实战漏洞挖掘案例总结:审查日志漏洞、JS文件漏洞、Grafana面板绕过漏洞、IDOR漏洞引起的越权漏洞、子域接管漏洞挖掘技巧、API漏洞挖掘实战、Azure DNS接管漏洞挖掘。
漏洞(vulnerability)是指系统中存在的一些功能性或安全性的逻辑缺陷,包括一切导致威胁、损坏计算机系统安全性的所有因素,是计算机系统在硬件、软件、协议的具体实现或系统安全策略上存在的缺陷和不足。由于种种原因,漏洞的存在不可避免,一旦某些较严重的漏洞被攻击者发现,就有可能被其利用,在未授权的情况下访问或破坏计算机系统。先于攻击者发现并及时修补漏洞可有效减少来自网络的威胁。因此主动发掘并分析系统安全漏洞,对网络攻防战具有重要的意义。
漏洞的研究主要分为漏洞挖掘与漏洞分析两部分。漏洞挖掘技术是指对未知漏洞的探索,综合应用各种技术和工具,尽可能地找出软件中的潜在漏洞;漏洞分析技术是指对已发现漏洞的细节进行深入分析,为漏洞利用、补救等处理措施作铺垫。
国内外多个安全组织及个人都从事漏洞的研究。其中比较权威的两个漏洞发布机构是CVE(Common Vulnerabilities and Exposures)和CERT(Computer Emergency Response Team)。此外,国外eEye、LSD等组织也对最新的漏洞进行及时跟踪分析,并给出相应的漏洞解决方案。绿盟科技、启明星辰等单位是国内安全研究组织的代表。其中绿盟科技是发布自主研究安全漏洞最多的国内安全公司&#