Zimbra是一个完整的邮件服务器,它提供配置的Postfix与OpenDKIM,Amavis,ClamAV和Nginx,准备处理一个或多个域的邮件。Linode上的Zimbra是您将找到的正常运行的邮件服务器的最快路径之一。本指南将指导您完成Zimbra安装过程。
近期在测试一个目标的时候发现对方好几个zimbra的服务器,按照网上提供的利用方法测试了之后发现利用不成功!接着自己搭建了zimbra在自己进行测试之后成功利用并且拿下zimbra服务器!
针对某个目标进行的一次渗透测试!没有什么技术含量,都是简单的测试一些常见的漏洞!开始静下心来学习!
原文 http://yanghuawu.blog.51cto.com/2638960/1106390
编辑文件smtpd_sender_restrictions 您需要编辑文件opt / zimbra / conf / zmconfigd / smtpd_sender_restrictions.cf并在permit_mynetworks之后添加行reject_sender_login_mismatch
Zimbra是一个公司用的很多的邮件系统,可能涉及到很多公司内部的机密,所以极为重要。
安装前准备 将主机名设置为:mail.cd-hst.com hostnamectl set-hostname mail.cd-hst.com DNS服务器设置: cat /etc/resolv.conf nameserver 192.168.139.215 nameserver 192.168.139.216 yum update -y 安装所需的依赖包和库文件 yum install perl perl-core ntpl nmap sudo libidn gmp libaio libstdc++ un
据Bleeping Computer报道,邮件巨头Zimbra某些版本的高严重性漏洞的技术细节已经浮出水面,通过利用该漏洞,黑客可以在没有身份验证或用户交互的情况下窃取登录信息,这意味着黑客无需账号密码即可登录用户的邮箱。 该漏洞编号为CVE-2022-27924,目前已经被收录至CNNVD,编号为CNNVD-202204-3913,受影响的Zimbra主要是开源和商业版本8.x和9.x。自2022年5月10日起,Zimbra 版本ZCS 9.0.0 的补丁24.1,以及ZCS 8.8.15的补丁31.1
通过Zimbra收取POP3邮件,总是提示错误:Connection reset。
原因:Zimbra默认不允许在使用非加密传输时进行身份认证,需要关闭相关安全设置。
本文讲述了作者以邮件登录服务为突破口,利用其中的Zimbra应用功能和邮件端口配置bug,可以对目标邮件服务端执行流量转发设置(SSRF),实现对所有登录用户的明文凭据信息窃取。
由于外网centos这台机器找不着密码,试了好多个也都不对,于是这里我们重置一下centos的密码
1 无密码情况下抓取虚拟机密码hash 在项目里面,经常会碰到vm的esxi,或者其他虚拟化平台,如云桌面。但是一般服务器都是需要开机密码才能进入桌面的,或者在内网横向的时候,也需要有虚拟机的hash来做碰撞。在这种情境下,我们可以通过kon-boot来在无密码的情况下抓取虚拟机的hash。 https://mp.weixin.qq.com/s/zOqXd8JDvUgF22dDJHsA1w 2 浅谈云上攻防系列——云IAM原理&风险以及最佳实践 深入浅出IAM,游刃有余解决云上安全隐患。 https://m
操作系统:Centos,※,Ubuntu,Redhat※,,suse,Freebsd
ln -s /opt/zimbra/java/ /opt/java
乌鸦安全的技术文章仅供参考,此文所提供的信息只为网络安全人员对自己所负责的网站、服务器等(包括但不限于)进行检测或维护参考,未经授权请勿利用文章中的技术资料对任何计算机系统进行入侵操作。利用此文所提供的信息而造成的直接或间接后果和损失,均由使用者本人负责。
Perun是一款主要适用于乙方安服、渗透测试人员和甲方RedTeam红队人员的网络资产漏洞扫描器/扫描框架,它主要适用于内网环境,加载漏洞检测Vuln模块后能够快速发现安全问题,并根据需要生成报表,以方便安全人员对授权项目完成测试工作。
近期美国网络安全和基础设施安全局 (CISA) 在其已知利用漏洞目录中增加了两个漏洞。其中一个已经在Windows支持诊断工具(MSDT)中作为零日漏洞了潜在了两年多的时间,并且它具有公开可用的漏洞利用代码。这两个安全问题的严重程度都很高,并且是目录遍历漏洞,可以帮助攻击者在目标系统上植入恶意软件。该漏洞编号为CVE-2022-34713,非正式地称为DogWalk,MSDT中的安全漏洞允许攻击者将恶意可执行文件放入Windows启动文件夹。 该问题最初是由研究员Imre Rad于2020年1月向微软报告的
备份软件 Amanda -客户端-服务器模型备份工具 Bacula - 另一个客户端-服务器模型备份工具 Backupninja -轻量级,可扩展的元数据备份系统 Backuppc -客户端-服务器模型备份工具和文件共享方案。 Burp -网络备份和还原程序 Duplicity -使用rsync算法加密的带宽-效率备份 Lsyncd -监控一个本地目录树的变化,然后产生一个进程去同步变化。默认使用rsync。 Rsnapshot -文件系统快照工具 SafeKeep -使用rdiff-backup,集中的,
在近二十年里,世界各地的国家或城市政府不断地高调宣布拥抱开源,想用 Linux 系统取代 Windows,希望能借此减少 IT 开支、降低对特定服务商的依赖,以及巩固自身数字 / 技术主权。
Jetty provides a Web server and javax.servlet container, plus support for HTTP/2, WebSocket, OSGi, JMX, JNDI, JAAS and many other integrations. These components are open source and available for commercial use and distribution.
