墨衍会员
·
AI 创作全网分发
墨衍智能分发
本文由作者通过墨衍一键同步至各平台
1分发平台
600+累计阅读
622平均单平台
已同步平台
优快云
微信公众号
微博
知乎
掘金
百家号
博客园
抖音
小红书
你的文章也可以这样分发
墨衍会员 ¥399起/年，写一次发全网
我也要
该IDEA插件基于momo-code-sec-inspector-java二开，侧重于在编码过程中发现项目潜在的安全风险（一键搜索所有的sink点，替代传统control+F大法），部分漏洞并提供一键修复能力，提升安全攻防人员代码审计效率、开发人员代码安全质量。
支持版本：Intellij IDEA ( Community / Ultimate ) >= 2021.3
IDEA "Settings" --> "Plugins"，获取SecInspector.jar后，选中从本地磁盘安装该插件
IDEA 提供Inspect Code功能支持对整个项目/指定范围文件进行自定义规则的扫描。
我这里对亿赛通源码进行扫描，可以轻松发现一处已公开的sql注入
关注公众号回复：20240625
网络安全漏洞挖掘实战指南：SRC平台、逻辑漏洞与自动化工具链
在网络安全领域，漏洞挖掘是识别和修复系统安全缺陷的核心技术活动。其原理在于通过系统性的方法，模拟攻击者行为，发现软件或网络架构中存在的设计或实现层面的脆弱点。这项技术的价值不仅在于防御潜在攻击，更是提升企业安全水位、培养安全人才的关键实践。从应用场景看，它广泛应用于企业安全测试、渗透测试、安全众测以及安全应急响应中心（SRC）的漏洞奖励计划中。无论是针对常见的Web应用逻辑漏洞，如越权访问和业务逻辑缺陷，还是利用自动化工具链进行高效的信息收集与漏洞探测，掌握系统化的漏洞挖掘方法都至关重要。本文聚焦于SRC漏
centos云服务器安装cs（cobaltstrike4
wget https://repo.huaweicloud.com/java/jdk/8u201-b09/jdk-8u201-linux-x64.tar.gz #下载jdk压缩包tar -zxvf jdk-8u201-linux-x64.tar.gz #解压解压完之后生成一个jdk1.8.0_201文件mv jdk1.8.0_201 /usr/local/jdk1.8/ #把jdk1.8.0_201文件移动到usr/local/jdk1.8/目录下配置环境变量。
某赛通电子文档安全管理系统任意文件上传漏洞复现
某赛通电子文档安全管理系统UploadFileFromClientServiceForClient、/CDGServer3/DecryptApplicationService2、/CDGServer3/fileType/importFileType.do等接口处存在任意文件上传漏洞，未经授权的攻击者可通过此漏洞上传恶意后门文件，从而获取服务器权限。
【EZSocket】亿赛通电子文档安全管理系统
加密模式 有两种加密模式： 1、全加密，只要发现磁盘有新的文件生成或修改，且文件大小大于18字节，则加密。如果1字节也加密很容易知道加密规则容易被暴力破解，所以只针对18字节以上的文件进行加密。所以可以简单的存放一些较短字符串 2、特定格式文件加密 在服务器对指定用户的指定文件进行加密，用户只能通过指定的app 来打开或编辑app 1、只针对文件大于 18字节的文件加密 完全卸载 1、卸载驱动 计算机/管理->计算机管理/系统工具/设备管理器 Jungo - EZSocketGOT、
亿赛通电子文档安全管理系统-rce-exp_CNVD-2021-26058.zip
亿赛通电子文档安全管理系统-rce-exp_CNVD-2021-26058
2023-0Day（漏洞检测Tools）V1.4 HW-漏洞挖掘-src
工具介绍 为更好帮助师傅们日常安全巡检期间及攻防演练期间进行安全自查检测，编写了2023公开漏洞的检测工具 8月22日 漏洞检测Tools V1.0更新漏洞利用如下： 1、用友移动管理系统文件上传漏洞（YonyouMa UPload） 2、用友NC-grouptemplet接口文件上传 3、安恒明御堡垒机任意用户添加 4、致远互联FE协作办公平台文件上传漏洞 2023/8/10,V1.1更新漏洞利用如下： 5、网神SecGate 3600防火墙文件上传漏洞 6、泛微EOffice未授权访问漏洞 7、泛微EOfficeSQL注入漏洞 8、绿盟SAS堡垒机任意用户登录漏洞 2023/8/11,V1.2更新漏洞利用如下： 9、大华智慧园区综合管理平台emap文件上传 10、大华智慧园区综合管理平台SQL注入 11、用友时空KSOA_SQL注入
0Day挖掘浅析
如果是其他项目，选择Advanced Scan，Fortify会自动帮我们识别对应的开发语言（这里我们选择Advanced Scan），然后选择对应的文件夹。首先，针对于0Day的Web漏洞挖掘，能够肯定的方向一定是从代码审计开始，因为从黑灰盒角度来说，光是找该CMS框架的站点都已经够呛了；这里推荐使用CodeQL和Fortify，CodeQL偏向于Java代码审计，而Fortify类似于加强版的Seay代码审计工具，它拥有更强大的规则库。对于Web类的漏洞挖掘（包含逻辑类型），有什么更好的挖掘思路?
