距离Log4j2漏洞公开已经过去一个月了，它所造成的严重影响已经不需要我们重复提及了。随着时间的推移，新的漏洞会不断出现，旧的漏洞会不断消失，而这个Log4j2中的RCE漏洞可能需要好几年的时间才能得到解决。所以，在接下来的一段时间里，这个漏洞依然是我们需要去关注的重点。
腾讯御见威胁情报中心监测到网上一款编译好的RDP漏洞（亦有安全专家命名为RDS漏洞）检测工具在流行，这款工具并非来自权威安全厂商或知名研究小组。为了让戏更足一些，有人还给此款工具配上漂亮的解说blog，如下图所示。在Blog的末尾附上这款RDP漏洞检测工具的网盘下载地址，不过很快blog和网盘链接都已失效。腾讯安全专家对该工具进行技术分析，结果发现这是一出谍中谍的好戏：有人假冒安全研究者煞有介事的编造了一个故事，利用你对安全工具的好奇心，钓你上钩。
代码安全审计产品、代码缺陷分析产品、代码安全分析等基于源代码静态分析技术的产品市场上越来越多，但是质量却层次不齐，误报率非常高，漏报率也不低，究其原因是为什么呢？因为一款静态分析类产品研发不是轻松的事，往往要经历几年时间，产品才会逐渐成熟，支持的开发语言和安全漏洞类型才能达到企业级应用水平，一般中小企业是很难投入如此长的时间进行研发的，而且静态分析类产品底层技术是采用的与编译器非常类似的技术，也就是说大学课堂中编译原理课程上讲得哪些分析技术（例如：抽象语法树、切片、数据流分析、符号执行、指向分析、区间计算、到达定值分析、守卫值和非守卫值等等让人理解起来头疼的技术）大多都要用上，我记得当时学这些原理时就似懂非懂的，再把这些技术应用到产品中，难度可想而知，所以说市场上国内外的主流静态分析工具必然采用这些技术，把程序代码转化为抽象语法树是必须的一步，在抽象语法树上基础上，形成控制流图、函数调用图等之后再次进行切片分析，各种守卫值计算等等，零星的技术分析在网络上大多都能找到，但是缺乏系统化的技术分析，用这些技术、算法编码实现，在工程实践中会遇到各种各样的问题，产品市场化更是具有非常高的门槛，市场很多产品并非采用这样的主流技术，大多只是通过文件遍历扫描过程中，使用规则表达式、关键字搜索等技术匹配的特征字符串，所以这样的分析工具必然误报率非常高，这种搜索方法也只能查出一些特定的缺陷或安全漏洞函数，硬编码等特定缺陷，对于很多跨越文件的缺陷和安全漏洞是根本发现不了的。对于检测出大量误报的审计报告，测评人员和开发人员要花大量时间去分析，消耗大量时间，长此以往，这种工具必然被淘汰。
探测恶意（C2）服务器是网络安全工作中的一项重要任务。虽然没有单一的开源工具能够完全探测所有恶意服务器，但可以结合多种开源工具和技术来进行探测。以下是一些常用的方法和工具：
● 你们公司的程序员从 GitHub 上 clone 一个开源项目或者组件，引入到线上项目代码中运行，你会担心有安全漏洞吗？会担心软件投毒吗？
近日，Spring官方披露了一个远程命令执行漏洞（CVE-2022-22965），其框架存在处理流程缺陷，攻击者可远程实现对目标主机的后门文件写入和配置修改，继而通过后门文件访问获得目标主机权限。任何引用Spring Framework的框架均受此漏洞影响，包括但不限于Spring Boot等。
Verocode研究结果表明[1]，在开源组件仓库中70.5%的代码库存在安全漏洞，而这些安全漏洞风险46.6%是由其他开源项目直接、间接引进所导致的。Black Duck 报告发现，2020年经过审计的1,546个商业代码库中，98%包含开源软件包，每个代码库平均有528个软件包，84%的代码库在其开源依赖项中至少包含一个公开已知的漏洞[2]。
3月31日，spring 官方通报了 Spring 相关框架存在远程代码执行漏洞，并在 5.3.18 和 5.2.20.RELEASE 中修复了该漏洞。
Arsenal是一个功能强大且使用简单的Shell脚本（Bash），该工具专为漏洞赏金猎人设计，在该工具的帮助下，我们可以轻松在自己环境中安装并部署目前社区中功能最为强大的网络侦查工具、漏洞扫描工具和其他安全研究工具。与此同时，该工具还可以完成相关依赖组件的自动化安装，并将所有安全工具存储在本地设备上。
