From 821a25dd96daa187010e0bd2ac52d371d8851a43 Mon Sep 17 00:00:00 2001 From: test Date: Tue, 13 Oct 2026 01:50:34 +0000 Subject: [PATCH] =?UTF-8?q?=E6=AD=A3=E5=9C=A8=E8=8E=B7=E5=8F=96URL...=20ch?= =?UTF-8?q?ainreactors:=200=20=E4=B8=AAURL=20BruceFeIix:=200=20=E4=B8=AAUR?= =?UTF-8?q?L=20Doonsec:=2024=20=E4=B8=AAURL=20=E6=80=BB=E5=85=B1=E5=8E=BB?= =?UTF-8?q?=E9=87=8D=E5=90=8E:=2024=20=E4=B8=AAURL=20GraphQL=20=E6=BC=8F?= =?UTF-8?q?=E6=B4=9E=20Part-2=EF=BC=9A=E6=B7=B1=E5=BA=A6=E5=B5=8C=E5=A5=97?= =?UTF-8?q?=20DoS=E3=80=81IDOR=20=E8=B6=8A=E6=9D=83=E4=B8=8E=E9=94=99?= =?UTF-8?q?=E8=AF=AF=E6=B6=88=E6=81=AF=E6=B3=84=E6=BC=8F=E5=AE=9E=E6=88=98?= =?UTF-8?q?=E3=80=81=E6=BC=8F=E6=B4=9E=E9=A2=84=E8=AD=A6=20|=20Telegram=20?= =?UTF-8?q?Desktop=20IPC=E8=AE=B0=E5=BD=95=E6=B3=A8=E5=85=A5=E6=BC=8F?= =?UTF-8?q?=E6=B4=9E=E3=80=81LMCache=20=E4=B8=A5=E9=87=8D=E8=BF=9C?= =?UTF-8?q?=E7=A8=8B=E4=BB=A3=E7=A0=81=E6=89=A7=E8=A1=8C=E6=BC=8F=E6=B4=9E?= =?UTF-8?q?=E4=BB=8D=E6=9C=AA=E4=BF=AE=E5=A4=8D=EF=BC=8C=E5=85=AC=E5=BC=80?= =?UTF-8?q?=E7=9A=84=20PoC=20=E6=BC=8F=E6=B4=9E=E5=88=A9=E7=94=A8=E7=A8=8B?= =?UTF-8?q?=E5=BA=8F=E5=B7=B2=E5=8F=91=E5=B8=83=E3=80=81=E8=B5=9B=E5=8D=9A?= =?UTF-8?q?=E5=AE=89=E5=85=A8=E7=8B=97=EF=BC=9ApH7Builder=20=E6=97=A7?= =?UTF-8?q?=E7=89=88=E6=9C=AC=E5=AD=98=E5=9C=A8=E7=A1=AC=E7=BC=96=E7=A0=81?= =?UTF-8?q?=20API=20=E5=AF=86=E9=92=A5=E7=BB=95=E8=BF=87=E6=BC=8F=E6=B4=9E?= =?UTF-8?q?=20(10.12)=E3=80=81Nacos=20=E7=BB=BC=E5=90=88=E6=BC=8F=E6=B4=9E?= =?UTF-8?q?=E5=88=A9=E7=94=A8=E5=B7=A5=E5=85=B7=EF=BC=88=E9=87=8D=E6=9E=84?= =?UTF-8?q?=E7=89=88=EF=BC=89=E3=80=81=E6=BC=8F=E6=B4=9E=E9=A2=84=E8=AD=A6?= =?UTF-8?q?=20|=20PostgreSQL=E7=AC=A6=E5=8F=B7=E9=93=BE=E6=8E=A5=E8=B7=9F?= =?UTF-8?q?=E9=9A=8F=E6=BC=8F=E6=B4=9E=E3=80=81?= MIME-Version: 1.0 Content-Type: text/plain; charset=UTF-8 Content-Transfer-Encoding: 8bit --- data.json | 8 +- ...IDOR 越权与错误消息泄漏实战.md | 132 ++++++++++++++++++ ...开的 PoC 漏洞利用程序已发布.md | 14 ++ ...综合漏洞利用工具（重构版）.md | 115 +++++++++++++++ ...警 PostgreSQL符号链接跟随漏洞.md | 51 +++++++ ... Telegram Desktop IPC记录注入漏洞.md | 44 ++++++ ...编码 API 密钥绕过漏洞 (10.12).md | 89 ++++++++++++ 7 files changed, 452 insertions(+), 1 deletion(-) create mode 100644 doc/2026-10/GraphQL 漏洞 Part-2：深度嵌套 DoS、IDOR 越权与错误消息泄漏实战.md create mode 100644 doc/2026-10/LMCache 严重远程代码执行漏洞仍未修复，公开的 PoC 漏洞利用程序已发布.md create mode 100644 doc/2026-10/Nacos 综合漏洞利用工具（重构版）.md create mode 100644 doc/2026-10/漏洞预警 PostgreSQL符号链接跟随漏洞.md create mode 100644 