Aggregator

文章讨论了不同类型用户账户（如标准、服务和管理员账户）及其潜在安全风险，并列出了可能导致账户易受攻击的配置问题（如密码过期、加密不安全等），同时提供了一个PowerShell脚本用于检测脆弱账户。

文章描述了一位Arch Linux用户在Linux环境下运行Windows程序的需求，介绍了使用开源项目WinApps通过Libvirt和RDP技术搭建Windows虚拟机的过程，并分享了配置细节和优化经验。

一张网、一朵云、一体化安全、一站式运维。

前言Craft 是一个灵活、用户友好的 CMS，用于在网络及其他领域创建自定义数字体验。github地址：https://github.com/craftcms/cms影响版本3.0.0-RC1至<3.9.154.0.0-RC1至<4.14.155.0.0-RC1至<5.6.17漏洞原理Craft CMS 在处理 图片转换（Asset Transform） 功能的请求时，存在不安

从先知精选文章复现到信呼OA数据库后门0day发掘

在安卓生态系统中，Intent作为跨组件通信的核心机制，既是应用间协作的桥梁，也是安全隔离的薄弱环节。近年来，Intent相关漏洞呈现持续增长趋势，这些漏洞往往源于开发者对组件暴露范围的误判，导致恶意应用可通过精心构造的Intent调用敏感功能。传统安全测试工具要么局限于静态分析，要么无法有效覆盖闭源应用，本文介绍的MALintent框架的出现填补了这一空白——它是首个针对闭源安卓应用的灰盒Int

用户名枚举在 Kerberos 协议认证的 AS-REQ 阶段，cname 的值是用户名。当用户不存在时，返回包提示错误。当用户名存在，密码正确和密码错误时，AS-REP 的返回包不一样。所以可以利用这点，对域内进行域用户枚举和密码喷洒等攻击。正常域用户登录主机，我们可以通过 "net user /domain" 来列举出域内的用户。但是当我们用非域用户进行登录时，是不能使用

通过Reddish这台靶机学习恶劣docker下的各种骚操作，以进行快速内网渗透，docker逃逸

文都 OA 云协同系统分析+漏洞挖掘

zpan在 <= v1.6.5 版本中，存在硬编码漏洞，攻击者可通过该漏洞登录任意用户的账号，进而获取到oss key 和 secret。从而造成数据泄漏风险

本文从SEKAI CTF的一道题开始，深入源码探讨了pickle，_pickle和pickletools面对不同情况时的解析差异问题，有助于选手对这些库有更加深入的了解。

A vulnerability was found in Xen. It has been rated as critical. Impacted is an unknown function. The manipulation leads to null pointer dereference. This vulnerability is listed as CVE-2025-58144. The attack must be carried out from within the local network. There is no available exploit. To fix this issue, it is recommended to deploy a patch.

A vulnerability categorized as problematic has been discovered in Xen. The affected element is an unknown function of the component P2M Lock. The manipulation results in privilege escalation. This vulnerability is cataloged as CVE-2025-58145. The attack must originate from the local network. There is no exploit available. It is advisable to implement a patch to correct this issue.

A vulnerability, which was classified as critical, was found in Zabbix Agent 2 smartctl Plugin up to 6.0.39/7.0.10/7.2.4. This vulnerability affects unknown code of the component Parameter Handler. The manipulation of the argument smart.disk.get results in command injection. This vulnerability is identified as CVE-2025-27233. The attack can only be performed from the local network. There is not any exploit available.

Samsung patched CVE-2025-21043, a critical flaw in its Android devices exploited in live attacks. Users urged to install September 2025 update.

A vulnerability labeled as critical has been found in Linux Kernel up to 6.16-rc2. The impacted element is the function do_exit of the component perf. Executing manipulation can lead to stack-based buffer overflow. This vulnerability appears as CVE-2025-38424. The attacker needs to be present on the local network. There is no available exploit. The affected component should be upgraded.

对外进行数据对接，是比较常见且风险比较高的业务场景，需要结合具体的业务场景来设计安全方案或做安全评审，不过通用的思考框架也是有的： 1、必要性：是否必须提供原始的敏感信息到第三方，对方通过API的方式过来查询或计算，取结果回去是否可行； 2、最小化：敏感的业务数据最小化传出去或加入计算，有时候开发会为了方便就用现有的数据接口； 3、设验证：针对API对接的场景，尽可能做各种维度的验证，比如对方出口IP、调用权限等； 4、可审计：无论是API对接还是数据拷贝的场景，都需要做数据出司的审计，可以是邀请第三方相关部门审计、业务打印日志做模型审计。 以上四点可以根据实际业务场景扩展、细化，亦可结合实际需求加入新的维度，完善安全评估方案。 ------------更多内容，请访问------------- 1、SDL 100问 SDL100问：我与SDL的故事 SAST误报太高，如何解决？ SDL需要哪些人参与？ 大家都有哪些SDL运营指标？ 业务系统是否可以带漏洞上线？ 哪个厂商做SDL咨询服务和建设比较强？ 源代码扫描，是做仓库的全量扫描还是增量扫？ 如何推动业务方修复开源组件漏洞？ 开发安全左移和右移，哪一个更好？ 什么是ASTRIDE？ SDL 92/100问：在测试代码审计类产品能力时，有没有好一点的开源项目推荐？ 2、SDL创新实践 首发！“ 研发安全运营 ” 架构研究与实践 DevSecOps实施关键：研发安全团队 DevSecOps实施关键：研发安全流程 DevSecOps实施关键：研发安全规范 DevSecOps实施关键：研发安全工具 从安全视角，看研发安全 数字化转型下研发安全痛点 一个思考：安全测试驱动产品安全？ 3、SDL最初实践 【SDL最初实践】开篇 【SDL最初实践】安全培训 【SDL最初实践】安全需求 【SDL最初实践】安全设计 【SDL最初实践】安全开发 【SDL最初实践】安全测试 【SDL最初实践】安全审核 【SDL最初实践】安全响应 4、安全运营实践 基于实践的安全事件简述 安全事件运营SOP：钓鱼邮件 安全事件运营SOP：网络攻击 安全事件运营SOP：蜜罐告警 安全事件运营SOP：webshell事件 安全事件运营SOP：接收漏洞事件 应急能力提升：实战应急困境与突破 应急能力提升：挖矿权限维持攻击模拟

A vulnerability labeled as problematic has been found in Google Android. Affected is an unknown function. Such manipulation leads to cleartext transmission of sensitive information. This vulnerability is referenced as CVE-2023-21219. It is possible to launch the attack remotely. No exploit is available. It is best practice to apply a patch to resolve this issue.