自动化寻找网站的注入漏洞，需要先将目标网站的所有带参数的 URL 提取出来，然后针对每个参数进行测试，对于批量化检测的目标，首先要提取大量网站带参数的 URL，针对 GET 请求的链接是可以通过自动化获取的，而 POST 型参数提交的方式，则需要手工点击，然后代理抓取数据包再进行提交测试。
自微软公司于2019年5月14日发布远程桌面服务远程代码执行漏洞（CVE-2019-0708）安全公告后，整个业界都一直在密切关注，这个漏洞必将在当今网络中掀起腥风血雨。各大安全厂商也纷纷推出自己的修复方案，我们来一起看一看。
4月8日公开OpenSSL“心脏出血”这一致命漏洞细节后引起了全球互联网的安全“地震”，国内外一些大型互联网企业的相关V**、邮件服务、即时聊天、网络支付、电子商务、权限认证等服务器均受此影响，此外还波及到一些政府和高校网站服务器。 图：全球某著名综合性门户商业网站存在OpenSSL“心脏出血”漏洞导致用户账号密码泄漏（现已修复） 虽然事后OpenSSL官方机构及各企业都已经发布相关补丁，但是安恒信息风暴中心发现该漏洞的“余震”仍在持续发酵，目前互联网上已经出现了多
镜像安全扫描是确保云原生环境安全非常重要和基础的一个环节，通过镜像安全扫描可以检测容器镜像中的漏洞，避免攻击者植入恶意代码，快速响应漏洞，从而降低安全风险。
Microsoft Windows和Microsoft Windows Server都是美国微软（Microsoft）公司的产品，Microsoft Windows是一套个人设备使用的操作系统，Microsoft Windows Server是一套服务器操作系统，Server Message Block是其中的一个服务器信息传输协议。
thr0cyte，Gr33k，花花，MrTools，R1ght0us，7089bAt，
Skipfish（https://code.google.com/archive/p/skipfish/）由谷歌制作，于2010年对外发布。Skipfish被描述是一个高效的Web应用程序的安全性检测工具，默认安装在Kali Linux中，它不仅仅是一款检测工具。它是一款完整的漏洞扫描工具。它有以下特点：
ThinkPHP6是一款PHP开发框架，是ThinkPHP系列的最新版本。该框架具有高性能、高效、简洁易用、开发快速等特点，被广泛运用于Web应用程序的快速开发。同时，ThinkPHP6还提供了多种安全机制，如数据过滤、CSRF过滤、XSS注入过滤等，帮助用户更好地保障网站安全性。
如培训现场所言，企业的网络安全是一个体系，方方面面都做的话是一个大工程，即使只是网络安全一个分支也需要较长时间建设，所以在早期需要解决当前主要矛盾（即“止血”，在关键位置先控制住大部分风险）。基于我们几个人过往的从业经验，我们建议各位在以下几个关键位置做好控制，则可以达到事半功倍立竿见影的效果：
Android 内存安全工具是一个可帮助您提升应用质量和安全性的综合工具包。通过本文您可以了解到我们推出的各种内存安全工具及其使用场景，以及了解如何通过这些工具来找到并修复问题。
面对一个目标主机时，我们往往通过端口扫描来了解目标主机开放的端口和服务。当看到一个端口号时，你是否已经猜到它是什么服务，以及它可能存在哪些安全漏洞和利用姿势呢？
---- 新智元报道 编辑：好困 【新智元导读】最近，GitHub发布了Copilot的最新改进，功能更强，响应更快。 2月14日，GitHub发布了个人版和企业版Copilot的重大更新。 简单来说就是，升级之后的GitHub Copilot将会具有更高的代码质量，以及更快的响应速度。 更强大的AI模型，更好的代码建议 自发布以来，GitHub Copilot已经为超过一百万人开发者提供了更强生产力，帮助他们提高了55%的编码速度。 但早在2022年6月首次推出时，只有27%的开发者会选择使
基于Java的压力测试工具；适用简单的并发测试，性能不稳定
关于SQLiDetector SQLiDetector是一款功能强大的SQL注入漏洞检测工具，该工具支持BurpBouty配置文件，可以帮助广大研究人员通过发送多个请求（包含14种Payload）并检查不同数据库的152个正则表达式模式来检测基于错误的SQL注入漏洞。 功能介绍 该工具的主要目标是帮助研究人员通过使用不同的Payload来扫描基于错误的SQL注入漏洞，例如： '123''123`123")123"))123`)123`))123'))123')123"123[]123""123
