Gitlab未授权RCE（CVE-2021-22205）漏洞
0#漏洞简介 GitLab 是一个用于仓库管理系统的开源项目，使用 Git 作为代码管理工具，并在此基础上搭建起来的 Web服务。 GitLab是一款Ruby开发的Git项目管理平台。 如11.9以后的GitLab中，因为使用了图片处理工具ExifTool而受到漏洞CVE-2021-22204的影响，攻击者可以通过一个未授权的接口上传一张恶意构造的...
最新：“免费” IDA Pro 安装包里放后门！！！
0#事件 根据杀毒软件厂商 ESET Research 的消息，APT 组织 Lazarus 又有新花样了。 Lazarus 此前曾在社交网络上伪装研究员和社区套近乎，发送恶意 Visual Studio 工程文件，甚至浏览器 0day 的方式，试图入侵安全研究员的电脑。（前情提要：胖胖胖家的社工黑客又被封号了） 1#详细情况 这一次，他们选择给...
Bilibili2021「1024」CTF Write Up
0#简介 又是一年1024程序员节，在这里也祝各位师傅们节日快乐！ 还记得上次的B站挑战赛吗？传送门：https://blog.aabyss.cn/post-98.html B站也推出了“一起开启大冒险”的主题活动，同时，也推出了哔哩哔哩1024CTF的挑战页面，大家一起来挑战吧！ 活动地址：https://www.bilibili.com/bl...
Dedecms v5.8 未授权RCE 漏洞
0#漏洞简述 2021年9月30日，老外曝光了关于国产知名框架DedeCMS的远程未授权RCE漏洞，在国内安全圈引起了广泛关注和分析。 团队内部也专门对此漏洞进行了复现和分析，学习到了一些实用的知识。 以下内容，是翻译自该老外的博客，之所以没有第一时间放出来，是为了防止造成恶劣的影响。 原文地址：https://srcincite.io/bl...
2021补天白帽大会，我们共同前行
0#前言 时光如梭，光阴似箭，很快又是一年过去了，团队仍旧在茁壮发展。 但今年有些许不同，很多时候，我们看到的是灰暗，但在灰暗之中我们看到的，仍旧是希望！ 中国网络安全行业的发展、政策的变化，事关行业整体水平和风气，也事关各位业内师傅的未来。 但是我们也不能放弃希望，而要埋头奋力前行 1#补天大会 2021年9月17日，就是在9月初刚实行新政...
（原创）对某贷款APP及下载平台的渗透
前几天GA发来一个链接找下APK，让帮忙打下看看情况，于是链接给我后，我打开一看，这不正是前天无聊时候打的一个站嘛。下面进入干的过程（分两部分）： 第一部分首页界面如下： 说干就干，直接端口、目录扫描，拿到了宝塔端口和后台地址。 对后台地址进行爆破后无果，后续前台注册账户后进行文件上传，根据之前经验是没...
微软和Google发布浏览器紧急安全更新
0#事件 Google浏览器和基于微软Chrome的Edge浏览器的几个漏洞已经被披露。 攻击者可以利用这一点，目前还没有发现被外部利用来攻击的迹象。 事实上要利用它，只需调用一个恶意设计的网站或点击一个特别设计过的页面链接。 这些漏洞被判定为4级风险，意味着它们影响大，容易被利用。 1#详细情况 如果你的浏览器提示你升级，请一定不要拒绝...
可以使任何人获得管理员权限的Windows 10系统漏洞
0#漏洞简述 近日，研究人员发现低权限的用户可以访问敏感注册表数据库文件后，Windows 10和Windows 11操作系统就可以实现利用这一问题实现本地权限提升。 低权限的用户可以访问敏感注册表数据库文件，Windows 10和11被爆本地权限提升漏洞。 Windows Registry（注册表）是Windows操作系统的配置文件库，其中含有哈...
国家网信办：下架滴滴出行App
0#事件 7月2日，网络安全审查办公室发布公告称，为防范国家数据安全风险，维护国家安全，保障公共利益，依据《中华人民共和国国家安全法》《中华人民共和国网络安全法》，网络安全审查办公室按照《网络安全审查办法》，对“滴滴出行”实施网络安全审查。为配合网络安全审查工作，防范风险扩大，审查期间“滴滴出行”停止新用户注册。 说实话，第一次看到这个消息，我还有点...
渊龙Sec安全团队公众号已开通
0#一些废话 感觉已经好久没更新团队博客了，各位好久不见！ 之前有小伙伴出现无法访问团队网站的情况，团队开发部门已经加班加点，更换CDN把问题解决了。 同时，团队博客已经使用SSL证书，目前开启https强制访问，而团队其他网站并没有哦~访问团队导航等注意一下 后面有出现类似的问题，可以来审核QQ群681257973，和我反映一下，谢谢各位啦 ...
