爱豆文档 - 信息安全文档下载平台 - idocdown.com （部分文档，免费下载）

. . . . . .

Springboot之actuator配置不当的漏洞利用

# Spring Boot Actuator 配置不当漏洞分析与利用指南 ## 一、Actuator 简介 Spring Boot Actuator 是 Spring Boot 提供的用于应用系统自省和监控的功能模块，开发者可以通过 Actuator 方便地查看和统计应用系统的监控指标。 ### 1.1 原生端点列表 | HTTP 方法 | 路径 | 描述

2025-08-17 06:48:13

【缺陷周话】第18期：XPath 注入

# XPath 注入漏洞分析与防御指南 ## 1. XPath 注入概述 XPath 是一种用于在内存中导航整个XML树的语言，它使用路径表达式来选取XML文档中的节点或节点集。XPath注入是指利用XPath解析器的松散输入和容错特性，在URL、表单或其他信息上附带恶意的XPath查询代码，以获得权限信息的访问权并更改这些信息。 ### 1.1 与SQL注入的对比 XPath注入与SQL注入类似，都是通过构造恶意的查询语句对应用程序进行攻击。但存在以下关键区别： - **权限控制**

2025-08-17 06:47:20

SecWiki周刊（第254期）

# 网络安全技术与研究综合教学文档 ## 一、安全资讯与行业动态 ### 1.1 安全事件与案例分析 1. **NSA数据窃取事件**： - 俄罗斯卡巴斯基实验室协助识别涉嫌窃取NSA数据的内部人员 - 涉及技术：内部威胁检测、数据泄露防护 - 参考链接：[Politico报道](https://www.politico.com/story/2019/01/09/russia-kaspersky-lab-nsa-cybersecurity-1089131) 2. **2

2025-08-17 06:46:29

Microsoft Exchange任意用户伪造漏洞（CVE-2018-8581）分析

# Microsoft Exchange 任意用户伪造漏洞(CVE-2018-8581) 技术分析与复现指南 ## 一、漏洞概述 **漏洞编号**: CVE-2018-8581 **漏洞类型**: 特权提升漏洞 **影响范围**: Exchange Server 2010/2013/2016 **漏洞描述**: 该漏洞允许任何经过身份验证的用户冒充 Exchange Server 上的其他任意用户，原因是 Exchange Server 在使用 NTLM 身份验证时存在特定缺陷，

2025-08-17 06:45:29

GraphQL安全指北

# GraphQL 安全全面指南 ## 1. GraphQL 基础概念 ### 1.1 GraphQL 简介 GraphQL 是由 Facebook 创造并开源的一种用于 API 的查询语言，具有以下核心特点： - **精确数据获取**：请求所需数据，不多不少 - **单一请求获取多资源**：通过一次请求获取应用所需所有数据 - **强类型系统**：基于类型和字段组织，提供清晰错误信息 ### 1.2 核心组成部分 1. **Type**：描述数据模型，包括标量(Scalar)和对象(Ob

2025-08-17 06:44:43

中睿天下入选网络安全行业全景图

# 中睿天下网络安全攻击溯源技术解析 ## 一、企业背景与行业认可中睿天下（zorelworld）是一家专注于攻击溯源技术的网络安全企业，总部位于北京。该公司凭借其创新的解决方案在2019年入选安全牛发布的"网络安全行业全景图"，覆盖了以下四个关键细分领域： - 入侵检测/入侵防御（IDS/IPS） - 高级持续性威胁防护（APT防护） - 取证溯源 - 威胁捕捉 ## 二、核心技术：攻击溯源体系中睿天下的核心技术是构建了一套完整的"攻击溯源"解决方案，该技术体系具有以下特点： 1

