RSS订阅 立即发帖
筛选:  最新的 推荐的 热门的

maku-boot未授权任意文件下载漏洞分析

通过分析系统路由找到未授权路径，针对目标路径找到文件下载漏洞并展开攻击。

  • 1
  • 0
  • fibuleX
  • 发布于 2025-08-12 09:42:41
  • 阅读 ( 9449 )

从 SnakeYaml 看 ClassPathXmlApplicationContext 不出网利用

当我自信的将`ClassPathXmlApplicationContext不出网`融入到`SnakeYaml`中进行利用第一时间居然没有成功复现, 当我排查问题时却又想到我真的懂`beans.xml`吗, 这一系列蝴蝶效应而衍生出的各种细节问题, 太多了, 因此在本篇文章中会讲一个特别长的故事进行刨析它们之间的原理并记载我所遇到的问题.

  • 5
  • 0
  • Heihu577
  • 发布于 2025-08-07 09:00:01
  • 阅读 ( 9421 )

【病毒分析】888勒索家族再出手！幕后加密器深度剖析

1.背景 2025年3月，Solar应急响应团队成功捕获了888勒索家族的加密器样本。实际上，我们最早接触该家族是在2024年10月，彼时888家族活跃度极高，频繁针对医疗行业发起攻击，受害对象以药店、医...

基于微调CLIP的多模态大模型安全防御

大模型在各种任务上都有广泛的应用，但是从其本质来说，扩大模型规模意味着需要增加训练数据的数量和多样性，这就需要从网络上抓取数十亿条数据，这个过程是无需人工监督的。 那么这也就会带来隐患，因为其中可能会有很多不适当的、有害的内容。 尽管现在模型的开发者普遍采用了过滤器和自动检查，但这种做法仍然会引入一些不适当的内容，最终导致模型产生不安全、有偏见或有毒的行为。

  • 0
  • 0
  • elwood1916
  • 发布于 2025-04-29 09:00:02
  • 阅读 ( 21142 )

同态加密来袭！Javelin为AI嵌入向量穿上“安全铠甲”

在数字化时代，人工智能（AI）和机器学习（ML）正深刻改变着我们的生活和工作方式。其中，向量嵌入（vector embeddings）作为现代算法的核心概念，正扮演着至关重要的角色。它将抽象数据（如文本、图像或分类标签）转化为数值向量，让机器学习模型能够处理和理解复杂的数据。然而，随着AI的广泛应用，数据安全和隐私保护问题也日益凸显。今天，我们就来聊聊如何用同态加密（Homomorphic Encryption, HE）技术来守护AI嵌入的安全。

  • 0
  • 0
  • Halo咯咯
  • 发布于 2025-04-18 09:41:05
  • 阅读 ( 22991 )

面向大模型的生成-利用式越狱攻击

目前做安全大模型或者说做大模型安全，基本都会有必要的两步，分别是对齐以及红队。 因为随着大模型在各种应用场景中的广泛使用，越来越多的人开始担忧这些模型可能被滥用，尤其是在传播有害或不道德内容方面。由于这些模型的开放性和广泛的使用群体，它们的潜在风险也变得更加显著。开放源码的语言模型尤其令人担忧，因为其代码和训练数据是公开的，任何人都可以访问、修改甚至恶意利用

  • 0
  • 0
  • elwood1916
  • 发布于 2025-04-07 10:00:18
  • 阅读 ( 27078 )

一次渗透过程中的CVE-2022-45460撞洞RCE

在一次渗透中我们遇到了雄迈（XiongMai）的uc-httpd，这是一款被全球无数网络摄像机使用的轻量级Web服务器。根据Shodan的数据，大约有7万个该软件的实例在互联网上公开暴露。尽管这款软件存在严...

