ZONE.CI 全球网

笔者在之前的文章——《一文看懂ATT&CK框架以及使用场景实例》中详细介绍了ATT&CK框架的概念和使用场景，相信大家对ATT&CK框架一定有了初步的了解，都知

1、组件间通信 XSS
数据通过不可信赖的数据源进入Web应用程序，或者数据包含在未经验证而发送给Web用户的动态内容中，这两种情况都会导致XSS。对于组件间通

1、不当的循环终止
C/C++语言中的循环操作包括 for() 循环，while() 循环、do{}while() 循环等，在使用循环操作时，需要设定恰当的循环

漏洞 Vulnerabilitylibssh2整数溢出漏洞(CVE-2019-17498)
https://blog.semmle.com/libssh2-in

pwneasypwn
程序有后门规则，直接利用该规则就行利用即可。
__int64 __fastcall sub_E26(signed int size, un

上一篇文章中我们对于固件进行了简单的分析，这一篇我们将会补充一些Vxworks的知识，同时继续升入研究固件内容。
由于涉及到操作系统的内容，建议大家在阅读本篇前

跟团队小伙伴一起日狗判断注入
安全狗不让基本运算符后跟数字字符串
特殊运算符绕
http://172.16.1.157/sql/Less-1/?id=1'and

众所周知，智能合约的特性之一是公开透明，该特性的表现之一就是，区块链上的所有交易也是公开可见的，任何地址与智能合约所进行的交易都会被存储在链上。
在正常情况下，

近期，360安全大脑监测到有团伙针对海外贸易公司进行持续性的钓鱼攻击，经过深入分析发现此次钓鱼行为包涵了多种深度隐蔽的手段（如漏洞、隐写等等），多管齐下来保证自

前言
bank是RealWorld CTF 2019中唯一的一道crypto题，题目涉及到了schnorr比特币签名算法，在此记录一下分析和解题过程以及针对sc

活动简介
极验与京东携手业内多位安全大咖，邀您共享AI时代安全攻防实战经验，针对互联网业务中的各类业务风险，安全专家现身说法，剖析最新的反欺诈技术及实践案例，助

活动简介
10月22日，2019年第三期季刊又要与大家见面了！本期季刊重点着力于当下网络安全热门话题，收录专业实用的技术文章，我们对文章的质量严格把关，对品质始

漏洞提交地址：bugcloud.360.cn
上线活动
2019年11月18日14：00前，注册并提交漏洞审核通过的用户将额外获得1000人民币奖励。上线时间

活动简介
冬天来啦1024的脚步近了（1024程序员节是中国广大程序员的共同节日）你们的专属节日到了！毕竟是节日一定要打扮的帅气些~然鹅，打开衣柜看到的是各式各

安全研究 Security Research工控系统安全的6大挑战与5个误区
https://mp.weixin.qq.com/s/RwvyyT9Pnx50vu

漏洞 Vulnerability利用一个严重的Linux Wi-Fi bug来完全破坏系统
https://securityaffairs.co/wordpre

漏洞 VulnerabilityCVE-2019-16278：Nostromo Web服务器中未经身份验证的远程代码执行
https://twitter.com

在线阅读：安全客2019季刊第三季
点击下载：安全客2019季刊第三季.pdf
10月22日，安全客2019季刊—第3季再度上线，我们对文章的质量严格把关，对品

0x00 前言
最近要参加的一场CTF线下赛采用了CFS靶场模式，听官方说CFS靶场就是三层靶机的内网渗透，通过一层一层的渗透，获取每个靶机的flag进行拿分，

上一篇我们详细分析了bootram和Vxworks的基本启动流程，这篇文章中我们把视线转到plc的网络部分，同时来复现我们第一个、第二个工控安全漏洞。
VxWo

前言
sqlmap一直是sql注入的神器。但是有时候它检测不出来注入点，这时就需要配合手动检测。今天我们就从源码角度来看一下sqlmap是如何判断是否可以注入的

分享一下读过的最新的fuzzing论文，目前是用Xmind记录的，可能过于详细了些，未来会更加精简一点，以博客的方式来进行总结，思维导图和论文原文见我的gith

作者：余凯@瀚思科技“右脑知攻、左脑知防”是 ATT&CK 随笔系列第一篇，如果上天能给我机会让读者记住一个关键词，我选择“假定失陷（assume breach

1、ContentProvider URI 注入
ContentProvider 作为 Android 的四大组件之一，常常用来为不同的应用之间数据共享提供统一