爱豆文档 - 信息安全文档下载平台 - idocdown.com （部分文档，免费下载）

. . . . . .

记一次 afdko fuzzing

# AFDKO Fuzzing 与漏洞分析技术文档 ## 1. AFDKO 简介 AFDKO (Adobe Font Development Kit for OpenType) 是Adobe开发的用于创建和修改OpenType字体的工具包。其核心功能用C语言实现，被多个主流软件产品集成使用，包括： - Adobe Acrobat (通过CoolType.dll) - Microsoft DirectWrite (Windows文本渲染引擎) ## 2. Fuzzing 方法与发现 ###

2025-08-26 21:59:43

Jenkins RCE漏洞分析汇总

# Jenkins RCE漏洞分析汇总 ## 0x01 前言 Jenkins作为流行的持续集成工具，历史上存在多个远程代码执行漏洞。本文将对Jenkins的RCE漏洞进行系统分析，重点关注通过CLI和HTTP两种触发方式的漏洞原理及利用方法。 ## 0x02 环境搭建调试环境搭建方法： - 在catalina.sh或catalina.bat中添加调试参数 - 使用命令开启调试端口（默认8000）： - Windows: `catalina.bat jpda start` - Lin

2025-08-26 21:58:35

某cms 2019版本代码审计

# 某CMS 2019版本代码审计报告 ## 一、任意文件删除漏洞 **漏洞文件**: `/admin/dl_data.php` **漏洞描述**: - 该文件中的`filename`参数未经过任何过滤就直接用于文件删除操作 - 攻击者可以通过构造恶意`filename`参数删除服务器上的任意文件 **利用条件**: - 需要管理员权限访问`/admin/dl_data.php` - 能够控制`filename`参数 **修复建议**: - 对`filename`参数进行严格过滤 -

2025-08-26 21:57:23

浅析WordPress 5.2.3安全更新

# WordPress 5.2.3安全更新深度分析 ## 写在前面本文深入分析WordPress 5.2.3版本的安全更新内容，重点解析了该版本修复的多个安全漏洞，包括存储型XSS、反射型XSS、URL清理问题等。通过逆向安全补丁的方式，我们可以学习到WordPress安全团队如何识别和修复这些漏洞。 ## 更新概述 WordPress 5.2.3是一个安全维护更新版本，修复了多个安全问题。虽然这些漏洞大多需要特定条件才能利用（如需要用户交互或高权限账户），但及时更新仍然是保护网站安全

2025-08-26 21:56:15

ghostscript的前世今生

# Ghostscript 安全机制深度解析与攻防技术 ## 1. PostScript 语言基础 ### 1.1 语言特性 PostScript 是 Adobe 提出的一种打印机语言，采用**逆波兰表示法**（后缀表示法）： - 示例：`1 1 add` 相当于中缀表达式 `1 + 1` - 变量定义：以 `/` 开头，如 `/a 1 def` - 过程定义：用 `{}` 包裹，如 `/inc {1 1 add ==} def` ### 1.2 字典栈机制 PostScript 使用字典

2025-08-26 21:45:10

Websphere ND远程命令执行分析以及构造RpcServerDispatcher Payload(CVE-2019-4279)

# WebSphere ND远程命令执行漏洞分析及利用(CVE-2019-4279) ## 漏洞概述 WebSphere Application Server ND（Network Deployment）版本在集群管理节点的"管理覆盖层TCP端口"11006存在远程命令执行漏洞。攻击者可以通过向该端口发送特制的序列化数据，在不需要身份验证的情况下实现远程代码执行。 ## 受影响版本 - WebSphere Application Server ND 9.0 - WebSphere Appl

2025-08-26 21:43:57

浅析WordPress5.0存储型XSS漏洞

# WordPress 5.0存储型XSS漏洞分析与防御指南 ## 漏洞概述 WordPress 5.0至5.0.4版本中存在一个严重的存储型跨站脚本(XSS)漏洞(CVE-2019-16219)，该漏洞源于WordPress 5.0引入的新编辑器Gutenberg对Shortcode错误消息处理不当，未能正确过滤JavaScript/HTML代码。 ## 受影响版本 - WordPress 5.0至5.0.4 - WordPress 5.1和5.1.1版本 ## 漏洞原理 1. *

2025-08-26 21:42:34

CVE-2017-17562 GoAhead远程代码执行漏洞分析

# GoAhead远程代码执行漏洞(CVE-2017-17562)深入分析与利用指南 ## 漏洞概述 **漏洞编号**：CVE-2017-17562 **影响版本**：GoAhead Web Server 2.5.0 至 3.6.4 **漏洞类型**：远程代码执行(RCE) **CVSS评分**：9.8 (Critical) **前提条件**： - 目标系统启用了CGI功能 - CGI程序采用动态链接方式 ## 漏洞背景 GoAhead是一款专为嵌入式实时操作系统设计的轻

2025-08-26 21:41:35

The Year of Linux on the Desktop (CVE-2019-14744)

# KDE KConfig 命令注入漏洞 (CVE-2019-14744) 深入分析与利用指南 ## 0x00 漏洞概述 **漏洞编号**: CVE-2019-14744 **影响范围**: KDE Frameworks < 5.61.0 (kf5/kdelibs) **漏洞类型**: 命令注入 **攻击场景**: 远程用户查看特殊构造的配置文件即可触发 **交互要求**: 仅在文件浏览器或桌面上查看文件 **利用难度**: 低 **危害等级**: 高 ## 0x0

2025-08-26 21:40:08

CVE-2019-16097 || Harbor任意管理员注册漏洞复现

抱歉，无法读取该文件。请更新其他文件，我可以为你进行总结。

2025-08-26 21:38:40

渗透测试-鸡肋上传点的利用

# 渗透测试中鸡肋上传点的利用方法详解 ## 0x01 概述本文详细讲解在渗透测试过程中遇到"鸡肋上传点"时的利用方法，特别是针对那些看似无法获取上传路径的Flash上传功能。通过理解业务逻辑和权限配置，我们可以找到实际利用这些上传点的方法。 ## 0x02 前期信息收集与登录绕过 ### 2.1 针对单一登录界面的测试方法当面对只有登录界面的系统时，建议进行以下测试： 1. **验证码绕过测试**： - 尝试删除验证码参数 - 测试验证码重复使用(验证码沿用)

2025-08-26 21:38:21

利用突变XSS绕过DOMPurify 2.0.0

# 突变XSS绕过DOMPurify 2.0.0技术分析 ## 前言本文详细分析了一种利用突变XSS(mXSS)绕过DOMPurify 2.0.0的技术。DOMPurify是一个广泛使用的XSS过滤器，2019年9月19日发布的更新修复了本文讨论的绕过问题。 ## HTML过滤器基础 ### 为什么需要HTML过滤器许多Web应用程序(如编辑器)允许用户使用特殊文本格式(粗体、斜体等)，这在博客和邮件系统中很常见。主要安全问题在于恶意用户可能输入恶意HTML/JavaScript导

2025-08-26 21:37:29

跳转到页