“REF4578”的恶意加密货币挖矿活动被发现部署了一个名为 GhostEngine 的恶意负载,该负载使用易受攻击的驱动程序关闭安全产品并部署 XMRig 矿工。
代号为“REF4578”的恶意加密货币挖矿活动被发现部署了一个名为 GhostEngine 的恶意负载,该负载使用易受攻击的驱动程序关闭安全产品并部署 XMRig 矿工。
Elastic Security Labs 和 Antiy 的研究人员在报告中特别强调了这些加密货币挖矿攻击的异常复杂性,并共享了检测规则以帮助防御者识别和阻止它们。然而,两份报告都没有将该活动归咎于已知的威胁分子,
2024年6月13日 19:48 微信公众号rss
魏亮 2024-06-13 14:56 北京
2014 年,习近平总书记首次提出总体国家安全观有关论述和努力把我国建设成为网络强国的目标愿景。
2014 年,习近平总书记首次提出总体国家安全观有关论述和努力把我国建设成为网络强国的目标愿景。十年来,总体国家安全观、网络强国战略不断得到丰富和发展,始终引领网络安全事业成长,成为我们做好网络安全工作的强大思想武器和科学行动指南。

伟大时代孕育伟大思想,创新理论引领创新实践。2014 年 4 月 15 日,习近平总书记在中央国家安全委员会第一次全体会议上首次提出总体国家安全观重大战略思想,将网络安全问题上升到国家安全高度,深化和拓展了关于国家安全问
2024年6月13日 19:48 微信公众号rss
原创 CNVD 2024-06-13 15:35 北京
6月12日,微软发布了2024年6月份的月度例行安全公告,修复了多款产品存在的49个安全漏洞。
安全公告编号:CNTA-2023-0008

6月12日,微软发布了2024年6月份的月度例行安全公告,修复了多款产品存在的49个安全漏洞,产品包括Windows 11、Windows 10、Windows Server 2022、Windows Server 2019和Windows Server 2008等。
利用上述漏洞,攻击者可以绕过安全功能限制,获取敏感信息,提升权限,执行远程代码,或发起拒绝服务攻击等。CNVD提醒广大Microso
2024年6月13日 19:48 微信公众号rss
原创 “安全范儿”沙龙 2024-06-12 18:15 北京
揭秘抖音电商零元购漏洞治理
6.21
安全范儿
距离第14期“安全范儿”技术沙龙还有8天

Hi,安全范儿沙龙!-漏洞挖掘与治理篇


发现安全漏洞并进行高效治理是企业安全建设中的重要环节,本期沙龙嘉宾将结合真实情景,分享漏洞挖掘思路与技巧以及不同视角下如何开展高效治理。




错过本次沙龙,你可能会错过
抖音电商特有风险介绍及治理
字节内部漏洞治理流程和经验
HW筹备之蓝军攻击技法
云上多场景容器逃逸/接管
6.21
安全范儿
SECURITY
硬核议题,一睹为快
01


抖音电商的漏洞发现与治理实践
分享人:张义  抖音电
2024年6月13日 19:47 微信公众号rss
DataTester 2024-06-13 09:01 北京
当A/B测试应用在AI场景中,“让每一个决策更加正确”的显性效果会被指数级放大!
作为火山引擎数智平台VeDI旗下的核心产品,DataTester源于字节跳动长期的技术和业务沉淀,目前已经服务了数百家企业,助力企业在业务增长、用户转化、产品迭代、策略优化以及运营提效等环节科学决策。

