漏洞 证书cnvd
越权漏洞
权限绕过漏洞 权限绕过（也叫越权）漏洞是指攻击者通过利用系统或应用程序中的漏洞，绕过了正常的权限控制机制，获得了比他们应该具有的更高权限。 可以通过越权漏洞访问他人信息或者操纵他人账号 其中权限绕过又有水平越权和垂直越权两种 形成原因 形成的原因：主要是因为开发人员对数据的增、删、改、查时对客户端请 ......
web基础漏洞-xss手工测试与自动测试
手工测试，一般是指结合浏览器和burp的重放进行。 1、反射型xss手工测试 1.1 测试是否返回 如果测试参数在响应的体部中并未返回，那么基本可以判断不存在反射型xss。 问题1：测试参数在响应中固有 如果测试参数除了包含返回之外，还存在固有。这样的话，直接根据测试参数是否在响应体部中包含就没有意 ......
web基础漏洞-xss
1、介绍 xss，cross site script跨站脚本攻击，是指攻击者构造payload，使其在用户的浏览器上解析为脚本执行，从而造成危害。 脚本一般是指js，但广义上vbscript和actionscript(flash)等其它脚本可以造成xss。 xss一般发生在浏览器，但广义上任何支持脚 ......
网站部署SSL证书后无法使用https访问的解决方法
网站要启用https加密访问，则需安装部署有效的SSL证书。但有时我们在服务器上安装部署SSL证书后，使用https协议访问网站，可能会出现页面加载缓慢、空白或提示 “无法访问”等问题，这时该如何解决？ 网站部署SSL证书后无法使用https访问的可能原因及解决方法 1、服务器防火墙未开启443端口 ......
免费https证书certbot的配置和使用
CertBot配置免费HTTPS证书 1.域名 首先从云服务器商注册一个域名 在云服务器商提供的控制台，购买服务器后，申请域名并且执行域名解析 2.服务器安装和配置nginx 服务器安装nginx 访问nginx官网 下载nginx包 wgte https://nginx.org/download/ ......
常见的软件安全性缺陷和漏洞
软件的安全有很多方面的内容，主要的安全问题是由软件本身的漏洞造成的，下面介绍常见的软件安全性缺陷和漏洞。 1、缓冲区溢出 缓冲区溢出已成为软件安全的头号公敌，许多实际中的安全问题都与它有关。造成缓冲区溢出问题通常有以下两种原因。 1）设计空间的转换规则的校验问题 即缺乏对可测数据的校验，导致非法数据 ......
泛微E-Office协同管理系统存在任意文件读取漏洞CNVD-2022-07603
漏洞描述 泛微e-office是一款由泛微网络科技股份有限公司开发的办公自动化（Office Automation，简称OA）系统。它是一种基于Web的协同办公平台，可以帮助企业实现电子化、自动化、智能化的办公环境。 泛微e-office officeserver2.php文件存在任意文件读取漏洞， ......
泛微emessage管理界面存在任意文件读取漏洞2023
漏洞简介 泛微 emessage 管理界面存在任意文件读取漏洞隐患，攻击者可通过此漏洞获取敏感信息，为下一步攻击做准备。 漏洞复现 fofa语法：icon_hash="-1477694668" 登录页面如下： POC: POST / HTTP/1.1 Host: User-Agent: Mozill ......
泛微E-Office json_common.php文件存在sql注入漏洞
漏洞简介 泛微e-office为企业办公提供丰富应用，覆盖常见协作场景，开箱即用。满足人事、行政、财务、销售、运营、市场等不同部门协作需求，帮助组织高效人事管理。 系统 json_common.php 文件存在SQL注入漏洞 漏洞复现 fofa语法：app="泛微-EOffice" 登录页面如下： ......
用友NC Cloud uploadChunk任意文件上传漏洞
漏洞简介 用友NC Cloud uploadChunk文件存在任意文件上传漏洞，攻击者通过此漏洞可实现上传木马文件，控制服务器。 漏洞复现 fofa语法：app="用友-NC-Cloud" 登录页面如下： POC： POST /ncchr/pm/fb/attachment/uploadChunk?f ......
泛微E-Bridge saveYZJFile任意文件读取漏洞
漏洞描述 泛微云桥e-Bridge存在任意文件读取漏洞，攻击者成功利用该漏洞，可实现任意文件读取，获取敏感信息。 漏洞复现 fofa语法：app="泛微云桥e-Bridge" 登录页面如下： windows系统POC： /wxjsapi/saveYZJFile?fileName=test&downl ......
用友NC smartweb2.RPC.d XML外部实体注入漏洞
漏洞简介 用友NC系统的smartweb2.RPC.d接口存在XML外部实体注入漏洞，攻击者可以利用该漏洞进行文件读取、内网端口扫描等攻击。 漏洞复现 fofa语法：app="用友-UFIDA-NC" 登录页面如下： POC： POST /hrss/dorado/smartweb2.RPC.d?__ ......
用友GPR-U8 slbmbygr SQL注入漏洞
漏洞简介 用友GRP-U8是面向政府及行政事业单位的财政管理应用。北京用友政务软件有限公司GRP-U8 SQL注入漏洞。 漏洞复现 fofa语法：app="用友-GRP-U8" 登录页面如下： POC：/u8qx/slbmbygr.jsp?gsdm=1';WAITFOR DELAY '0:0:5'- ......
