版权声明
本站仅做备份收录，仅供研究与教学参考之用。
读者将信息用于其他用途的，全部法律及连带责任由读者自行承担，本站不承担任何责任。
从http3协议利用到ssrf服务端请求伪造，从joomla后台反弹shell到suid提权--靶机练习之HarryPotter_Nagini"
网络安全文章
从http3协议利用到ssrf服务端请求伪造，从joomla后台反弹shell到suid提权--靶机练习之HarryPotter_Nagini"
本文记录了一次完整的靶机渗透测试实战，从信息收集、端口扫描发现JoomlaCMS，利用HTTP3协议漏洞和SSRF漏洞，通过Gopher协议攻击MySQL数据库，注入新密码登录后台，植入木马反弹shell，最终通过SUID提权和浏览器密码还原获取root权限和flag。文章详细展示了从外网打点到内网提权的完整攻击链，具有较高的实战参考价值。
网络安全文章
印度海军水兵被控遭巴方“美人计”策反并泄露海军基地数据，印方反情报审查升级外溢至涉我人员往来与信息活动"
印度海军水兵被控向巴方情报人员提供WhatsApp验证码致基地数据泄露，案件暴露账号控制与外包岗位等安全风险链条。印方反情报审查或外溢影响涉我机构人员往来，文章建议防护需兼顾文件、账号与外包管理，并强调行动归因须有据。
网络安全文章
特斯拉的车真飞起来了，我把回放拖回去看了三遍"
特斯拉新款Roadster在SpaceX火箭测试场发布会上展示飞行能力，通过冷气推进器实现短时离地，引发广泛关注。但量产时间定于2028年，国内仅可预订公路版，意向金33.2万元，且股价未涨反跌。文章指出该车存在长期跳票历史，能否如期交付仍存不确定性，建议理性看待。
网络安全文章
每周高级威胁情报解读(2026.10.09~10.15)"
奇安信发布2026年10月9-15日威胁情报周报，揭示Kimsuky针对乌克兰的GitPower行动、TraderTraitor利用TerraformProvider投放跨平台恶意软件、UAC-0099的MATCHBOIL木马新变种及UAT-6275针对独联体国家间谍活动。报告披露IvantiConnectSecure零日漏洞链式利用、Ledger硬件钱包间谍芯片植入、ApexAccelerator恶意npm包等事件。恶意代码方面，ICMacOS升级为持久化RAT，MidnightMimosa实现开机前攻
评论