在大模型时代,当A/B测试应用在AI场景中,“让每一个决策更加正确”的显性效果也会被指数级放大。


作者:刘明瑶
火山引擎A/B测试平台DataTester资深研发工程师
01
大模型时代
质量和效率我都要


从去年的ChatGPT,到今年的Sor
2024年6月13日 19:47 微信公众号rss
胡金鱼 2024-06-13 14:01 北京
威胁分子使用 Atlassian Bitbucket 工件文件以明文形式泄露的身份验证密钥来破坏 AWS 帐户。
威胁分子使用 Atlassian Bitbucket 工件文件以明文形式泄露的身份验证密钥来破坏 AWS 帐户。
Mandiant 率先发现该问题,他当时正在调查最近曝光的 Amazon Web Services (AWS) 机密,威胁分子利用这些机密来访问 AWS。
尽管该问题是在调查中发现的,但它说明了之前被认为是安全的数据可以以纯文本形式泄露到公共存储库。
Bitbucket 是一个与 Git 兼容的基于 Web 的版本控制存储
2024年6月13日 19:47 微信公众号rss
2024-06-13 14:01 北京
大会致力于推动构建普惠均衡、创新包容、合作共赢、共同繁荣的全球数字经济格局。
全球数字经济大会是由中华人民共和国国务院批准,工业和信息化部、商务部、国家互联网信息办公室、中国科学技术协会、北京市人民政府等共同主办的国家级国际会议。
大会致力于推动构建普惠均衡、创新包容、合作共赢、共同繁荣的全球数字经济格局,自2021年来已成功举办三届,为数字经济新理论、新规则、新技术、新产业、新体系的交流合作打造一个跨国别、跨领域、跨行业的全球性平台。
2023全球数字经济大会数字安全生态建设专题论坛共吸引了来近千名参与人次及超过万的在线观看次数,亦有超过20位政企领导
2024年6月13日 19:47 微信公众号rss
深瞳漏洞实验室 2024-06-13 16:48 北京
漏洞名称:
PHP CGI Windows平台远程代码执行漏洞(CVE-2024-4577)
组件名称:

PHP语言
影响范围:

PHP8.3 < 8.3.8
PHP8.2 < 8.2.20
PHP < 8.1.29
由于 PHP 8.0、PHP 7 和 PHP 5 的分支已终止使用,并且不再维护,服务器管理员可以参考“缓解方案”中的临时补丁建议。
漏洞类型:

代码注入
利用条件:
1、用户认证:无需用户认证
2、前置条件:默认配置
3、触发方式:远程
综合评价:

<综合评定利用难度>:容易,能造成远程代码执行。
<综合评定威胁等
2024年6月13日 19:47 微信公众号rss
原创 西西 2024-06-13 18:07 四川
确保数据合法性不受挑战,解决数据潜在风险。
作为一种新兴的资产形态和价值来源,数据已逐渐成为企业的核心资产之一,随着《企业数据资源相关会计处理暂行规定》(以下简称《暂行规定》)于2024年1月1日正式施行,标志着企业数据资源被正式纳入会计核算范畴,也就是俗称的“数据资产入表”。



数据要素重要政策时间节点与要点梳理
图/上海数据交易所


数据资产入表即是将企业的数据资源以资产的形式纳入财务报表中进行管理和计量,其法律基础主要来源于《民法典》《数据安全法》《个人信息保护法》以及“数据二十条”,这些法律法规为数据资产的确权、使用、保护和交易
2024年6月13日 19:47 微信公众号rss
原创 蔷薇灵动 2024-06-13 18:07 四川
把业务基线的梳理难度彻底降下来,让大大小小的网络都能轻松实现微分段。
业务基线的价值与挑战




内网安全或者说东西向安全是当下网络安全工作的重点,无论是应对勒索病毒的挑战,还是对抗长驱直入的攻防演练,内网都必然会取代边界成为安全战斗的主战场。做东西向安全,尤其是数据中心东西向,主流的思路是以白名单的方式通过最小权限访问控制来尽量下降内部业务的暴露面,提升攻击者横移的成本,并增加发现内部攻击的机率。微隔离技术作为这种理念的一种技术实现,成为了今天行业客户所普遍选择的一种方案。蔷薇灵动作为国内领先的微隔离厂商,在这个过程中交付了大量的微隔
2024年6月13日 19:47 微信公众号rss
央广网 冯丽 2024-06-13 18:07 四川
密码产业未来可期。
在量子时代,你的密码还安全吗?如何区分量子、量子密码和抗量子密码(又称后量子密码,英文简称PQC)?在第十届中国(上海)国际技术进出口交易会举办期间,上海市商用密码行业协会副秘书长、格尔软件董事长办公室主任兼市场总监、《商小密之四大名著奇遇记》作者祝峰接受媒体采访,一探新一轮信息变革的前沿动态,讲述我国量子密码背后的信息安全故事。


“量子”成热词,但你可能“被骗了”


不知从什么时候开始,“量子”成为了热词。从“量子护肤”到“量子眼镜”,从“量子风水”到“量子化肥”,层出不穷的“量子产品”让百姓“乱花渐欲迷人眼”,
2024年6月13日 19:47 微信公众号rss
CNNVD 2024-06-13 07:41 北京
根据国家信息安全漏洞库(CNNVD)统计,本周(2024年6月3日至2024年6月9日)安全漏洞情况如下。
点击蓝字 关注我们
根据国家信息安全漏洞库(CNNVD)统计,本周(2024年6月3日至2024年6月9日)安全漏洞情况如下:

公开漏洞情况
本周CNNVD采集安全漏洞798个。

接报漏洞情况
本周CNNVD接报漏洞7795个,其中信息技术产品漏洞(通用型漏洞)246个,网络信息系统漏洞(事件型漏洞)68个,漏洞平台推送漏洞7481个。


一、公开漏洞情况
根据国家信息安全漏洞库(CNNVD)统计,本周新增安全漏洞798个,漏洞新
2024年6月13日 19:47 微信公众号rss
CNNVD 2024-06-13 07:41 北京
近日,微软官方发布了多个安全漏洞的公告,其中微软产品本身漏洞49个,影响到微软产品的其他厂商漏洞2个。
近日,微软官方发布了多个安全漏洞的公告,其中微软产品本身漏洞49个,影响到微软产品的其他厂商漏洞2个。包括Microsoft Message Queuing 资源管理错误漏洞(CNNVD-202406-1158、CVE-2024-30080)、Microsoft Windows Server 资源管理错误漏洞(CNNVD-202406-1173、CVE-2024-30062)等多个漏洞。成功利用上述漏洞的攻击者可以在目标系统上执行任意代码、
2024年6月13日 19:47 微信公众号rss
CNNVD 2024-06-13 07:41 北京
CNNVD关于PHP 操作系统命令注入漏洞的通报
近日,国家信息安全漏洞库(CNNVD)收到关于PHP 操作系统命令注入漏洞(CNNVD-202406-852、CVE-2024-4577)情况的报送。未经身份认证的攻击者可以使用特定的字符序列绕过防护,通过参数注入的方式在目标服务器上远程执行代码。PHP多个版本受该漏洞影响。目前,PHP官方已发布新版本修复了该漏洞,建议用户及时确认产品版本,尽快采取修补措施。

一、漏洞介绍
PHP是一种在服务器端执行的脚本语言,适用于开发动态网站和Web应用程序。未经身份认证的攻击者可以使用特定的字符序列绕
2024年6月13日 15:45 微信公众号rss
2024-06-13 12:27 北京
2023年,全球企业组织在网络安全技术、产品及服务方面的支出超过了1900亿美元,同比增长12.7%。
2023年,全球企业组织在网络安全技术、产品及服务方面的支出超过了1900亿美元,同比增长12.7%。与此同时,也有越来越多的CISO和安全团队感到精疲力竭,他们已经为企业安全建设工作付出了最大的努力,却难以获得符合预期的回报。

在此背景下,研究机构Gartner提出,现代企业组织不应该一味追求更多的安全投入和有效性未知的安全建设,而是要恪守最低有效洞察力(Minimum Effective Insight)原则,根据企业实际拥有的资源和能力,合理决
2024年6月13日 15:45 微信公众号rss
2024-06-13 12:27 北京
牛览网络安全全球资讯,洞察行业发展前沿态势
点击蓝字·关注我们 / aqniu


新闻速览
ㆍ 国家互联网信息办公室发布第六批深度合成服务算法备案信息
ㆍ 重庆警方依法打击整治网络谣言10起典型案例
ㆍ 工信部:我国5G应用迎来规模化发展
ㆍ CDW调查:网络安全工具泛滥情况不断加剧
ㆍ 日本知名短视频共享平台因网络攻击暂停服务
ㆍ 黑客利用OTP机器人绕过双因素身份验证
ㆍ Netgear路由器被曝存严重缺陷,攻击者可绕过身份验证
ㆍ 微软6月补丁日共修复了 51 个缺陷
ㆍ Sean Duca被任命为思科公司亚太和大中华区CISO
ㆍ Securo
2024年6月13日 11:48 微信公众号rss
原创 专攻.NET安全的 2024-06-13 08:27 中国
01
阅读须知


此文所提供的信息只为网络安全人员对自己所负责的网站、服务器等(包括但不限于)进行检测或维护参考,未经授权请勿利用文章中的技术资料对任何计算机系统进行入侵操作。利用此文所提供的信息而造成的直接或间接后果和损失,均由使用者本人负责。本文所提供的工具仅用于学习,禁止用于其他方面





02
基本介绍
Sharp4Attack 是一个基于.NET实现的红队渗透工具,该工具提供了多种命令,可以执行远程命令、转储进程内存、查找本地管理员权限、获取域内计算机和用户信息、模拟系统账户权限等操作。
03
基本用法
Shar
2024年6月13日 11:48 微信公众号rss
小嘟 2024-06-13 08:27 中国
01
星球和报刊