momo-code-sec-inspector-java:IDEA静态代码安全审核及漏洞一键修复插件
MOMO CODE SEC检查员 本插件作为Java项目静态代码安全审计工具，侧重于在编码过程中发现项目潜在的安全风险，并提供一键修复能力。 本插件利用IDEA原生检查机制检查项目，自动检查当前活动窗口的活动文件，检查速度快，占用资源少。 插件提供的规则名称均以“ Momo ”开头。 目录 版本支持 Intellij IDEA（社区/旗舰版）> = 2017.3 安装使用 IDEA插件市场搜索“ immomo ”安装。 效果展示 演示一：XXE突破发现与一键修复 演示二：Mybatis XML映射器SQL注入扩展发现与一键修复 插件规则 编号 规则名称 修复建议 一键修复 1001 多个式拼接型SQL注入漏洞 Ť 1002 占位符拼接型SQL注入扩展 Ť 1003 Mybatis注解SQL注入防御 Ť Ť 1004 Mybatis XML SQL注入防御 Ť Ť 1005
0DAY漏洞是什么，如何进行有效的防护
漏洞扫描服务（Vulnerability Scan Service）集Web漏洞扫描、操作系统漏洞扫描、资产内容合规检测、配置基线扫描、弱密码检测五大核心功能，自动发现网站或服务器在网络中的安全风险，为云上业务提供多维度的安全检测服务，满足合规要求，让安全弱点无所遁形。同时，建立快速响应机制，一旦发现零日漏洞，立即启动应急响应流程，包括漏洞分析、风险评估、补丁开发、测试验证等环节，确保在最短时间内发布安全补丁，降低漏洞被利用的风险。零日漏洞，指的是软件或系统中未被公开的、未被厂商知晓的安全漏洞。
java-sql-inspector：用于测试Java代码是否存在SQL注入漏洞的实用程序
Java SQL检查器 用于测试Java代码是否存在SQL注入漏洞的实用程序。
基于 Java 的亿赛通电子文档安全管理系统XStream反序列化漏洞任意文件上传利用
【作品名称】：基于 Java 的亿赛通电子文档安全管理系统XStream反序列化漏洞任意文件上传利用 【适用人群】：适用于希望学习不同技术领域的小白或进阶学习者。可作为毕设项目、课程设计、大作业、工程实训或初期项目立项。 【项目介绍】： 亿赛通电子文档安全管理系统（简称：CDG）是一款电子文档安全防护软件，该系统利用驱动层透明加密技术，通过对电子文档的加密保护，防止内部员工泄密和外部人员非法窃取企业核心重要数据资产。亿赛通电子文档安全管理系统存在XStream反序列化远程代码执行漏洞，攻击者可利用该漏洞对服务器上传任意文件，进而控制服务器权限。 使用 帮助信息 $ java -jar CDGXStreamDeserRCE.jar 亿赛通电子文档安全管理系统XStream反序列化漏洞任意文件上传利用 usage: Options -d,--decode <arg> 密文解码 -e,--encode <arg> 加密XML反序列化payload -h,--help 打印帮助信息 -p,--proxy
基于大模型的0day漏洞预警系统：从代码理解到自动化挖掘实战
静态应用程序安全测试（SAST）是软件开发生命周期中识别安全漏洞的关键环节，其核心原理是通过分析源代码、字节码或二进制代码，在不运行程序的情况下检测潜在的安全缺陷。传统SAST工具依赖预定义的漏洞规则库和模式匹配，在面对复杂逻辑和未知漏洞模式时，常出现高误报和漏报。随着大语言模型在代码语义理解与逻辑推理能力上的突破，AI驱动的代码分析技术正为自动化漏洞挖掘带来革命性价值。通过将大模型的深度理解能力与程序切片、数据流分析等传统静态分析技术结合，系统能够像经验丰富的安全研究员一样，追踪从用户输入点到危险函数的完