doc/2026-10/漏洞预警 Telegram Desktop IPC记录注入漏洞.md create mode 100644 doc/2026-10/赛博安全狗：pH7Builder 旧版本存在硬编码 API 密钥绕过漏洞 (10.12).md diff --git a/data.json b/data.json index b2d62338..f0f5e679 100644 --- a/data.json +++ b/data.json @@ -27590,5 +27590,11 @@ "https://mp.weixin.qq.com/s/k09QSYkVVMTJKP7CruFWCQ": "CVE-2026-66804 Windows COM 提权", "https://mp.weixin.qq.com/s/Rpxrm2k19dwXUE3Hpi2rLw": "CVSS满分10.0！WordPress Bricksforge插件无认证RCE漏洞，现已被野外利用", "https://mp.weixin.qq.com/s/LpqBAv09e6qN99rIhS7cfg": "AI挖洞实战 02｜Workbuddy+Skill技能库，完整复现高危文件上传漏洞", - "https://mp.weixin.qq.com/s/KLTabsyKBHVfbJxbEzeoRg": "REA逆向一切！渗透逆向新利器、MCP 驱动全栈逆向方案，解析原生二进制、EXE、APK，高效挖掘程序底层漏洞" + "https://mp.weixin.qq.com/s/KLTabsyKBHVfbJxbEzeoRg": "REA逆向一切！渗透逆向新利器、MCP 驱动全栈逆向方案，解析原生二进制、EXE、APK，高效挖掘程序底层漏洞", + "https://mp.weixin.qq.com/s/Mko0iLQgm-BZqQ-YCstoWQ": "GraphQL 漏洞 Part-2：深度嵌套 DoS、IDOR 越权与错误消息泄漏实战", + "https://mp.weixin.qq.com/s/Lr-v9zBJqmMPZoES6epLwQ": "漏洞预警 | Telegram Desktop IPC记录注入漏洞", + "https://mp.weixin.qq.com/s/IeNckCVu-Dgtj2C4jYyzqg": "LMCache 严重远程代码执行漏洞仍未修复，公开的 PoC 漏洞利用程序已发布", + "https://mp.weixin.qq.com/s/m9UJaNZ2yT0Sr7qVlvu5DQ": "赛博安全狗：pH7Builder 旧版本存在硬编码 API 密钥绕过漏洞 (10.12)", + "https://mp.weixin.qq.com/s/uddPSvCaNinql5Z7tcONjA": "Nacos 综合漏洞利用工具（重构版）", + "https://mp.weixin.qq.com/s/DPdme7WEibuFwEglRtJG4A": "漏洞预警 | PostgreSQL符号链接跟随漏洞" } \ No newline at end of file diff --git a/doc/2026-10/GraphQL 漏洞 Part-2：深度嵌套 DoS、IDOR 越权与错误消息泄漏实战.md b/doc/2026-10/GraphQL 漏洞 Part-2：深度嵌套 DoS、IDOR 越权与错误消息泄漏实战.md new file mode 100644 index 00000000..0afe6ac8 --- /dev/null +++ b/doc/2026-10/GraphQL 漏洞 Part-2：深度嵌套 DoS、IDOR 越权与错误消息泄漏实战.md @@ -0,0 +1,132 @@ +# GraphQL 漏洞 Part-2：深度嵌套 DoS、IDOR 越权与错误消息泄漏实战 +原创 Red Hunter + Red Hunter 黑白之道 2026-10-13 01:00 + +![](https://mmbiz.qpic.cn/mmbiz_png/nGzNudUIJ6OeEYn7e38z4RmHY4kNarEQUkSgZzbeBBtWG3jgv4CUg4VJ1ZZYdQbyR571VJkpHeJthoYnD3AUwSN1Td6Z2wcPgaS1mmQgd4g/640?from=appmsg "") +> **导语** +：GraphQL 把数据查询权交给客户端，看似收敛了攻击面，实际上把权限校验、深度限制、错误处理这些活全压到了服务端。本文是 learn365 day21 翻译与拓展，从红队视角讲三种最容易在渗透测试中拿分的攻击路径。 + +## 一、错误消息信息泄漏 + +和所有接口一样，GraphQL 也会泄漏调试信息。给端点喂畸形或不合预期的输入，verbose error message 会把后端栈、对象结构、字段名、甚至内部文件路径一股脑回吐出来。 + +实战中最常见的三类触发： +- **类型不匹配** +：把字符串塞进 Int 字段，看响应是不是抛 Expected type Int! + 之类的栈跟踪 + +- **未知字段** +：直接查 __typename +、__schema +，很多关掉内省的端点其实没关错误细节 + +- **嵌套死循环** +：在看似无关联的两个对象上互相套娃，触发 N+1 错误时经常连 ORM 内部 SQL 一并显示 + +OWASP-SKF 在 KBID-285 里专门把这一类单独列出，因为多数团队只想着关内省，忘了错误返回也是信息泄漏入口。 + +![三大攻击面示意图](https://mmbiz.qpic.cn/mmbiz_png/nGzNudUIJ6PepxTuEcsabic3uPncwhLcq5I80SV4Vxz27qRVxqeyiarYEiaejLnv8yY9P9KKDGjjXRh8ZIR6FGibBib8GQibIA0ibOorUUnzNxogK8/640?from=appmsg "三大攻击面示意图") +## 二、GraphQL 拒绝服务 + +服务端没限制查询深度，攻击者就能写出无限嵌套的递归查询，把 CPU、内存、连接池全打爆。KBID-285 GraphQL DOS 实验就一句话：**向 GraphQL 端点发送任意深度的嵌套查询，观察后端是否异常** +。 + +DVGA（Damn-Vulnerable-GraphQL-Application）整理了 5 种 DoS 路径： +
