JAVA安全之Thymeleaf模板注入绕过再探
文章前言从之前的文章中我们分析后发现Thymeleaf 3.0.15版本中只要检测到"{"就会认为存在表达式内容，随后直接抛出异常停止解析来防范模板注入问题，此类场景用于我们URL PATH、Retr
阅读全文突发！所有人今年一定要拿下软考证书！
2025年软考难度可能还会提升。激动的心颤抖的手，全体IT人抓住软考政策红利的机会来了！需要🔥大城市落户 🔥买房摇号 🔥轻松评职称🔥涨薪50% 🔥跳槽晋升 🔥扩宽人脉 🔥前沿技能提升🔥中/高级技术
阅读全文检测工程的前世今生：2025检测工程现状报告
80%企业投入资源在检测工程领域，67%获高层支持，但55%团队受困数据可及性不足，53%存在威胁建模技能缺口。45%启用AI异常检测，93%部署自动化流程，推动67%企业转向定制化行为分析检测，以应
阅读全文安卓逆向 -- 某音乐盒7.4.1破解
前言:工具：jadx、reqable、frida、pycharm、mumu模拟器12、算法助手方法：获取并解密服务端密钥难点：加壳、代码混淆、字符串加密、封包数据加密app界面：正文：注：软件为360
阅读全文【Tips】利用反射&异或加密实现WebShell免杀
Tips +1异或加密异或加密 (XOR Cipher)异或加密是一种对每个字符执行位操作的加密方法。通过与一个密钥进行异或运算，明文会被加密，且加密后的文本可以通过相同的密钥再次进行异或解密。加密与
阅读全文一次性入侵所有系统并在各处横向移动（第一部分）
Pwn everything Bounce everywhere all at once (part 1) - Quarkslab's blog本文描述了在一次"假定已被入侵"的安全审计中，我们如何通
阅读全文日志文件被改了怎么办？Linux chattr 命令让攻击者无从下手！
引言在 Linux 系统中，文件权限（read、write 和 execute）是最基本的访问控制机制。然而，在实际的安全管理中，仅依靠传统权限可能无法完全防止文件的误操作或恶意篡改。例如，关键的系统
阅读全文【工具】AI大模型、应用与测评
今天给大家推送几个大模型测评、排行等相关的资源网站：1、hugging face官网地址：https://huggingface.co/该网站专注于人工智能的模型、应用和数据集。目前汇聚了146万多个
阅读全文【有奖活动】“瞰天杯”论文征集---俄乌战争3周年情报工作启示
2022年2月18日，“遥瞰天下”微信公众号曾预测俄乌即将开战，受到广大爱好者的关注。2022年2月21日，“丁爸 情报分析师工具箱”微信公众号也用飞机航迹图展示了乌克兰紧张态势。至2025年2月24
阅读全文src挖掘-记一次幸运至极的验证码绕过
🌟 ❤️作者：yueji0j1anke首发于公号：剑客古月的安全屋字数：552阅读时间: 3min声明：请勿利用文章内的相关技术从事非法测试，由于传播、利用此文所提供的信息而造成的任何直接或者间
阅读全文方正畅享全媒体新闻采编系统reportCenter.do/screen.do接口存在SQL注入 漏洞预警
免责声明：请勿利用文章内的相关技术从事非法测试，由于传播、利用此文所提供的信息或者工具而造成的任何直接或者间接的后果及损失，均由使用者本人负责，所产生的一切不良后果与文章作者无关。该文章仅供学习用途使
阅读全文【漏洞预警】Apache InLong任意文件读取漏洞(CVE-2025-27531)
漏洞描述:Aрасhе InLоnɡ是一款用于数据集成的开源框架,广泛应用于大数据处理场景,该漏洞存在于Aрасhе InLоnɡ的JDBC功能中,由于对用户输入的参数处理不当,攻击者可以通过精心构造
阅读全文小米15 Ultra 的影像表现够牛吗？究竟该首发入还是等等其它超大杯？
假如是米粉的话那肯定是直接冲都不用考虑，但还有诸多路人需要知晓这代小米超大杯的影像优缺点，以判断需不需要等等其它超大杯。首先说说那颗小米着重宣传的HP9潜望，其优点毫无疑问就是在原生焦段（考虑四舍五入
阅读全文《论语别裁》第01章 学而（12）爱与罪
《论语别裁》第01章 学而（12）爱与罪接下来是有子的话：有子曰：其为人也孝弟，而好犯上者鲜矣；不好犯上而好作乱者，未之有也。君子务本，本立而道生；孝弟也者，其为人之本与？首先就讲到孝悌，是人的根本，
阅读全文第一部分：Silver Fox APT （银狐）滥用 Philips DICOM Viewer 来传播用于后门访问的 RAT
2023 年和 2024 年，医疗保健都是最受关注的关键基础设施领域。虽然其中许多攻击涉及勒索软件，影响数据可用性并可能扰乱患者护理，但对医疗保健组织的其他威胁则直接利用医疗应用程序。在对新型恶意软件
