爱豆文档 - 信息安全文档下载平台 - idocdown.com （部分文档，免费下载）

. . . . . .

JAVA代审-admintwo

# Java代码审计实战：admintwo项目安全漏洞分析 ## 项目介绍 admintwo是一个基于Java开发的Web项目，采用Struts2+Spring+Spring JDBC框架组合。其中Struts2仅作为转发功能使用，可以方便地修改为Spring MVC版本。 ## 环境搭建 ### 环境要求 - JDK 1.8.0_202 - Apache Maven 3.8.8 - Tomcat 8.5.0 - MySQL 5.7.26 ### 部署步骤 1. 从Gitee克隆项目：

2025-08-29 22:53:54

Vite开发服务器任意文件读取漏洞分析复现（CVE-2025-31125）

# Vite开发服务器任意文件读取漏洞分析(CVE-2025-31125)教学文档 ## 漏洞概述本漏洞是CVE-2025-30208的升级版，影响Vite开发服务器的多个版本，允许攻击者通过特制请求读取服务器上的任意文件。 ## 受影响版本 - 6.2.0 <= Vite <= 6.2.3 - 6.1.0 <= Vite <= 6.1.2 - 6.0.0 <= Vite <= 6.0.12 - 5.0.0 <= Vite <= 5.4.15 - Vite <= 4.5.10 ##

2025-08-29 22:52:55

ingress nginx CVE-2025-1974 漏洞分析

# CVE-2025-1974 Ingress-Nginx 漏洞深度分析与教学文档 ## 0x00 漏洞概述 CVE-2025-1974是Kubernetes Ingress-Nginx控制器中发现的一个高危安全漏洞，CVSS评分为9.8。该漏洞允许能够访问pod网络的未认证攻击者在Ingress-Nginx控制器上下文中执行任意代码，可能导致控制器可访问的所有集群范围内的Secrets被泄露。 ### 影响版本 - ingress-nginx ≤ 1.11.4 - ingress-ngi

2025-08-29 22:52:18

从CVE-2025-30208到CVE-2025-31125再到CVE-2025-31486

# Vite 任意文件读取漏洞系列分析 ## 漏洞概述本文详细分析 Vite 构建工具中一系列任意文件读取漏洞（CVE-2025-30208、CVE-2025-31125、CVE-2025-31486）的技术细节，包括漏洞原理、利用方式和修复方案。 ## CVE-2025-30208：绕过 raw 语法限制 ### 背景 CVE-2025-30208 是历史漏洞 CVE-2024-45811 的绕过。CVE-2024-45811 的核心在于 Vite 的静态资源处理机制中，`raw`

2025-08-29 22:51:00

基于Spring boot的医药管理系统审计

# 基于Spring Boot的医药管理系统安全审计报告 ## 环境搭建 ### 环境准备 1. 使用IDEA打开项目 2. 修改JDK和Maven配置 3. 等待Maven依赖加载完成 ### 配置文件修改 - 修改路径：`src/main/resources/application.yml` - 需要配置数据库连接信息 ### 数据库设置 1. 创建对应数据库 2. 导入提供的SQL文件 3. 启动项目 ## 代码审计发现的安全漏洞 ### 1. 鉴权逻辑缺陷 #### 拦截器

2025-08-29 22:50:14

IOT渗透测试：从信息收集到msf,ExploitDB攻击渗透思路实录分享

# IoT渗透测试实战指南：从信息收集到漏洞利用 ## 一、信息收集与目标发现 ### 1. 内网存活主机探测 #### arp-scan扫描 ```bash sudo arp-scan -l ``` - 扫描本地网络接口的所有主机，返回IP和MAC地址 - 仅适用于同一局域网(同一网段) - 示例输出显示3台活跃主机 #### arping探测 ```bash for i in {1..254}; do arping -c 2 192.168.52.$i; done ``` - 发送A

2025-08-29 22:39:36

记某众测Fastjson<=1.2.68反序列化RCE过程

# Fastjson<=1.2.68反序列化RCE漏洞分析与利用 ## 前言 Fastjson是阿里巴巴开源的一个高性能JSON处理库，广泛用于Java应用程序中。在版本<=1.2.68中存在反序列化远程代码执行(RCE)漏洞，攻击者可以通过精心构造的JSON数据在目标系统上执行任意代码。 ## 漏洞背景 Fastjson的反序列化漏洞历史由来已久，从1.2.24版本开始就不断有相关漏洞被披露。1.2.68版本虽然修复了之前的一些问题，但仍然存在可利用的反序列化点。 ## 漏洞利用前提

2025-08-29 22:37:41

2025年第十六届蓝桥杯网络安全赛项wp

# 蓝桥杯网络安全赛项Writeup解析与教学 ## 逆向分析 - ShadowPhases ### 题目背景 - 加密文件采用"三重影位算法"，数据被分割为三个相位，每个相位使用不同密钥混淆 - 关键点：相位间存在密钥共鸣，但需警惕内存中的镜像陷阱 ### 解题步骤 1. **静态分析**： - 使用IDA Pro加载目标程序 - 定位到关键比较点（str1和str2比较） 2. **动态调试**： - 在比较点设置断点 - 通过寄存器监控（RCX寄存器包含fl

2025-08-29 22:36:30

DC-2靶机复现

# DC-2靶机渗透测试完整教学文档 ## 1. 靶机信息收集 ### 1.1 发现靶机IP 使用`arp-scan`工具扫描本地网络，发现DC-2靶机的IP地址： ```bash arp-scan -l ``` 发现靶机IP为：`192.168.130.138` ### 1.2 端口扫描使用nmap进行全端口扫描： ```bash nmap -A -p1-65535 192.168.130.138 ``` 扫描结果显示： - 80端口：HTTP服务 - 7744端口：SSH服务（非默认

2025-08-29 22:35:34

2025蓝桥杯网络安全全部wp

# 2025蓝桥杯网络安全竞赛Writeup教学文档 ## 1. RuneBreach - 沙箱ORW挑战 **技术要点**： - 这是一个简单的ORW(Open-Read-Write)题目 - 开启了沙箱环境限制 **解题步骤**： 1. 分析题目提供的二进制文件，确认沙箱限制 2. 编写ORW利用代码： - 打开指定文件(open) - 读取文件内容(read) - 输出文件内容(write) **关键点**： - 需要绕过沙箱限制执行系统调用 - 注意文件路径的构

2025-08-29 22:34:53

ACTF2025 unstoppable 题解

# ACTF2025 unstoppable 题解教学文档 ## 题目概述这是一道关于二叉搜索树和密码学结合的逆向工程题目，要求通过分析程序逻辑，找到正确的输入序列，最终计算出正确的哈希值作为flag。 ## 主函数分析 ### 输入处理 - 程序接受2703个输入数字 - 输入范围限制在0~5004之间 - 输入首先进入`sub_555555559560`函数进行处理 ### 输入验证 - 程序对输入进行去重处理：如果输入的数字已经在树中出现过，会将该输入置0再插入树中 - 输入被

2025-08-29 22:34:09

异架构入门

# 异架构Pwn入门：MIPS/ARM环境配置与漏洞利用 ## 一、环境配置 ### 1. QEMU安装与配置 QEMU是一个支持跨平台虚拟化的虚拟机，有两种配置方式： - **System Mode**：模拟整个计算机系统，可在QEMU上运行操作系统 - 优势：支持跨指令集（如在x86上虚拟ARM计算机） - 安装命令：`sudo apt install qemu-system` - **User Mode**：运行不同平台的可执行程序 - 要求：必须同一种操作系统（如L

2025-08-29 22:33:31

跳转到页