攻击类型
原理
杀伤力
批处理查询
单 HTTP 请求里塞几十上百个 query
服务端并发 worker 耗尽
深度递归
自关联字段无限嵌套
CPU 占满，堆内存爆掉
资源密集查询
多对象关联回同一张大表
数据库被 N+1 拖垮
字段复制
同字段重复几百遍
JSON 序列化器跑满
别名爆炸
一个 query 里起几百个别名调同一 resolver
短时间把内部 API 配额耗光
+最容易打出效果的是深度递归。一条典型 PoC（fragment 自关联 100 层）： +``` +fragment NestedUser on User {  id  name  friends {    ...NestedUser  }}query Attack { me { ...NestedUser } } +``` + +没有深度限制的服务端秒级堆爆。修复就一条：在 query AST 上做**深度限制 + 别名数量限制 + 复杂度评分** + 三件套，单点都拦不住，全部上才有冗余。 +## 三、字段 IDOR 越权 + +和普通 API 的 IDOR 没本质区别。GraphQL 字段就相当于 RESTful 的端点，权限校验没跟上，一查一个准。 + +KBID-285 IDOR 的 writeup 给了一段教科书例子——DVGA 里查询用户设置页的 query： +``` +{  singleUser(user: 1) {    apiKey    name    surname    dateOfBirth  }} +``` + +把 user: 1 + 改成 user: 2 +、user: 3 +，加递增枚举或从其他渠道拿到的 UUID，无授权校验时直接返回他人资料。HTTP IDOR 检查表那套完全通用——query 只是从 URL 变成了花括号，字段改为嵌套。 + +更深一层：**批处理 + IDOR 组合** +，单请求里写几十个别名批量越权，同时打垮授权层： +``` +query MassIDOR {  u1: singleUser(user: 1) { apiKey }  u2: singleUser(user: 2) { apiKey }  u3: singleUser(user: 3) { apiKey }} +``` +## 四、Burp 扩展值得装 + +跑 GraphQL 测试别裸奔，Burp Suite 上两个扩展能省一半时间： +- **InQL** +：自动生成 introspection 查询，对端点做 schema 树形展示，一眼看到所有 query/mutation/field + +- **GraphQL Raider** +：内置常见 payload 库，跑批处理、深度递归、字段复制三连击 + +目标域名丢进 InQL scope，它就开始自动枚举，配合 Repeater 改字段值比手工拼 query 快三倍。 +## 五、动手练手 + +DVGA 一站式搞定，五大类攻击明明白白摆在那： +``` +git clone https://github.com/dolevf/Damn-Vulnerable-GraphQL-Applicationcd Damn-Vulnerable-GraphQL-Applicationdocker-compose up -d   # 浏览器开 http://localhost:5000 +``` + +Beginner / Expert 两档难度，Postman 还提供现成解题集合可以导入。 +## 六、防御五要点 + +实战里真正能防住 80% 攻击的： +1. **生产关 introspection** +（__schema +/__type +/__typename +），错误页打码，不漏堆栈 + +1. **强制 query 白名单** +（persisted queries），不让客户端写任意 query + +1. **加深度和复杂度限制** +：单 query 嵌套不超过 8-10 层、aliases 不超 100 + +1. **字段级授权** +：每个 resolver 都要 ctx.user + 校验，不能靠前端传 user id + +1. **批处理 rate limit** +：陌生人请求数卡到 5 个 query 一个 HTTP + +做到这五条，Bug Bounty 上不会因为 GraphQL 基础姿势被拿。 +## 七、思考题 +1. introspection 关掉的端点，还有哪些姿势能反推 schema？（提示：field suggestions / GraphiQL UI / 错误消息三重路子） + +1. 嵌套递归 DoS 之外，**batch query + IDOR** + 组合有没有更隐蔽的玩法？ + +1. 字段级授权在 GraphQL 实现层是不是每个 resolver 都要写一遍？有没有框架级一刀切的方案？ + +## 八、素材出处 +- OWASP-SKF KBID 285 - GraphQL DOS + +- OWASP-SKF KBID 285 - GraphQL IDOR + +- Damn-Vulnerable-GraphQL-Application + +- HackerOne Report #1132803 - GraphQL Introspection 内省泄漏 + +- learn365 day21 - GraphQL Vulnerabilities (Part-2) + +![](https://mmbiz.qpic.cn/sz_mmbiz_jpg/nGzNudUIJ6NBnhaWu9Yg4dQf9JEXq7oEpick4CE7OLzePc5n3lLapHhhUmZ2VnBcOMl0NotkqEJ77zY8InHgWcyKiaE5iahrxcBKKAtFBgHlYQ/640?from=appmsg "") + +[](https://mp.weixin.qq.com/s?__biz=MzAxMjE3ODU3MQ==&mid=2650621549&idx=1&sn=21c4b072726d2387d562109ada6b9bbb&scene=21#wechat_redirect) + +[](https://mp.weixin.qq.com/s?__biz=MzAxMjE3ODU3MQ==&mid=2650621944&idx=1&sn=3cc6dc9876a20466d4ec3634deb80220&scene=21#wechat_redirect) + +[](https://mp.weixin.qq.com/s?__biz=MzAxMjE3ODU3MQ==&mid=2650622065&idx=1&sn=09f8ae84c06d4331e71c277b177ae701&scene=21#wechat_redirect) +> 👇 点击**阅读原文** +，访问我的网站 + + diff --git a/doc/2026-10/LMCache 严重远程代码执行漏洞仍未修复，公开的 PoC 漏洞利用程序已发布.md b/doc/2026-10/LMCache 严重远程代码执行漏洞仍未修复，公开的 PoC 漏洞利用程序已发布.md new file mode 100644 index 00000000..522a1fb8 --- /dev/null +++ b/doc/2026-10/LMCache 严重远程代码执行漏洞仍未修复，公开的 PoC 漏洞利用程序已发布.md @@ -0,0 +1,14 @@ +# LMCache 严重远程代码执行漏洞仍未修复，公开的 PoC 漏洞利用程序已发布 +原创 ZM + ZM 暗镜 2026-10-12 22:00 + +LMCache 中的一个严重漏洞允许未经身份验证的攻击者利用不安全的 Python pickle反序列化，对可达的多进程部署执行任意代码。该漏洞的编号为 CVE-2026-105192，CVSS 评分为 9.8。JFrog 于 2026 年 10 月 7 日发布了一份安全公告和一个公开的概念验证漏洞利用程序，并表示截至该日期，尚无修复版本可用。 + +JFrog 安全研究团队的 Yuval Moravchick 发现了该漏洞，相关文档已记录在 JFSA-2026-001694382 号公告中。易受攻击的解码路径最早出现在 0.3.9 版本中，并且仍然存在于 0.5.5 版本中，以及所有版本候选版本（直至 0.5.6rc3）和 10 月 7 日审查的开发分支中。LMCache 的多进程模式（也称为分布式模式）会打开一个 ZeroMQ ROUTER 套接字，允许工作进程注册和共享键值缓存块。虽然此传输是为同级 LMCache 进程设计的，但它缺乏身份验证（例如 CURVE、ZAP 或密码保护），使得可达实例容易受到不受信任的消息的影响。默认情况下，此传输使用本地主机。运维人员可以通过使用 `--host` 选项配置可路由地址来启用节点之间的连接。JFrog 强调，9.8 的严重评分仅适用于这种可通过网络访问的配置，而不适用于默认的单主机部署，后者无法从其他机器访问。仅在 vLLM 进程中运行的 LMCache 不会打开受影响的端口。 + +传入的消息使用 MessagePack，扩展代码为 1，并关联到 DeviceIPCWrapper。解码过程中，`lmcache/v1/multiprocess/custom_types.py` 中的扩展钩子会将嵌入的数据转发到 `lmcache/v1/platform/base/ipc_wrapper.py` 中的 `DeviceIPCWrapper.Deserialize` 函数。该函数会调用 `pickle.loads`，从而允许攻击者控制的序列化对象触发代码执行。 + +重要的是，反序列化发生在服务器处理 REGISTER_KV_CACHE 参数期间，即请求处理程序执行之前。因此，后续的任何参数检查或处理程序错误都无法阻止解码过程中已执行的代码。JFrog 的公开演示通过 ZeroMQ DEALER 套接字向传输的默认端口 5555 发送精心构造的多部分消息。缓存有效负载包含一个 MessagePack 扩展，其中包含一个恶意 pickle 对象，该对象在重建期间执行操作系统命令。 + +该演示会将 `id` 命令的输出写入 `/tmp/zmq_pwn` 目录，从而确认该命令是在 LMCache 进程账户下执行的。官方容器镜像会以 root 用户身份运行此进程，这确认了该命令是在容器内部以 root 用户身份执行的，而不是演示如何逃逸到底层主机。