  • 2
  • 0
  • jentleTao
  • 发布于 2025-03-12 09:00:02
  • 阅读 ( 37764 )

fastjson 原生反序列化配合动态代理绕过限制

对于动态代理，只记得 cc1 接触过一次，然后就没有怎么碰到过了，而且动态代理似乎利用面还是比较广的，许多关键时刻都会使用到，这里正好来重新学习学习，还记得入门 java 的时候动态代理就学了半天，感觉确实很抽象

某CRM代码审计之旅-多漏洞绕过与发现

某CRM的代码审计之旅

DTale代码审计-从身份认证绕过到RCE

D-Tale 是 Flask 后端和 React 前端的组合，为您提供了一种查看和分析 Pandas 数据结构的简便方法，允许用户方便地浏览和分析数据，而无需编写复杂的代码。Dtale 可以在 Jupyter Notebook 中或者独立的网页中运行，使得分析过程更加直观和高效。该系统存在身份验证绕过和RCE漏洞

间接提示注入攻击全面测评

大型语言模型（LLMs）正日益被整合到代理框架中，使其能够通过工具执行特定操作。这些代理不仅可以处理复杂的任务，还能够与外部系统交互，例如自动化流程和设备控制等。随着技术的进步，LLM驱动的代理被部署到越来越多的环境中，这些环境通常允许访问用户的个人数据，并能够在现实世界中直接执行操作，从而大幅提升了应用的广度和深度。

  • 0
  • 0
  • elwood1916
  • 发布于 2025-01-24 09:00:00
  • 阅读 ( 33596 )

探寻Bottle框架内存马

在某次测试时候 碰见了一个叫bottle的框架 于是探寻了下在实际中可应用的注入内存马的方法

  • 0
  • 0
  • Massa
  • 发布于 2025-01-17 10:00:01
  • 阅读 ( 33418 )

强制解码越狱大模型

安全对齐（Safety Alignment）在人工智能（AI）和大规模语言模型（LLM）的研究中，指的是确保这些模型的行为与预期的社会伦理和安全标准相一致，从而防止模型产生有害、偏见或不当的输出。这一概念源自对AI系统潜在滥用和误用的担忧，尤其是在这些系统被应用于开放、未经监管的环境时

  • 0
  • 0
  • elwood1916
  • 发布于 2024-12-19 09:31:59
  • 阅读 ( 30934 )

以AJ-Report为例从0开始学习Java代码审计

记录一下一个之前没有正经审计过项目，基本没接触过java的新手如何根据有限的漏洞信息，尝试用不同的思路进行复现审计

  • 5
  • 0
  • mon0dy
  • 发布于 2024-11-13 10:00:01
  • 阅读 ( 36832 )

某订货系统文件上传漏洞分析

某订货系统文件上传漏洞分析

CVE-2023-41362 mybb模板注入漏洞分析

MyBB 是一款免费的开源论坛软件，使用php开发，支持用户自定义模板。Mybb<1.8.36的版本中，存在模板注入漏洞。

如何将 Node.js 应用程序中的文件写入提升为 RCE

在这篇博文中,我们将强调代码安全基础的重要性。我们会展示一个技术案例:攻击者如何能够把 Node.js 应用中的文件写入漏洞转化为远程代码执行,即便目标系统的文件系统是以只读方式挂载的。这个技术通过利用暴露的管道文件描述符来获得代码执行能力,从而绕过了这类加固环境中的限制。

  • 1
  • 0
  • csallin
  • 发布于 2024-11-01 10:00:01
  • 阅读 ( 26457 )

深度学习高级后门攻击分析与实现

深度学习后门攻击是一种针对深度学习模型的恶意攻击手段。攻击者通过在训练数据中植入特定的触发器,使得训练好的模型在面对含有这些触发器的输入时产生预定的错误输出,而在处理正常输入时则表现正常。这种攻击利用了深度学习模型的可塑性和对训练数据的依赖性。

  • 0
  • 0
  • elwood1916
  • 发布于 2024-10-22 10:00:02
  • 阅读 ( 28512 )

样本分析：phobos勒索软件样本分析学习

样本基本信息 基本信息： 文件大小：61kb MD5：ca52ef8f80a99a01e97dc8cf7d3f5487 文件类型：exe 病毒家族：Phobos 基础分析-持久化 该勒索软件带有加密配置，可以使用硬编码的AES...

  • 0
  • 0
  • Sciurdae
  • 发布于 2024-10-17 09:00:01
  • 阅读 ( 24275 )

c++异常处理-漏洞利用

参考 https://xz.aliyun.com/t/12967?time__1311=mqmhqIx%2BODkKDsD7G30%3D3DtQp%2BnYFeD&amp;amp;alichlgref=https%3A%2F%2Fwww.google.com.hk%2F#toc-4 https://xz.aliyun.com/t/12994?time__...

  • 0
  • 0
  • 麦当当
  • 发布于 2024-10-31 10:00:00
  • 阅读 ( 24253 )