阅读全文Lorenzo Meacci的高级初始访问技术
初始访问简介初始访问可以说是红队评估中最微妙的部分。获取初始访问权的方法有很多种。第一种方法是搜索目标员工的泄露凭据或访问密钥。但是，这是一种概率方法，客户端可能没有暴露在外部边界的远程访问服务。另一
阅读全文将你的 Word 武器化——恶意模板注入
将你的 Word 武器化——恶意模板注入从历史上看，通过电子邮件发送文件是威胁行为者常用的初始访问技术。就我个人而言，我曾见过包含恶意软件的电子邮件被证明是有效的，在涉及恶意软件感染的 IR（事件响应
阅读全文【安全圈】警惕钓鱼攻击！FortiGuard Labs 曝光 Winos 4.0 恶意软件锁定中国台湾用户
关键词恶意软件Fortinet 旗下的 FortiGuard Labs 近日披露了一项针对台湾企业的新恶意软件活动。在与 Hackread.com 的沟通中，研究人员透露，该活动于 2025 年 1
阅读全文【安全圈】深度扫描揭示网络安全隐患：近1.2万组DeepSeek API密钥暴露
关键词近日，网络安全公司Truffle Security发布的一项研究显示，在公开的网络爬虫数据中发现了11,908组有效的DeepSeek API密钥、密码和身份验证令牌。这一发现不仅揭示了当前网络
阅读全文【安全圈】谷歌的 SafetyCore 应用程序秘密扫描 Android 手机上的所有照片
关键词数据泄露最近大量用户报告显示，谷歌的 Android System SafetyCore（一项旨在实现设备上内容扫描的系统服务）已自 2024 年 10 月起悄然安装在运行 Android 9
阅读全文【安全圈】跨国黑客落网记：从GHOSTR到ALTDOS，13TB敏感数据背后的暗网帝国
关键词数据泄露一名化名为GHOSTR、ALTDOS、DESORDEN、0mid16B等多重身份的黑客，近日因窃取并出售超13TB敏感数据而在泰国被逮捕。这名黑客不仅活跃于臭名昭著的网络犯罪和数据泄露平
阅读全文再分析我的马子就KILL你，逆向工具如何成为黑客的武器？
C#恶意软件的崛起如果将编程语言比作车辆。Python 就像一辆结实耐用的皮卡车。它不会赢得任何比赛，但它拥有许多现代化的便利设施和大量实用性。Java 是一辆小型货车。它有点臃肿和缓慢，但它拥有一
阅读全文【活动】关于开展2025数字中国创新大赛数字安全赛道数据安全和移动互联网(APP)安全赛事的通知
各省、自治区、直辖市及新疆生产建设兵团工业和信息化主管部门，各省、自治区、直辖市通信管理局，各相关单位，各高校:随着新一轮科技革命和产业变革深入发展，数字安全成为关系国家安全和经济社会稳定的关键因素。
阅读全文新型攻击“nRootTag”可将15亿部iPhone变为免费追踪器
安全研究人员在苹果的“ Find My（查找我的）”网络中发现了一个新的蓝牙跟踪漏洞——被称为“nRootTag”的攻击利用苹果的基础设施，将几乎任何支持蓝牙的计算机或智能手机转变为无形的跟踪信标。全
阅读全文2025年2月热门开源网络安全工具盘点
本文精选了一些备受关注的开源网络安全工具，这些工具在加强各种环境的安全性方面表现出色。Kunai：Linux平台的开源威胁狩猎工具Kunai 是一款开源工具，为Linux环境提供深度且精准的事件监控功
阅读全文Bybit被窃15亿美元事件溯源：黑客利用Safe实施供应链攻击
美国联邦调查局（FBI）日前正式将 Bybit 遭受创纪录的15 亿美元加密货币被窃事件与朝鲜黑客组织 Lazarus 联系起来。与此同时，Bybit 的首席执行官 Ben Zhou 宣布要对 Laz
阅读全文跨国黑客GHOSTR落网，涉90多起数据泄露案件
在泰国、新加坡执法部门与网络安全公司Group-IB的协同努力下，一名与全球90多起数据泄露案件有关的黑客被逮捕。这名黑客曾以GHOSTR、ALTDOS、DESORDEN和0mid16B等多个网络身份
阅读全文为Cherry Studio修改数据目录
这个问题，我相信很多人在使用Cherry Studio的过程中都遇到过，即当构建一个知识库时，会将大量的上传文件放置到C:\Users\administrator\AppData\Ro
阅读全文警惕银狐等黑客团伙实施的的大规模DeepSeek仿冒钓鱼攻击
随着人工智能技术的飞速发展，大型语言模型如DeepSeek的本地化部署已成为行业趋势。这不仅为企业和开发者提供了定制化AI解决方案的便利，也为网络安全领域带来了新的挑战。近期，我们观察到银狐等黑客团伙
阅读全文