执行后，服务器记录了一个类型错误，因为处理程序接收到了命令的返回值，而不是预期的包装对象。但这个错误发生得太晚，无法阻止攻击。JFrog 建议使用安全的序列化格式替换基于 pickle 的网络反序列化，并使用 CURVE 或逐消息 HMAC 验证等方法对 ZeroMQ 传输进行身份验证。除非配置了身份验证，否则应禁止可路由绑定。在这些变更实施之前，运维人员应避免使用可路由的 `--host` 设置，尽可能保持本地主机绑定，并通过防火墙规则限制所需的集群访问权限。虽然网络隔离可以减少暴露风险，但并不能彻底解决漏洞；任何能够连接到易受攻击的传输层的系统仍然可以以 LMCache 进程的权限执行代码。 + diff --git a/doc/2026-10/Nacos 综合漏洞利用工具（重构版）.md b/doc/2026-10/Nacos 综合漏洞利用工具（重构版）.md new file mode 100644 index 00000000..874d9596 --- /dev/null +++ b/doc/2026-10/Nacos 综合漏洞利用工具（重构版）.md @@ -0,0 +1,115 @@ +# Nacos 综合漏洞利用工具（重构版） +gandli + gandli 夜组安全 2026-10-12 23:30 + +免责声明 + +由于传播、利用本公众号夜组安全所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，公众号夜组安全及作者不为此承担任何责任，一旦造成后果请自行承担！如有侵权烦请告知，我们会立即删除并致歉。谢谢！ +**所有工具安全性自测！！！VX：** +**NightCTI** + +朋友们现在只对常读和星标的公众号才展示大图推送，建议大家把 +**夜组安全** +“**设为星标** +”， +否则可能就看不到了啦！ + + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/icZ1W9s2Jp2WrOMH4AFgkSfEFMOvvFuVKmDYdQjwJ9ekMm4jiasmWhBicHJngFY1USGOZfd3Xg4k3iamUOT5DcodvA/640?wx_fmt=png&from=appmsg "") + +## 工具介绍 + +Nacos 综合漏洞利用工具（GUI + CLI）。单文件 jar-with-dependencies + 即用。 + +![](https://mmbiz.qpic.cn/sz_mmbiz_jpg/WibL3bOeESMJo8djCghlK1ODhkWicmJdD81AHz4dkMbXY30zT4uV8Y4EpY18gBNcZ6crvKsofqh5S4Aj11SpTHiaFS12M87ibzKtvKaISSYnjXo/640?wx_fmt=webp&from=appmsg "") + +本仓库基于 **h0ny/NacosExploit v3.0.5(https://github.com/h0ny/NacosExploit)** + 重建。上游的 3.0.5 源码从未进入 git（v3.0.5 + 标签的树只有 README 和图片），本仓库的基线是从官方发布产物 nacos-exploit-3.0.5-jar-with-dependencies.jar**反编译还原** +的，并做了逐类签名等价校验（见下方「与官方 3.0.5 的等价性」）。在此基线上新增了**批量导出配置** +与**自动解压** +，并修掉三个实测存在的问题。 + +![](https://mmbiz.qpic.cn/sz_mmbiz_jpg/WibL3bOeESMJND8VQ7tjat6HgAOuxMnW6KcZDJ4p4qeqCYibmZVRiaG4IDOicm3iakWOdNxibLVFicVVYiaicia2zMQ8VUa9mxFrHuL3x7ROO1aHmnk8Y/640?wx_fmt=webp&from=appmsg "") +## 下载与运行 +``` +# Release 产物(单文件,自带全部依赖)java -jar nacos-exploit-3.0.5-jar-with-dependencies.jar                     # 无参数 = GUIjava -jar nacos-exploit-3.0.5-jar-with-dependencies.jar probe http://127.0.0.1:8848/nacosjava -jar nacos-exploit-3.0.5-jar-with-dependencies.jar batch --file targets.txt --export +``` + +
场景
要求
构建
JDK 8
 + Maven（3.0.5 官方产物就是 Build-Jdk-Spec 1.8；源码的 source/target 为 1.8）
GUI / 扫描 / 导出
JDK 8+（FlatLaf 3.6 只在 JDK 11+ 下生效，JDK 8 上 GUI 会回退到系统主题；CLI 不受影响）
Derby 内存马 / JRaft Hessian 反序列化
JDK 8
（利用链基于 JDK 8 原生 gadget）
+### 目标地址怎么写 + +工具会自己把地址试对，**以下写法等价** +（按你给的原样 → 补全 → 根路径//nacos + 两套都试 → http/https 互为回落）： + +
你写的
实际请求
127.0.0.1:8848
补 http://，先试 http://127.0.0.1:8848/v1/console/server/state，再试 .../nacos/v1/...