0day检测工具2023
0day检测2023
0day漏洞攻防实战：从原理到应急响应的完整指南
在网络安全领域，漏洞是攻击者突破防御的关键入口。漏洞的本质是软件或系统中存在的安全缺陷，攻击者利用这些缺陷可以执行未授权操作，例如远程代码执行或数据窃取。其技术价值在于，理解漏洞原理是构建有效防御体系的基础，能够帮助企业实现从被动响应到主动防御的转变。在应用场景上，无论是金融、政务还是互联网企业，都需要应对未知威胁，特别是0day漏洞带来的高风险。本文聚焦于0day漏洞的完整生命周期，深入剖析其从挖掘、武器化到防御的实战流程，并详细介绍了内存破坏、逻辑漏洞等核心类型，以及如何通过静态审计、模糊测试等技术进行
深入MoveIt与OMPL集成开发：从源码编译到自定义规划算法实战
本文详细介绍了如何从源码编译集成MoveIt与OMPL，并实现自定义规划算法的完整流程。通过清理环境、获取源码、解决编译依赖与错误，最终指导开发者创建并集成名为MyRRT的自定义规划算法，从而实现对机器人运动规划栈的深度定制与优化。
Matlab+Matpower实战：手把手教你生成IEEE14节点FDIA攻击数据集（附完整代码）
本文提供了一份基于Matlab与Matpower工具构建IEEE14节点FDIA攻击数据集的完整实战指南。通过动态负荷数据模拟、潮流计算、状态估计及隐蔽攻击向量注入，手把手教你生成可用于电力系统网络安全研究的仿真数据集，并附有核心代码与调试技巧。
如何用 Bochsdbg 挖掘 0day 漏洞？手把手教你从菜鸟到高手
本文介绍了使用Bochsdbg进行0day漏洞挖掘的技术方法。主要内容包括：Bochsdbg工具的特点（全系统模拟、精准控制、跨平台支持）；安装配置指南；调试实战步骤（断点设置、单步执行、内存修改）；漏洞识别技巧（崩溃分析、内存越界检测）；以及一个栈溢出漏洞的实战案例。文章还提供了高级调试技巧和常见问题解决方案，强调该技术仅用于合法安全研究，提醒读者遵守法律。通过系统讲解，帮助读者掌握漏洞挖掘的核心方法。
果蔬及菜品识别系统
果蔬及菜品识别系统
7 个合法漏洞挖掘变现途径
漏洞挖掘是合法合规、技术变现天花板极高的网络安全赛道。从新手靶场练手、SRC 入门获奖，到众测副业、开源漏洞变现，再到高阶 0day 奖励、政企高端项目，形成了完整的成长与变现体系。所有合法挖洞的核心前提是遵守网络安全法规、在官方授权范围内开展测试。只要循序渐进、稳步积累技术，新手完全可以从零起步，一边学习提升技术，一边实现技术变现，逐步成长为专业的网络安全攻防人才。
从“盲控”到“预见”：聊聊永磁同步电机负载观测器（PMSM Load Observer）如何让控制更丝滑
本文深入探讨了永磁同步电机负载观测器（PMSM Load Observer）如何通过前馈补偿和转动惯量辨识技术实现智能抗扰控制。从传统‘盲控’到预见性调节，负载观测器显著减少转速波动和能耗，提升系统响应速度。文章详细解析了观测器算法架构、工程调参技巧及前沿发展趋势，为电机控制领域提供实用解决方案。
支付逻辑漏洞的八大姿势(上篇)
学习支付漏洞,看这篇文章!!!文章来源：SecHub网络安全社区(本资料仅供学习参考，严禁使用者进行未授权渗透测试！严禁任何形式的转载！
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
361
扫一扫