北京时间 2017 年 4 月 14 日晚，黑客团体Shadow Brokers（影子经纪人）再次泄露了一份 117.9 MB 的 NSA 机密文档，内含 23 个最新黑客工具，其中包含了多个Windows远程漏洞利用工具。这些工具和漏洞都属于世界顶级水平，涉及到了几乎所有的Windows版本以及其他一些应用。远程攻击者可以利用这些工具完全入侵受影响的系统。 安恒信息紧急启动重大0-day漏洞预警方案，安全研究院第一时间对漏洞和黑客工具进行分析，发现部分被入侵的系统会安装一个名为DoublePulsar的后
Apache HTTPd是Apache基金会开源的一款流行的HTTP服务器。2021年10月8日Apache HTTPd官方发布安全更新，披露了CVE-2021-42013 Apache HTTPd 2.4.49/2.4.50 路径穿越漏洞。由于对CVE-2021-41773 Apache HTTPd 2.4.49 路径穿越漏洞的修复不完善，攻击者可构造恶意请求绕过补丁，利用穿越漏洞读取到Web目录之外的其他文件。同时若Apache HTTPd开启了cgi支持，攻击者可构造恶意请求执行命令，控制服务器。
Caracal是一款功能强大的Starknet智能合约静态分析工具，广大安全研究人员或区块链技术人员可以使用该工具来对Starknet智能合约执行静态分析。
工欲善其事，必先利其器。回到过去的旧时代，渗透测试是一件非常困难的事，并且需要大量的手动操作。然而如今，渗透测试工具是”安全军火库”中最常使用的装备，一整套的自动化测试工具似乎不仅改造了渗透测试人员，甚至还可以增强计算机的性能，进行比以往更全面的测试。
关于这个工具的介绍请看https://mp.weixin.qq.com/s/7LyEou4ebdqIAI9UguawiQ
当网站服务器被入侵时，我们需要一款Webshell检测工具，来帮助我们发现webshell，进一步排查系统可能存在的安全漏洞。
推荐两款检测worldpress与thinkphp框架的漏洞检测工具，亲测效果不错。
永恒之蓝(ms17-010)批量检测工具，该软件可以有效地检测出 永恒之蓝(ms17-010) 漏洞，并且支持网段扫描。然后可以配合 MSF 渗透工具或者方程式攻击软件进行渗透提权，具体怎么渗透，可以参照我之前写的一篇文章：永恒之蓝(ms17-010)漏洞复现 。
北京时间 3 月 12 日晚，微软发布安全公告披露了一个最新的SMB远程代码执行漏洞(CVE-2020-0796)，该漏洞是由于SMBv3协议在处理恶意的压缩数据包时出错所造成的，它可让远程且未经身份验证的攻击者在目标系统上执行任意代码。
各位 Buffer 周末好，以下是本周「FreeBuf周报」，我们总结推荐了本周的热点资讯、安全事件、一周好文和省心工具，保证大家不错过本周的每一个重点！ 热点资讯 1. ChatGPT 滑铁卢：大面积封号；遭意大利封禁 4 月 1 日，越来越多人表示自己的账户被封，而意大利也在3月的最后一天正式官宣暂时禁止使用 ChatGPT，并严厉要求其母公司 OpenAI 停止处理意大利用户信息。 2. CNNVD发布漏洞赏金计划 本计划以精神表彰与物质奖励相结合的方式，鼓励引导安全研究人员积
Apache Shiro是一款开源安全框架，提供身份验证、授权、密码学和会话管理。Shiro框架直观、易用，同时也能提供健壮的安全性。
Cyber Security News 消息，ANY.RUN 沙盒分析了一种被称为 Meterpreter 的新型后门恶意软件，能利用复杂的隐写技术将恶意有效载荷隐藏在看似无害的图片文件中。
1.被动式注入检测工具GourdScan2.基于SQLMAP的主动和被动SQL注入的漏洞扫描工具Fox-scan3.免杀webshell无限生成工具webshell-venom4.获取存储在本地计算机上大量的密码LaZagne5.防火墙检测工具WAFW00F