用友GRP-RMIS datalist.jsp SQL注入漏洞
漏洞描述 用友GRP-RMIS系统的datalist.jsp存在sql注入漏洞 漏洞复现 fofa语法：app="用友-GRP-RMIS系统" 系统登录页面如下： POC： POST /datalist.jsp HTTP/1.1 Host: xxxx User-Agent: python-reque ......
用友时空KSOA dept.jsp SQL注入漏洞
漏洞简介 用友时空KSOA是建立在SOA理念指导下研发的新一代产品，是根据流通企业最前沿的I需求推出的统一的IT基础架构，它可以让流通企业各个时期建立的IT系统之间彼此轻松对话，帮助流通企业保护原有的IT投资，简化IT管理，提升竞争能力，确保企业整体的战略目标以及创新活动的实现。 系统dept.js ......
用友畅捷通 畅捷CRM get_usedspace.php SQL注入漏洞
漏洞简介 畅捷CRM get_userspace.php文件中 site_id参数存在SQL注入漏洞 漏洞复现 fofa语法：icon_hash="-1068428644" 登录页面如下： POC: GET /WebSer~1/get_usedspace.php?site_id=-1159%20UN ......
ubuntu生成泛域名证书
安装cerbot apt install certbot 执行 you.cn 换成对应的域名 certbot certonly -d *.you.cn --manual --preferred-challenges dns --server https://acme-v02.api.letsencr ......
EJS模板注入漏洞分析（CVE-2022-29078）
主要参考https://xz.aliyun.com/t/12323#toc-9进行复现 EJS 介绍和用法可见官网：https://ejs.bootcss.com/#features EJS 是一套简单的模板语言，帮你利用普通的 JavaScript 代码生成 HTML 页面。EJS 没有如何组织内 ......
PFA容量瓶配置腐蚀性样品使用 A级pfa容量瓶附带证书一瓶一证
PFA容量瓶 一、产品介绍 PFA容量瓶半透明透明可视度高，本底值低耐受强酸碱，主要用于痕量分析、同位素检测，ICP-MS/OES/AAS分析等实验。选材独特，未添加回料具有低的本底，金属元素铅、铀含量小于0.01ppb,无溶出与析出，是目前洁净的实验分析器皿，试用于半导体、多晶硅、光伏电子 锂电等 ......
IIS修改SSL证书名称
1、【Windows键 + R 】 打开运行窗口， 输入mmc 2. 点击 【文件】 ， 选择【添加/删除管理单元】，【可用管理单元】 选择 【证书】 点击添加。弹出窗口， 选择 【 计算机账户】，确定即可 3.【个人 =》 证书】 里面可以看到你刚刚导入的域名， 选中证书，右键属性， 修改友好名称 ......
nginx生成自签名证书
创建服务器证书秘钥文件 [root@Nginx ~]# openssl genrsa -des3 -out server.key 1024 ... Enter pass phrase for server.key: # 输入密码 Verifying - Enter pass phrase for s ......
SSL证书基础知识
前言：由于个人网站域名备案快过了，过段时间需要申请SSL证书，故学习下，参考他人博客。 1.0 简介 ssl证书是区分http和https协议的重要区分之一,利用ssl证书可以对服务器进行身份验证，确保链接 目标是合法服务器，这样可以避免中间人攻击和欺骗 1.1 CA证书和SSL证书 CA证书是由C ......
企业级 SigningPDF 数字签名 - 如何安装 GlobalSign AATL 文档签名证书
派胜 SigningPDF 全球签 是一款企业级PDF数字签名软件，可信数字签名、电子印章和时间戳解决方案。SigningPDF 支持 Adobe 全球认可的证书颁发机构，高自动化为PDF文档添加可信合法的数字签名。 访问 SigningPDF 官网下载最新版。https://www.paioffi ......
Nginx 服务器 SSL 证书安装部署
本文旨在通过WinSCP、putty两种工具，先下载证书，在上传至服务器指定文件夹，修改配置，重启nginx，实现在nginx上部署SSL证书。 ......
vue项目依赖包优化及漏洞解决
一：先删除没有用到的依赖包 安装depcheck依赖包：npm i -g depcheck 运行depcheck：depcheck （检测出哪些包没有用到） 开源安全扫描漏洞修复： 扫描的是package.json 文件 所以子组件版本太低的，直接升级package。json里面的父组件才可以 ......
java基础漏洞学习----SQL注入漏洞
java基础漏洞学习 SQL注入漏洞 前置基础知识 https://www.cnblogs.com/thebeastofwar/p/17759805.html 执行SQL语句的几种方式 1.Statement执行SQL语句 java.sql.Statement是Java JDBC下执行SQL语句的一 ......
nginx解析漏洞
nginx解析漏洞 漏洞原理 1、 由于nginx.conf的如下配置导致nginx把以’.php’结尾的文件交给fastcgi处理,为此可以构造http://ip/uploadfiles/test.png/.php (url结尾不一定是‘.php’,任何服务器端不存在的php文件均可,比如’a.p ......
k8s kubeadm编译修改证书默认期限
获取源码 k8s_version="v1.27.6" git clone --depth=1 -b ${k8s_version} https://github.com/kubernetes/kubernetes.git 修改源码 sed -i 's/CertificateValidity = tim ......
禅道V16.5SQL注入漏洞（CNVD-2022-42853）
禅道V16.5SQL注入漏洞（CNVD-2022-42853） 0x01 介绍 禅道项目管理软件是一款国产的、基于LGPL协议、开源免费的项目管理软件，它集产品管理、项目管理、测试管理于一体，同时还包含了事务管理、组织管理等诸多功能，是中小型企业项目管理的首选，基于自主的PHP开发框架──ZenTa ......