有关 [ FreeBuf ] 的文章

挖洞经验 | 看我如何挖掘成人网站YouPorn的XSS并成功利用

由于我个人时间的限制,因此我很少或者说是几乎不参加赏金计划任务。虽然我早早的就注册了HackerOne,但你们可以到我的主页并没有任何的记录。在这里我不得不提及我的同事,他与我截然相反,可以说他把大部分时间都花在了研究赏金计划上。就在上个...

FacexWorm通过Facebook Messenger和Chrome扩展传播

Facebook和Chrome用户要注意了,最近有一款名叫FacexWorm的病毒,可以窃取密码,窃取加密货币,或者向Facebook用户发送垃圾邮件。 趋势科技研究人员于4月底发现这个新病毒,似乎与去年的另外两起Facebook Mes...

开源软件创建SOC的一份清单

0x01 概要 现在各个公司都有自己的SOC安全日志中心,有的是自己搭建的,有的是买厂商的,更多的情况是,各种复合类的的组织结构。这些日志来自不同的服务器,不同的部门五花八门。如果是买的设备,设备可能是一整套的方案,有自己的流理量监听与安全...

退订无门,垃圾短信猖獗谁能治得了?

QQ、微信的普及算是彻底革了短信的命,如今绝大部分人还在依赖短信的,无非是用来接收验证码、快递通知以及银行等部分服务信息。正因如此,我们也一直以来忍受着如狗皮膏药一般甩不掉的垃圾短信的骚扰。 一天下来,收到十几二十条的垃圾短信并不夸张。而...

神话传奇:一款通过卖号在微信群传播的远控木马

近期,360安全卫士监测到了一批通过微信群传播的远控木马,木马针对在网上倒卖微信号的人群定向投放。卖号人的交流群里时常有不同的小号在散播诱导性的木马程序,不知情的卖号人运行木马后,电脑上就被植入后门。 认识卖号人 在分析远控木马之前,我们先...

EU GDPR:金融机构需注意的GDPR要点分析

GPDR正式实施期限是2018年5月25日,任何一个未能满足新法规的组织将面临高达前一年全球收入4%的罚款,或者是2000万欧元。无论实施了哪种罚款,任何进一步的数据处理活动都将遭受潜在的叫停风险。因此无论是否加入了欧盟,只要你正在以任何...

黑客可利用PDF文件获取Windows凭据

Check Point安全研究员Assaf Baharav透露,PDF文件可以被恶意行为者武装化,以窃取Windows凭证(NTLM hashes)而无需任何用户交互,只需打开一个文件即可。 本周,Baharav发表了一项研究报告,展示了...

内网漫游:通过RDP劫持向远程系统执行任意代码

远程桌面协议(RDP)被广泛应用于管理员的内部网络。该协议允许系统所有者以及管理员远程管理其Windows环境。然而,RDP在为我们带来方便的同时,也为虎视眈眈的攻击者打开了一扇窗,攻击者常会利用该协议肆意的在内部网络中漫游。以下攻击,可让...

分享一款基于Pocsuite的漏洞扫描系统

PS:本项目仅用于测试、学习使用,不得用于其他非法目的。 本项目是一款基于 Flask 应用框架的在线漏洞扫描系统,同时集成了渗透测试常用的端口扫描、子域名爆破等功能,后端漏洞扫描采用的是知道创宇安全团队的开源漏洞测试框架 Pocsuite...

APT团伙(APT-C-01)新利用漏洞样本分析及关联挖掘

背景 APT-C-01组织是一个长期针对国内国防、政府、科技和教育领域的重要机构实施网络间谍攻击活动的APT团伙,其最早的攻击活动可以追溯到2007年,360威胁情报中心对该团伙的活动一直保持着持续的跟踪。团伙擅长对目标实施鱼叉攻击和水坑攻...

一系列用于Fuzzing学习的资源汇总

本文主要是向大家推荐一系列,用于fuzzing和Exploit开发初始阶段学习的资源合集,其中将包括相关的书籍,课程 – 免费或收费的,视频,工具,教程,以及一些供大家练习使用的靶机应用。(PS:文内所有链接点击“阅读原文”均可...

JIS-CTF靶机+Kioptrix靶机渗透

前言 最近一直在down各种CTF靶机玩,本次分享的2个靶机因较基础,故合并成一篇文章发表,本文章仅为初学者练手学习使用,大神们勿喷,感谢各位大佬! JIS靶机以拿到5个flag为止,本文攻击的靶机为kioptrix level1 以拿到r...