安全运维工具箱 -- sskit（12月1日更新）

资料合集链接：https://pan.quark.cn/s/b0a2f36933de===================================免责声明请勿利用文章内的相关技术从事非法测试，

【严重！已复现】React Server Components (CVE-2025-55182)远程代码执行漏洞安全风险通告

第一章 安全通告尊敬的客户：近日，奇安信CERT监测到官方修复React Server Components 远程代码执行漏洞(CVE-2025-55182)和Next.js 远程代码执行漏洞(CVE

修复建议

法国足协遭遇黑客攻击，会员电话号码、电邮地址遭窃|韩国破获网络性犯罪大案：12 万摄像头遭入侵，受害者隐私被严重侵犯

关键词数据泄露法国足球协会 FFF 本月 1 日发布公告，表示各俱乐部用于行政管理尤其是球员注册管理的软件于 11 月 26 日遭遇网络攻击，引发数据泄露事件。在发现攻击者通过被盗账户进行未经授权的访

韩国爆出史上最大规模数据泄露，电商巨头3370万用户数据遭前员工窃取

韩国最大的电子商务巨头Coupang本周遭遇了该国历史上最严重的网络安全危机之一。该公司周日（11月30日）正式承认，其系统遭遇大规模数据泄露，受影响的客户数量高达3370万。此次事件不仅覆盖了Cou

把安全卖给中小企业，90%的人第一步就错了

问题溯源：中小企业网络安全认知的结构性缺失在中小企业（SMB）网络安全服务的市场拓展过程中，从业者频繁遭遇典型的认知障碍："我们企业规模有限，难以成为网络攻击的目标对象吧？""安全投入成本高昂，远超企

绕 WAF 实战：6 种 SQL 注入变形技巧！

WAF是拦截 SQL 注入的重要屏障，但主流 WAF 的检测规则多基于 “关键字匹配”“语法特征识别” 等固定逻辑。只要抓住这些规则的盲区，通过合理的 SQL 语句变形，就能在合法授权测试中绕过防护，

你的病例可能正被随意查阅？很多医院已经用这个“神器”封堵了！

近日，媒体报道，多家医院的互联网服务存在隐私泄露隐患：仅凭姓名和身份证号即可绑定他人为就诊人，直接查看电子病历、检查报告等一系列隐私信息。上周跟三甲医院的闺蜜聊天，她也吐槽道：“每天处理上百份电子病历

安恒信息显示屏内容播放审计系统获“AI+安全创新产品”奖

11月27日，“2025第八届数智化转型与创新评选”颁奖典礼于北京成功举办，数百家获奖企业代表与业界精英共襄盛举，共同见证数智化转型的辉煌成果，并正式揭晓了获奖榜单！安恒信息的显示屏内容播放审计系统产

黑名单过滤下为何还能无限制SQL注入！

扫码加圈子获内部资料网络安全领域各种资源，EDUSRC证书站挖掘、红蓝攻防、渗透测试等优质文章，以及工具分享、前沿信息分享、POC、EXP分享。不定期分享各种好玩的项目及好用的工具，欢迎关注。加内部圈

Censys 新旧之变

工作来源SIGCOMM 2025工作背景最初 Censys 只是一个提供网络空间扫描数据的学术项目，逐渐对外提供商业服务后，数据的准确性和时效性要比数据的广度更重要。现实中，大量服务运行在非标准端口，

天融信助力泉州打造“一云多芯”国产化云平台，驱动信创产业加速跑

近年来，福建省泉州市超前布局数字基础设施，持续做大做强数字经济，2024年数字经济总体规模超7000亿元。泉州市政府印发的《泉州市新型基础设施建设三年行动计划（2023—2025年）》中，明确了泉州市

SIEM与数据湖的融合演变进化及趋势

安全信息与事件管理（SIEM）市场正经历数十年来最重大的转变之一，这一转变由安全数据湖、数据管道及高级分析平台的兴起驱动。从最初的集中式日志管理，如今已演变为关于"谁将掌控 SOC 数据层"的争夺战—

杭州靖安科技全资收购国防人工智能解决方案提供商湖南尚泱科技

文｜靖安科技 注：未经许可严禁转载 2025 年 12 月 1 日，新一代国防科技提供商杭州靖安科技有限公司（以下简称「靖安科技」）完成对国防人工智能解决方案提供商湖南尚泱科技有限公司（以下简称「尚泱