http://192.168.1.10:8848
根路径与 /nacos 两个上下文都试
http://192.168.1.10:8848/nacos
同上（带了前缀也照样回落到根路径）
https://nacos.example.com
https 优先，失败回落到 http
+- 探测面按大版本自动切换：1.x/2.x 打 /v1/console/server/state +，3.x 打 /v3/admin/core/state +（响应裹 {code,message,data} +，会自动剥 data +）。 + +- 只写端口号（8841 +）或缺主机名的写法会被拒为 errorCode:10 +（格式非法）。所有候选都失败同样返回 10 +，不会把死端口报成"已识别"。 + +## 命令 +``` +# GUI（默认，无参数）java -jar nacos-exploit-3.0.5-jar-with-dependencies.jar# CLI（无头，stdout 最后一行恒为 RESULT <单行 JSON>，日志走 stderr）probe                                  # 环境探测：版本 / 是否开鉴权 / standalonescan   [--vulns "名1,名2"]             # 漏洞扫描export  [--out DIR] [--no-extract]      # 导出全部命名空间配置（默认自动解压）batch  --file targets.txt [--export] [--out DIR] [--no-extract] [--csv C]cipher {encrypt|decrypt} [jasypt|aes|sm4] --text X --key K [--stdin]   # 本地加解密(jasypt 的 key 是 salt)gui    [--no-window] [--port N]            # 无头形态:仅 API(--no-window),默认端口 41573 被占自动后扫--list-vulns                                # 列出可用漏洞名--version | --help +``` + +无头控制 API（仅绑 127.0.0.1 +，供脚本/agent 驱动）： +``` +java -jar nacos-exploit-3.0.5-jar-with-dependencies.jar gui --no-window --port 0 > /tmp/ne.out 2>&1 &URL=$(grep '^RESULT ' /tmp/ne.out | tail -1 | python3 -c 'import sys,json; print(json.load(sys.stdin)["controlUrl"])')curl -s "$URL/api/openapi.json"                       # 端点目录curl -s -X POST "$URL/api/probe" -d '{"url":"127.0.0.1:8848"}' +``` + +退出码：0 + 成功 / 2 + 用法错误 / 10 + 目标不可达或未识别 / 12 + 无可用认证绕过 / 14 + 通用失败。 +## 相对官方 3.0.5 的改动 + +
改动
说明
配置导出自动解压
落盘 zip 后立即解压到 <zip 名>.extracted/，并写 manifest.csv（rawPath/group/dataId/type/size/sha256）。GUI 认证页与批量页、CLI 三处共用同一实现。--no-extract 退回 3.0.5 行为
开启批量导出配置
GUI 批量页复选框从 setEnabled(false) 放开；新增 CLI batch --export（目标清单、单目标失败不中断）
新增无头 CLI
3.0.5 只能点界面。补 probe/scan/export/batch/--list-vulns，stdout 末行 RESULT <单行 JSON> + 退出码契约，便于脚本与 agent 自动化；无参数仍是原 GUI
修 META-INF/services 缺失
3.0.5 发布产物里没有 META-INF/services/com.github.h0ny.model.AbstractVulnerability，而 VulnerabilityLoader 走 ServiceLoader —— GUI 的漏洞列表是空的，一项都加载不到。本仓库补齐注册文件（11 个检测项），CI 里断言注册数 ≥ 10
修默认 token.secret.key 漏报
官方默认密钥长 69 字符，69 % 4 == 1 不是合法 Base64；jjwt 的 Decoders.BASE64 是宽容解码器，不报错但悄悄截成 51 字节，签出的 token 与服务端密钥不一致。实测真实 Nacos 2.2.3（NACOS_AUTH_TOKEN = 默认密钥）：raw UTF-8 字节签的 HS256/HS512 返回 200（可绕过），jjwt 解码字节返回 403。改为按长度判定 Base64，否则用原始字节。该项在真实目标上由 SAFE 翻为 VULNERABLE
导出路径消毒