欢迎大家关注【dotNet安全矩阵】知识星球 和 《.NET内网实战攻防》小报童专栏,在这里我们致力于为大家提供最全面的.NET安全攻防知识。




知识星球是一个大而全的.NET安全知识社区,包含了.NET应用漏洞情报和27个专栏系列,涵盖了从基础到高级的多种主题,这里不仅有压缩包工具、PDF文档,还有在线的视频主题。
相比之下,小报童是一个小而美的.NET内网攻防电子报刊,专注于.NET内网攻防专栏,支持一次性买断订阅该专栏,对代码和图文支持很好,更加适合在手机端展示,给用户带来轻量级的阅读体验。
02
dot.Net安
2024年6月13日 09:49 微信公众号rss
原创 极客公园汽车组 2024-06-12 18:37 北京
10 年坚持,终于等到开花结果。


10 年坚持,终于等到开花结果。
作者 | 周永亮
编辑 | 靖宇
跌入低谷的蔚来,正在触底反弹。

6 月 6 日晚间,蔚来汽车公布了 2024 年第一季度财报,营收低于预期。今年一季度,蔚来实现了 99.09 亿元的营业收入,同比出现 7.2% 的下滑。而在备受关注的亏损问题上,蔚来一季度经调整经营亏损额为 51.12 亿元,较去年四季度减亏约 15.6%。
同时,蔚来给出的二季度指引超预期,预计交付量在 5.4 万辆至 5.6 万辆之间,同比增长约 129.6% 至 138.1%;总营收将
2024年6月13日 03:45 微信公众号rss
原创 产品营销部 2024-06-12 08:03 北京
如何选择工业防火墙?这四大技术维度是关键!
工业防火墙是应用于工业控制系统的一类“特殊”的防火墙,其既要满足通用防火墙的基本要求,还要满足工业控制环境下的特殊要求,工业防火墙主要应用在工业控制层级间防护以及各区域间防护。
作为工业现场网络安全防护的第一道防线,其重要程度不言而喻。根据在公安部的计算机信息系统安全专用产品销售许可服务平台和网络安全专用产品安全检测服务平台查询,目前市场取得“工业控制系统专用防火墙”的产品已经达到125款之多,那么纯从技术维度出发,选什么样的工业防火墙才是最适用于工业网络现场呢?
建议从产品适用性、产品功能性
2024年6月13日 03:45 微信公众号rss
Mini-Venom 2024-06-12 08:01 辽宁
招新小广告CTF组诚招re、crypto、pwn、misc、合约方向的师傅,长期招新IOT+Car+工控+样本分析多个组招人有意向的师傅请联系邮箱
admin@chamd5.org(带上简历和想加入的小组
Web:
NinjaClub
Template传进去的是个BaseModel,也就是说user继承了BaseModel的function。审计一下BaseModel,parse_raw这里就是个pickle反序列化
构造一下应该就能出了。这个题恶心的一点就是不出网,并且反序列化回来会校验user实体。那么直接构造一个dict,把回
2024年6月13日 03:45 微信公众号rss
原创 丁爸 2024-06-12 11:16 四川
今天给大家推送一个可以在线查询境外邮箱、电话、用户名、图片、车辆、加密货币、域名等信息的工具。
今天给大家推送一个可以在线查询境外邮箱、电话、用户名、图片、车辆、加密货币、域名等信息的工具:https://usersearch.ai/
系统功能:
快速反向用户名搜索:快速搜索网站以查找与特定用户名相关的个人资料,揭示个人的在线活动和状态。
电子邮件搜索:六种不同的工具可以发现与电子邮件地址相关的大量信息。
泄露数据搜索:检测涉及数据泄露的电子邮件。
快速反向电子邮件查找:识别与电子邮件关联的在线帐户。
详细的社交网络搜索:通过社交媒体洞察丰富
2024年6月13日 03:45 微信公众号rss
原创 Yixin Wu 2024-06-12 15:45 四川
本文重点对GPT-4o语音模式面临的越狱攻击相关安全风险进行系统测量
原文标题 : Voice Jailbreak Attacks Against GPT-4o
原文作者 : Xinyue Shen, Yixin Wu, Michael Backes, Yang Zhang
原文链接 : https://arxiv.org/pdf/2405.19103
主题类型 : 大模型语音模式越狱攻击 (Jailbreak Attack)
笔记作者 : Xinyue Shen and Yixin Wu
主编:黄诚@安全学术圈
背景介绍
自科幻