2025-08-17 06:43:50

挖洞经验 | OAuth授权不当导致的Twitter私信读取漏洞（$2,940）

# OAuth授权不当导致的Twitter私信读取漏洞分析 ## 漏洞概述 2019年披露的Twitter OAuth授权漏洞允许第三方应用在用户不知情的情况下读取用户的私信(Direct Messages)，尽管授权界面明确声明"不会读取用户的推特私信"。该漏洞源于2013年泄露的Twitter官方应用API密钥仍可被利用，以及Twitter授权流程中的设计缺陷。 ## 漏洞背景 ### OAuth授权机制 - Twitter使用OAuth协议进行第三方应用授权 - 授权界面会显示应用

2025-08-17 06:42:55

SmartScreen筛选器拦截提示分析解决方案

# SmartScreen筛选器拦截提示分析与解决方案 ## 一、SmartScreen筛选器概述 SmartScreen筛选器是微软开发的一项安全技术，主要用于： 1. 识别并阻止网络钓鱼网站 2. 检测并拦截恶意软件网站 3. 对下载文件进行安全评估 ## 二、SmartScreen工作原理 SmartScreen通过三种主要方式保护用户信息安全： ### 1. 网页浏览保护 - 实时分析访问的网页内容 - 检测可疑页面特征 - 发现可疑页面时显示警告并提供反馈渠道 ### 2

2025-08-17 06:42:17

如何禁用RocketMQ TLSv1.0？

# 禁用RocketMQ TLSv1.0协议详细指南 ## 背景说明当系统被扫描发现仍在使用低版本的TLSv1.0协议时，出于安全考虑需要禁用该协议。RocketMQ作为Java编写的消息中间件，其TLS配置有其特殊性。 ## 环境要求 - 操作系统：SuSE Linux Enterprise Server 12 SP2 / CentOS 6.7 - RocketMQ版本：4.2 - JDK版本：1.8 ## 测试方法在配置前后，使用以下命令测试TLSv1.0是否被禁用： ``

2025-08-17 06:31:52

Jira错误配置问题导致NASA内部敏感信息泄露

# JIRA错误配置导致敏感信息泄露漏洞分析与防范指南 ## 漏洞概述本教学文档详细分析NASA网站JIRA应用因错误配置导致的敏感信息泄露漏洞。该漏洞允许未授权用户访问NASA内部敏感数据，包括： - 内网账户详情 - 项目情况 - 员工姓名、邮件和ID - 项目任务特性等 ## JIRA基础介绍 JIRA是由澳大利亚Atlassian公司开发的商业性应用软件，主要用于： - 缺陷管理 - 任务追踪 - 项目管理 ## 漏洞技术细节 ### 1. 错误配置的核心问题 JIRA中

2025-08-17 06:31:24

技术讨论 | 在HTTP协议层面绕过WAF

# HTTP协议层面绕过WAF技术详解 ## 一、背景介绍随着Web应用安全意识的增强，许多企业通过部署Web应用防火墙(WAF)来保护网站安全。然而，老旧Web应用或追求低成本安全解决方案的系统往往仅依赖WAF作为唯一防护措施。本文详细讲解在HTTP协议层面绕过WAF的技术方法，适用于SQL注入、命令执行、代码执行等多种渗透测试场景。 ## 二、实验环境 - 测试环境：Win10 + XAMPP - WAF：某狗Web应用防火墙最新版 - 测试脚本：使用`$_REQUEST["id"

2025-08-17 06:30:48

Web应用程序防火墙（WAF）bypass技术（三）

# Web应用程序防火墙(WAF)绕过技术：利用未初始化的Bash变量 ## 技术概述本文介绍了一种利用未初始化的Bash变量来绕过基于正则表达式过滤器和模式匹配的Web应用程序防火墙(WAF)的技术。该技术通过在命令中插入未初始化的变量，将单一命令分解为看似无害的片段，从而规避WAF的检测规则。 ## 核心原理 ### 未初始化的Bash变量特性在Bash中，未初始化的变量具有以下特性： - 未初始化的变量具有null值（根本没有值） - Bash默认将未初始化的变量视为空字符串

2025-08-17 06:30:07

跳转到页