•  达梦数据库DMSQL-SQL注入小记 - 先知社区
In-depth Analysis of SQL Injection Techniques in Dameng Database (DM)

本文深入探讨了针对达梦数据库(DM)的SQL注入技术细节，包括基础语法、函数特性和多种注入手法，如联合查询注入、布尔盲注及时间盲注等。作者还分享了一些实用技巧，比如如何绕过限制以及在网络可达的情况下利用DNS外带来提取敏感信息。这是对国内广泛使用的DM数据库安全研究的重要贡献。

•  解析Mutation XSS：利用HTML解析器的复杂性进行攻击
Post: Mutation XSS: Explained, CVE and Challenge | Jorian Woltjer

本文深入探讨了Mutation XSS的原理、技巧及其发现绕过的方法，通过实际案例展示了在lxml_html_clean库中的CVE漏洞。文章亮点在于详细解析了如何利用HTML解析器与浏览器之间的差异进行攻击，为读者提供了理解和防御此类安全威胁的新视角。

•  生物医学开源工具的安全性提升：以DICOM标准为例的漏洞分析与防护策略
Tic TAC - Beware of your scan

本文深入探讨了如何增强开源生物医学工具的安全性，通过分析DICOM标准中的漏洞并展示了一种利用这些漏洞进行攻击的方法。这是对医疗设备安全领域的重要贡献。

•  深入分析：利用Google威胁分析组提供的漏洞攻击Amnesty国际组织的详细技术剖析
The Qualcomm DSP Driver - Unexpectedly Excavating an Exploit

本文深入分析了由Google的威胁分析组（TAG）提供的在野利用程序，这些程序针对Amnesty International。文章详细描述了一个历时两个半月发现六个Qualcomm驱动器漏洞的过程，并对可能的攻击策略进行了假设性的推断。最大的亮点是作者仅凭崩溃日志就成功定位并逆向工程出部分漏洞细节，展示了高超的技术能力和深度的安全洞察。

•  Prometheus服务器大规模暴露引发安全危机
Mass Exposure of Prometheus Servers Sparks Security Crisis

近期研究报告显示，全球约有336,000台使用开源监控工具Prometheus的服务器及其导出器直接暴露在网络环境中，这使得它们成为信息泄露、拒绝服务(Denial-of-Service, DoS)攻击乃至远程代码执行(Remote Code Execution, RCE)的目标。其中，至少40,300台Prometheus服务器和接近30万的导出器实例可以未经身份验证即获取到敏感信息，例如身份验证令牌和API密钥。此外，由于默认设置下暴露的'/debug/pprof'端口，攻击者能轻松发起DoS攻击，对受影响系统造成严重损害。

•  利用Windows UI自动化框架躲避EDR的新攻击手法
New Attack Method Leveraging Windows UI Automation to Dodge EDR

近期出现的一种新颖攻击方式，借助于Windows操作系统中用于无障碍访问的UI自动化框架，能够悄无声息地执行多种恶意行为而不触动任何现有的终端检测与响应（EDR）工具。此类攻击不仅涵盖了秘密的数据提取、对用户的欺诈诱导，还能深入操控诸如Slack和WhatsApp这类即时通讯应用程序的信息流。

•  Cleo文件传输软件零日漏洞大规模利用事件
Massive Exploitation Event of Cleo Software Zero-Day Vulnerability

从2024年12月初开始，威胁行动者广泛利用了存在于Cleo旗下的Harmony、VLTrader以及LexiCom等文件传输解决方案中的关键零日漏洞（CVE-2024-50623）。由于无限制的文件上传与下载特性，该漏洞使远程代码执行成为可能。虽然Cleo曾尝试通过补丁解决问题，但是部分补丁未能全面根除隐患。至今为止，至少十个不同行业的企业受到了影响，其中包括消费品制造商、食品业参与者、物流公司以及海运商。

* 查看或搜索历史推送内容请访问：
https://sectoday.tencent.com/
* 新浪微博账号： 腾讯玄武实验室
https://weibo.com/xuanwulab
* 微信公众号： 腾讯玄武实验室