已复现！React/Next.js 组件爆RCE 漏洞，建议立即排查

漏洞概况React是一个用于构建用户界面的JavaScript库，广泛用于开发单页应用程序和移动应用程序。近日，微步情报局监测到React 服务器组件中存在一个严重漏洞（CVE-2025-55182）

IDOR的一些新思路

IDOR的一些新思路正文主要记录之前没有见过的一些情况.🧩 1. Leading Zeros（前导零绕过）原理：某些后端系统在校验ID时，将字符串转为数字或对比时忽略前导零，导致009与9被视为相同I

近源渗透在红队实战中的落地

文章来源：https://xz.aliyun.com/news/19382

一款面向安全研究人员、红队与蓝队的本地化漏洞情报聚合与分析工具。

免责声明由于传播、利用本公众号夜组安全所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，公众号夜组安全及作者不为此承担任何责任，一旦造成后果请自行承担！如有侵权烦请告知，我们会立即

红队快速高效挖掘.net系统漏洞技巧

免责声明：由于传播、利用本公众号李白你好所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，公众号李白你好及作者不为此承担任何责任，一旦造成后果请自行承担！如有侵权烦请告知，我们会立

漏洞预警 | 天锐绿盾审批系统SQL注入漏洞

0x00 漏洞编号CVE-2025-113120x01 危险等级高危0x02 漏洞概述天锐绿盾审批系统是一款专注于企业数据安全与合规管理的智能审批平台，深度融合文档加密、权限管控与流程自动化，为企业提

漏洞预警 | 金和OA SQL注入漏洞

0x00 漏洞编号暂无0x01 危险等级高危0x02 漏洞概述金和网络是专业信息化服务商,为城市监管部门提供了互联网+监管解决方案,为企事业单位提供组织协同OA系统开发平台,电子政务一体化平台,智慧电

漏洞预警 | 友加畅捷管理系统信息泄露漏洞

0x00 漏洞编号暂无0x01 危险等级高危0x02 漏洞概述友加畅捷管理系统是一款面向企业办公自动化的综合管理平台，提供流程审批、文档管理、协同办公等功能。0x03 漏洞详情漏洞类型：信息泄露影响：

工具 | YuanZhao

注：仅供安全研究与学习之用，若将工具做其他用途，由使用者承担全部法律及连带责任，作者及发布者不承担任何法律及连带责任。0x00 简介YuanZhao是一款功能强大的专业暗链扫描工具。0x01 功能说明

“别用Find命令了，那是石器时代！”——finder.exe出世，5分钟扫完全球硬盘，黑客：我直接自首！

FinderWindows 上最快的多线程文件名猎手 —— 一句命令，秒级锁定含有关键词的文件与目录，输出纯净 UTF-8 CSV。一、核心技术多线程飞驰 默认满核并发，队列调度无锁化，百万目录瞬间过

干货速取！煤矿网络安全体系建设与防护指南

煤矿企业的安全挑战在全球能源格局中，煤矿作为重要的基础能源供应链核心，支撑着发电、钢铁冶炼等多个关键领域运转，更是保障国民经济与关键信息基础设施稳定的“能源基石”。随着数字化、智能化转型加速，井下综合

JS的AI逆向工具 AI_JS_DEBUGGER

声明：文中所涉及的技术、思路和工具仅供以安全为目的的学习交流使用，任何人不得将其用于非法用途给予盈利等目的，否则后果自行承担！如有侵权烦请告知，我会立即删除并致歉。谢谢！文章有疑问的，可以公众号发消息

又是核弹级漏洞？CVSS 10.0 满分漏洞席卷前端圈，React/Next.js 全面沦陷，堪比 Log4j？

【立即处理】React Server Components 远程代码执行漏洞(CVE-2025-55182)安全风险通告

CVE-2025-66478 是一个影响 Next.js 框架的严重远程代码执行 (RCE) 漏洞，与上游 React 实现中的漏洞 CVE-2025-55182 密切相关。该漏洞源于 React S

React/Next.js 爆出 CVSS 10.0 严重 RCE 漏洞 (CVE-2025-55182)，请立即升级！

React Server Components 中的严重安全漏洞2025年12月3日，由 React 团队 发布React Server Components 中存在一个未经身份验证的远程代码执行漏洞

全面依法治国的根本遵循和行动指南

编者按12月4日，是第十二个国家宪法日，今年“宪法宣传周”以“学习宣传贯彻习近平法治思想，推动宪法深入人心”为主题，为推进中国式现代化营造良好法治环境。 法治兴则国家兴，法治强则国家强。习近平法治思想