14x Security Team

https://pan.baidu.com/s/17SOKC_949XQdbr6OyjKH2A 提取码: urs7 ...

中原农险某逻辑漏洞可导致下载用户保单信息（无需登陆）这个思路就是依据order来实现...

人脸、指纹、声音均可被模仿，生物识别真的安全吗？1996年，一部汤姆·克鲁斯主演的电影《碟中谍》在美国上映，自此开启了系列电影的华丽篇章。电影中的经典场景至今记忆犹新——阿汤哥通过隐形眼镜骗过虹膜识别、绑架大亨模拟声音片段、3D打印人脸面具通过人脸认证、窃取反派的残余指纹来解锁保险柜。（《碟中谍》电影片段）随着产业互联网时代的来临，这些当时看来异想天开的高科技，在23年后的今天已经被广泛应用，藏在每个人的手机里。互联网科技和生活场景的高度融合，给人们的生活带来极大的便利，生物...

全套黑客工具横行内网，新型勒索病毒DEADMIN LOCKER盯上国内企业    近日，深信服安全团队捕获到针对国内企业的新型勒索病毒攻击事件，攻击者通过爆破获得跳板机权限后，利用全套黑客工具包对内网主机进行渗透，人工投放勒索病毒进行加密，该勒索病毒加密邮箱与后缀为硬编码的字符串“.[DeAdmin@cock.li].DEADMIN”，并在勒索信息文件中自命名为DEADMIN LOCKER，该勒索暂无公开解密工具。加密完成后在桌面及加密根目录释放勒索信...

针对USB外设的命令注入渗透有的物联网设备会自动挂载任何连接到它的USB大容量存储设备，而且如果设备设置了某些特殊属性，那么设备可能会使用这些属性来创建挂载目录名。此外，很多挂载操作是通过调用C系统函数实现的，而恶意USB设备就可以通过这种方式来实现任意命令执行了。由于负责该操作的守护进程是以root权限运行的，因此攻击者就可以将USB设备插入到设备后等待几秒钟，然后就能够以root权限执行任意命令了。这里，我打算将我的Android设备变成一个定制版的USB外设，然后进行测...

Web安全漏洞系列：2019 Google CTF-XXE本课程主要围绕2019 Google CTF中的BNV一题展开关于XXE的学习。XXE，全称就为XML外部实体注入漏洞。通过外部实体SYSTEM请求本地文件uri，通过某种方式返回本地文件内容就导致了XXE漏洞。本期视频中，作者使用了Devtools、Insomnia、Beeceptor等工具。此外，由于这道题目查看源代码会看到有一个 post.js 文件，访问可以得到重要的 javascript 代码。作者引入了...

WebLogic任意文件上传漏洞（CVE-2019-2618）事件描述WebLogic组件介绍WebLogic是美国Oracle公司出品的一个application server，确切的说是一个基于JAVAEE架构的中间件，WebLogic是用于开发、集成、部署和管理大型分布式Web应用、网络应用和数据库应用的Java应用服务器。将Java的动态功能和Java Enterprise标准的安全性引入大型网络应用的开发、集成、部署和管理之中。WebLogic是商业市场上主要的...

黑客伪造 WordPress 插件并植入后门伪造 WordPress 插件是黑客的常用攻击方式之一。然而安全人员近期发现了一些具有后门功能的插件，如 initiatorseo 和 updrat123 等。黑客依照 UpdraftPlus 伪造了这些恶意插件。前者拥有超过 200 万活跃用户，并且会定期发布更新。恶意插件隐藏在 WordPress 首页，只有使用具有特定User-Agent字符串（随插件而异）的浏览器才能看到它们。即使原始感染源被删除，黑客也仍然可以在...

微软称伊朗黑客试图干扰美国大选 伊官方尚无回应美国总统特朗普。 资料图美国微软公司称伊朗一黑客组织试图入侵某些特定目标人物的电子邮件并发动攻击。据《联合早报》10月6日报道称，微软4日发布博客文章指出，一个名为“Phosphorous”的黑客组织在今年8月至9月的30天内，曾进行2700多次尝试，试图识别属于特定目标人物的电子邮件，他们随后对241个账户发动攻击，并成功入侵其中四个。微软称Phosphorous的目标是美国现任和前任政府官员、采访国际政治新闻的记者以及侨居海外...

2019年，新的开始，关于组建公司渗透团队的交流会，广州见...