简介 一直以来嫌麻烦没注册freebuf，总是以游客的身份在看一些东西，今天特此注册了一下，首先要表扬一下freebuf，安全验证比较给力，其次感谢平台收集并整理众多有用的资料。因此就想将以前的资料收录在平台，希望帮助更多的安全圈人事。 刚入门的汉子，一直以来或许在收集有用的文章，有用的圈子，不但得不到大牛的回应，更多就是碰壁，别人厉害点吧，懒得理你，人之本性，扶强不扶弱，以后会贡献出大批量好文章，希望给那些进不去圈子，挤不进去的人，一个自我重塑的机会，给圈子贡献一份微薄的力量，文章工具纯是收集，今天偶然发
应用程序安全性并不新鲜，但它在需求、复杂性和深度方面正迅速增长。随着网络犯罪自疫情爆发以来增长了近600%，越来越多的SaaS企业开始争相保护他们的应用程序。即使那些运行最新端点保护的系统也面临重大漏洞。
来源：新智元 2月14日，GitHub发布了个人版和企业版Copilot的重大更新。 简单来说就是，升级之后的GitHub Copilot将会具有更高的代码质量，以及更快的响应速度。 更强大的AI模型，更好的代码建议 自发布以来，GitHub Copilot已经为超过一百万人开发者提供了更强生产力，帮助他们提高了55%的编码速度。 但早在2022年6月首次推出时，只有27%的开发者会选择使用GitHub Copilot生成的代码。 如今，这一数字已经上升到了46%。甚至在Java中，达到了61%。 官
平时自己偶然会根据需要写点小工具，但是一直没上传到我的Github上（其实是因为太懒），今天把一些自己平时使用比较频繁的一些小工具上传到我的Github上，有问题的可以反馈，有喜欢的可以给个Star，嘿嘿。
NucleiFuzzer是一款功能强大的自动化Web应用程序漏洞检测工具，该工具由ParamSpider和Nuclei组成，可以帮助广大研究人员增强自己针对Web应用程序的安全检测能力。该工具使用ParamSpider来识别潜在的入口点，并使用Nuclei的模版来扫描安全漏洞。
智能扫地机器人、联网的咖啡机、可以远程控制的汽车……随着越来越多的物联网（IoT）设备走进消费者身边，万物互联渐成现实。在给消费者带来便利的同时， IoT设备等安全和隐私问题也引发了广泛关切。不止是在消费场景，工业、农业、能源、零售等等众多关系到国计民生的领域，物联网也作为重要的数字化工具，正在加速落地。同样需要关注的是，IoT设备一旦联网，安全风险也将随之而来，企业的生产运营、品牌声誉都将面临更严峻的挑战。
随着软件开发的日益复杂，敏感信息（如API密钥和访问令牌）的安全性变得尤为重要。如图1.1，根据GitGuardian的监测数据，2023年GitHub存储库中的密钥暴露数量较2022年增长了28%，累计泄漏超过1280万个身份验证和敏感密钥。这一问题不仅威胁到软件的安全性，还可能导致严重的安全漏洞和经济损失。例如，2022年9月，一名攻击者通过利用Uber公司PowerShell脚本中硬编码的管理员凭证，成功接管了该公司的内部工具和应用程序。
代码规范检测，是对代码的可靠性、安全性、可维护性、代码重复率、代码量大小进行检测和评判，生成质量报告，反馈给开发人员进行代码优化。
大家在对目标网站进行测试的时候如果挖到了SQL注入是不是要给厂商提供复现步骤和漏洞证明截图呢，提交复现步骤的时候我们只需要证明存在这个漏洞就可以过审，所以今天就给大家分享些常用的SQL注入点判断的语句
微软在周一宣布，准备给用户提供一个基于云的错误检测工具，它由人工智能驱动，其目的是，消除 Windows，办公室和其他企业应用程序中的漏洞，以避免在后期需要使用昂贵的补丁对其进行修复。 它被称为“Springfield 计划”，公司在亚特兰大召开的年度技术会议上展示了该工具，称： “这是公司拥有过的、最棒的软件漏洞根除工具。” 周一，微软首席研究员 Patrice Godefroid 在该公司网站的一篇帖子中说道： “黑客们都想利用这些漏洞。” 微软表示，自 2000 年以来就使用了该工具关键组成部分，目前
各位 FreeBufer 周末好~以下是本周的「FreeBuf 周报」，我们总结推荐了本周的热点资讯、优质文章和省心工具，保证大家不错过本周的每一个重点！
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
对象存储
即时通信 IM
实时音视频