各位 Buffer 周末好,以下是本周「FreeBuf周报」,我们总结推荐了本周的热点资讯、安全事件、一周好文和省心工具,保证大家不错过本周的每一个重点!
使用2011版菜刀访问某个webshell,发现被WAF拦截,,使用2016版可连,想看一下两者的发包特征,搭个IIS、Apache、Nginx、Tomcat环境来看post数据,默认中间件不显示这些数据,有些人可能压根就不会搭,你本意只是想看个发包,还要浪费时间去搭环境?当然也可以使用WireShark等抓包工具,但是又不会用怎么办?没事使用Ladon一条命令就搞定,非常简单。以前教大家用过Ladon的web模块捕获windows密码、获取无回显RCE漏洞命令回显、架设WEB远程下载payload、测试漏洞等,实际上还有很多用途,比如捕获0day、捕获工具payload等
ChopChop是一款功能强大的命令行工具,可以帮助广大研究人员针对Web应用程序进行动态应用程序测试。该工具的主要目的是扫描终端节点,并识别暴露的敏感服务、文件和目录。开发人员还可以在配置文件中声明检测项和签名,所有内容均支持配置,配置文件为chopchop.yml。
文章的表格中列举了Linux 中的服务、守护进程、和程序所使用的最常见的通信端口,该列表还可以在 /etc/services 文件中找到,更多详细信息推荐查看由互联网号码分派局(IANA)制定的“著名
各位 FreeBufer 周末好~以下是本周的「FreeBuf周报」,我们总结推荐了本周的热点资讯、优质文章和省心工具,保证大家不错过本周的每一个重点! 热点资讯 1、乌克兰将国家重要数据迁移至北约邻国 2、邮件巨头Zimbra曝严重漏洞,黑客无需密码即可登录 3、思科电子邮件存在安全漏洞,攻击者可利用漏洞登录其Web管理界面 4、加拿大新规 :相关企业遭受黑客网络攻击必须汇报 5、恶意软件竟被上架谷歌商店,下载次数甚至超 200 万次 6、医疗中心遭受勒索软件攻击,影响了 70万人 7、微软将在6月
专有软件和开源软件之间的对比与IT行业本身一样古老。几乎所有类别的软件都可以从开发和销售代码的供应商处获得,或者从公开代码的开发人员社区里获得。在过去十年中,对使用开放软件的厌恶,特别是在企业领域,已经发生了显著的改变。管理人员意识到,即便是Facebook,谷歌和亚马逊这样的IT巨头也都在依赖开源,一般的企业也应该如此。
IaaS全拼是Infrastructure as a Service,基础设置即服务,消费者通过Internet能够从完好的计算机基础设施获得服务。比如AWS、OpenStack,CloudStack提供的虚拟机计算服务。
https://bitnami.com/stack/redmine/installer
据国外网站Daily Dot报道,最近披露的政府秘密文件显示,美国民营智库战略预测公司(Strategic Forecasting Inc)在2011年12月遭遇黑客攻击,是因为该公司的网络系统没有采
域名已准备并已完成域名备案,则可以在控制台添加自有域名。域名接入云直播后,系统会自动分配一个 CNAME 域名(推流域名以.tlivepush.com为后缀,播放域名以.tlivecdn.com为后缀)。CNAME 域名不能直接访问,需要在域名服务提供商处完成 CNAME 配置,配置生效后,即可享受云直播服务。
如果我们访问站点是通过云开发提供的默认域名,首先默认域名访问的时候是会有限行访问速度的限制,其次,默认域名并不是非常好记,所以,这篇文章我们将介绍下,如何在云开发静态托管绑定静态域名。
前面我们讲过uptimekuma 如何监控域名证书,很多人都喜欢 uptimekuma 那高端暗黑的色系上,然而最实用就是它的域名证书监控和历史可用性图表的展示上了,如下如:
规则这里我选择缓存图片,那么只需要配置图片类型的后缀,缓存时间,可以根据情况,如果不是经常更新图片,选择30天也可以。
初学者肯定都知道自己在电脑上写的网站都只能在本地访问,那如何让我们自己的网站能够被别人看到呢,
特惠域名专属地址:https://curl.qcloud.com/XuGW0jLL
DNSPod作为中国第一大DNS解析服务提供商、第一大域名托管商,很多的站长也在使用。但是,DNSPod你真的会用吗?跟着本篇文章,带你看到DNSPod中的那些实用功能。
3.打开后选择添加记录 如图添加记录 需要注意的是记录值为你需要绑定网站的服务器IP 主机记录照搬
之前用阿里OSS时候有看到有人用同地域ECS走内网拉文件,现在用腾讯COS,想到是不是也可以走内网使用cvm下载文件呢
拥有一个自定义邮箱是一件很酷的事情,比起大家经常用的163.com,qq.com等后缀名称的邮箱更能引起人的注意,是个人站长以及想要追求个性化的童鞋的不二选择。
配置邮箱服务器之前需要解封25端口,只支持包年包月机器,不支持按量机器https://console.cloud.tencent.com/secctrl/smtp
首先,我们要申请一个网址(域名),优选腾讯域名活动页购买,活动地址 如果计划长期使用,优选com/cn后缀,试玩可一元购买xyz后缀域名,如注册onepai.xyz域名(寓意:自成一派,适合建立有个人风格的博客小站,暂未被注册),立即购买——完善信息模板——提交订单——在线支付——微信扫码——完成购买。
1.访问官网,注册账号: https://uptimerobot.com/ 2.注册完成之后,点击add new monitor,根据自己的需求添加,http(s) 是通过访问的形式,ping 就是ping你的地址,port就是监视端口,添加完之后点击Create Monitor完成。
由于项目中需要图片上传的功能,所以买了腾讯云的对象存储功能,下面就记录下具体流程,希望能给xdm做些参考
LNMP 1.5已经添加了对通配符证书的支持,生成通配符证书和Let'sEncrypt平常SSL证书命令有些差异(通配符证书命令是 lnmp dnsssl 域名dns服务商简称,普通证书是lnmp ssl add),最好是使用域名DNS服务商的API,这样才能实现自动续期。
CDN 和对象存储是经常被组合使用的一对云服务,用户可选择使用单一云厂商的组合服务,也可以选择多个云厂商的组合服务。本文对 CDN - 对象存储组合服务的单一云厂商模型和多家云厂商模型的成本构成进行了对比分析,并详细介绍了腾讯云 CDN 加速对象存储 COS 的实例。
不知道大家会不会有这样的问题,如果把两个域名同时解析到服务器,就会被百度收录两个域名(网站),而且两个网站的内容相同,会不会被百度判定为仿站或者采集呢?
昨天写了一篇使用cdn的教程,因为我也是第一次弄,出了不少的差错,今天重新写一篇。 本文参考 IOIOX博客 文章教程修改,已获得作者授权,如果有看不懂的地方请 查看原文 ;
前面我们讲完了部署和面板的信息介绍,这个环节我们讲WDCP面板创建站点的过程,初期都是单机架构,后期会讲到升级以后的变化。首先当然是创建站点,在站点域名这个地方需要注意,wdcp面板无论是单引擎还是双引擎,其实在rewrite规则上都是受到制约的,通常,我们为了提高网站的SEO优化收录,都会做一个301永久重定向,将不带www的访问重定向到带www的域名上,这个地方,要写不带www的域名。站点目录如果留空的话,会默认用域名来创建一个目录,注意,如果是二级域名的站点目录,需要先在文件管理或者linux服务器上新建目录,不建议下挂到主站点目录上。剩下的其实都不用管的。
领取专属 10元无门槛券
手把手带您无忧上云