2024年4月7日
【CVE-2024-3273】预计超过 92000 台 D-Link NAS 设备存在后门帐户
概述 近日，安全研究人员披露了多个报废 D-Link 网络存储 (NAS) 设备型号中存在新的任意命令注入和硬编码后门漏洞。 发现该缺陷的安全研究人员“Netsecfish”称，该问题存在于“/cgi...
求知若饥，虚心若愚。
2024年4月7日
使用AI大模型打造模糊测试工具
前言 AI大模型（LLMs） 在很多事情上似乎都特别擅长，为了快速解决传统上需要大量人力才能完成的任务，每天都有人提出该技术的一些‘奇特’用例。 今天的案例来自 Brendan Dolan-Gavit...
2024年4月3日
通过重置密码token泄露收获€2500赏金
什么是ATO？ ATO全称Account TakeOver，中文一般翻译为“帐户劫持或帐户接管”，ATO一般有多种方式可以实现，比如： 当攻击者使用以往数据泄露中获取到的用户名、密码尝试未经授权访问其...
2024年4月2日
白帽应如何避免攻击性扫描行为
背景介绍 首先要明白什么是攻击性扫描行为，在漏洞‘狩猎’过程中，研究人员或白帽通常会使用到自动化工具和扫描器，但是扫描的频次和线程需要保持在目标厂商要求的限定范围内，任何超出这些限制的行为都可能被定义...
2024年4月1日
将SelfXSS升级为存储XSS
背景介绍 今天来分享一位来自叙利亚安全研究员的一个挖洞案例，来看看他是如何将Self-XSS升级为存储型XSS的。 漏洞发现 由于漏洞披露原则，暂将目标网站统称为redacted.com，我们的白帽小...
2024年3月28日
2024年3月内容汇总
三月即将过去，积极拥抱四月，希望你一切顺利，以下为你带来3月内容汇总，有错过、漏过的信息记得先马后看哈～ 【🪐星球专享】英文论文：利用GPT实现更好的内核Fuzz 【🪐星球专享】 寻找JS文件泄露的几...
2024年3月28日
【尝鲜】免费的开源图片翻译神器！不可以涩涩哦～
前言 骨哥有个朋友（当然，不是我本人了）前几天问骨哥有没有好用的图片翻译工具，嘿，还真让他问对人了～今天我就把这款工具推荐给各位，目前该工具在Github上已经收获4k Star，用的好的童鞋们，记得...
2024年3月27日
在一个Web网站中获得$7000赏金奖励
背景介绍 今天来分享国外一位18岁白帽Amir Abbas的故事，让我们来看看他是如何在一个Web网站中最终获得7000美元赏金奖励的吧。 目标选择 话说某一天，白帽小哥经朋友介绍拿到一个 Hacke...
2024年3月25日
生成式AI生态系统中安全问题
背景介绍 Salt Labs 的研究人员发现，生成式人工智能生态系统（如ChatGPT）可能成为一种新的有趣的攻击载体。该研究发现，ChatGPT生态系统中的漏洞可能允许攻击者访问用户的账户，包括Gi...
2024年3月23日
在Outlook上寻找远程代码执行漏洞【部分】
背景介绍 2023 年，NetSPI 发现 Microsoft Outlook 容易通过同步表单对象受到经过身份验证的远程代码执行 (RCE) 攻击。本文讲介绍如何他们是如何发现CVE-2024-21...