3.0.5 直接 baseDir.resolve(namespaceShowName + "_" + fileName)，文件名来自服务端响应，可被 ../ 越界覆写本机文件。现在白名单消毒 + resolve 后前缀校验，纯点分量单独打掉
包名与坐标com.github.h0ny
 → com.github.gandli.nacos，groupId com.github.gandli
CI / Release
GitHub Actions（JDK 8 + Maven 缓存）构建；v* 标签自动发 jar-with-dependencies.jar + .sha256 + -bin.zip，jar 名跟随标签
+ + +## 工具获取 + + + +点击关注下方名片 +进入公众号 + +回复关键字【 +261013 +】获取 +下载链接 + + +## 往期精彩 + + +往期推荐 + +[psnb-obs — 破甲作战系统：LLM 安全评测与红队工具链](https://mp.weixin.qq.com/s?__biz=Mzk0ODM0NDIxNQ==&mid=2247497841&idx=1&sn=c0ce085749b439b17b861dd23299888a&scene=21#wechat_redirect) + + +[AI 驱动的自动化代码审计与漏洞挖掘平台，支持多 Agent 协作扫描、数据流分析、漏洞管理和可视化审计](https://mp.weixin.qq.com/s?__biz=Mzk0ODM0NDIxNQ==&mid=2247497819&idx=1&sn=b1ac0f7861c5b4571819b94bccf450a4&scene=21#wechat_redirect) + + +[一键获取目标网站的源代码信息、网络数据包（HAR）、页面快照与媒体资源，方便进行逆向、二次开发与安全分析](https://mp.weixin.qq.com/s?__biz=Mzk0ODM0NDIxNQ==&mid=2247497818&idx=1&sn=f766d78163f4ecfaa81fa63b9fb38cc8&scene=21#wechat_redirect) + + +[一个 AI 驱动的安全研究工作台，面向 CTF、渗透测试、红队行动、逆向分析、Pwn、IoT/车联网研究和恶意样本分析](https://mp.weixin.qq.com/s?__biz=Mzk0ODM0NDIxNQ==&mid=2247497801&idx=1&sn=ac34ceb80f349b41ad189d04dfbe4dc0&scene=21#wechat_redirect) + + +[应急响应流量分析工具，支持pcap、excel、log等多种数据源，同时结合加解密、反编译等多个工作流](https://mp.weixin.qq.com/s?__biz=Mzk0ODM0NDIxNQ==&mid=2247497796&idx=1&sn=3c7fb90b46b16ea97fc57eeee1c73f48&scene=21#wechat_redirect) + + +![](https://mmbiz.qpic.cn/mmbiz_png/OAmMqjhMehrtxRQaYnbrvafmXHe0AwWLr2mdZxcg9wia7gVTfBbpfT6kR2xkjzsZ6bTTu5YCbytuoshPcddfsNg/640?wx_fmt=other&wxfrom=5&wx_lazy=1&wx_co=1&random=0.8399406679299557&tp=webp "") + diff --git a/doc/2026-10/漏洞预警 PostgreSQL符号链接跟随漏洞.md b/doc/2026-10/漏洞预警 PostgreSQL符号链接跟随漏洞.md new file mode 100644 index 00000000..5ef97104 --- /dev/null +++ b/doc/2026-10/漏洞预警 PostgreSQL符号链接跟随漏洞.md @@ -0,0 +1,51 @@ +# 漏洞预警 | PostgreSQL符号链接跟随漏洞 +浅安 + 浅安 浅安安全 2026-10-12 23:50 + +**0x00 漏洞编号** +- # CVE-2026-6475 + +**0x01 危险等级** +- 高危 + +**0x02 漏洞概述** + +PostgreSQL是一个开源、强大的关系型数据库管理系统，支持SQL标准及扩展，广泛应用于企业级应用。 + +![图片](https://mmbiz.qpic.cn/sz_mmbiz_png/7stTqD182SU3hGH08FibTuicaaGzPwn7gicCRVfVonzx5pwtdRjBSvL89OHTSyWnGqGmTUoov8quGRvzN0BgXiaXpA/640?wx_fmt=png&from=appmsg&wxfrom=5&wx_lazy=1&tp=webp#imgIndex=0 "") + +**0x03 漏洞详情** + +**CVE-2026-6475** + +**漏洞类型：** +符号链接跟随 + +**影响：** +任意文件写入 + +**简述：** +PostgreSQL存在符号链接跟随漏洞，在解包tar备份时，若归档中存在指向绝对路径的符号链接，程序会跟随该链接进行写入，而非拒绝或限制路径。攻击者可通过构造恶意备份归档，诱导备份过程将文件写入目标系统的任意位置。 + +**0x04 影响版本** +- PostgreSQL 18 < 18.4 + +- PostgreSQL 17 < 17.10 + +- PostgreSQL 16 < 16.14 + +- PostgreSQL 15 < 15.18 + +- PostgreSQL 14 < 14.23 + +**0x05 POC状态** +- 已公开 + +**0x06****修复建议** + +**目前官方已发布漏洞修复版本，建议用户升级到安全版本****：** + +https://www.postgresql.org/ + + + diff --git a/doc/2026-10/漏洞预警 Telegram Desktop IPC记录注入漏洞.md b/doc/2026-10/漏洞预警 Telegram Desktop IPC记录注入漏洞.md new file mode 100644 index 00000000..f81eec33 --- /dev/null +++ b/doc/2026-10/漏洞预警 Telegram Desktop IPC记录注入漏洞.md @@ -0,0 +1,44 @@ +# 漏洞预警 | Telegram Desktop IPC记录注入漏洞 +浅安 + 浅安 浅安安全 2026-10-12 23:50 + +**0x00 漏洞编号** +- # CVE-2026-107181 + +**0x01 危险等级** +- 高危 + +**0x02 漏洞概述** + +Telegram是提供开源客户端的跨平台即时通信软件。 + +![图片](https://mmbiz.qpic.cn/sz_mmbiz_png/7stTqD182SXZIwUGcg2RhOe7RB9ubibNZBWOMsRnWCiaGqswAxMs8ItRUG3aNWgYyzguasmaAGdpXm2m8ZW12aHw/640?wx_fmt=png&from=appmsg&tp=webp&wxfrom=5&wx_lazy=1#imgIndex=0 "") + +**0x03 漏洞详情** + +**CVE-2026-107181** + +**漏洞类型：** +IPC记录注入 + +**影响：** +账号接管 + +**简述：** +T +elegram Desktop存在IPC记录注入漏洞，新启动的实例将系统调起的tg://链接序列化为OPEN:记录写入单实例IPC本地套接字时未转义URL内部的记录分隔符分号，已运行实例在Sandbox::readClients中按分号盲目切分记录，攻击者构造含分号的链接可注入任意OPEN:记录；注入的OPEN:interpret:路径记录会进入内部interpret: scheme处理流程，Support::InterpretSendPath无授权校验与确认弹窗，按指令文件把指定本地文件上传到攻击者指定的频道或超级群组，造成本地任意文件读取与账号接管。 + +**0x04 影响版本** +- Telegram Desktop <= 7.2.8 + +**0x05 POC状态** +- 已公开 + +**0x06 修复建议** + +**目前官方已发布漏洞修复版本，建议用户升级到安全版本****：** + +https://telegram.org/ + + + diff --git a/doc/2026-10/赛博安全狗：pH7Builder 旧版本存在硬编码 API 密钥绕过漏洞 (10.12).md b/doc/2026-10/赛博安全狗：pH7Builder 旧版本存在硬编码 API 密钥绕过漏洞 (10.12).md new file mode 100644 index 00000000..20a6e05e --- /dev/null +++ b/doc/2026-10/赛博安全狗：pH7Builder 旧版本存在硬编码 API 密钥绕过漏洞 (10.12).md @@ -0,0 +1,89 @@ +# 赛博安全狗：pH7Builder 旧版本存在硬编码 API 密钥绕过漏洞 (10.12) +赛博安全狗 + 赛博安全狗 赛博看门狗 2026-10-13 01:05 + +[ ROOT @ WATCHDOG ] + +全网高价值安全威胁速递。包含高危漏洞、数据泄露与行业重点动态。 + +2026-10-12 · 7 条 + +今日重点 + +1. +字节跳动团队分享基于证据链的 Agentic AI 调试方案 + +2. +pH7Builder 旧版本存在硬编码 API 密钥绕过漏洞 + +3. +遮住半张脸仍可能暴露身份 + +【一】行业和安全动态 + +行业动态 + +字节跳动团队分享基于证据链的 Agentic AI 调试方案 + +字节跳动 STE 团队在 OSFC2026 分享议题，针对 OpenBMC 调试痛点提出 Agentic AI 方案。该方案不直接使用大模型作为事实来源，而是将其作为证据解释器和行动建议生成器。通过程序分析将日志映射为程序足迹，结合调用图与路径重建对比正常与异常路径，识别分叉点和缺失恢复动作，并按因果价值压缩上下文，最终输出可回溯的根本原因分析。文章展望了从 RCA 到自动验证和 CI/CD 回归的闭环路径。 + +来源：SecurityHub · 10-10 17:00（北京时间） + +行业动态 + +遮住半张脸仍可能暴露身份 + +文章指出仅用脖套遮住口鼻不足以阻止局部人脸识别，眼睛、额头和发际线仍可能保留可识别特征。文章澄清该视频所属活动是法国陆军2025年9月发起的网络人才招募活动，官方账号「看起来遭到入侵」是活动设计，不能视为国防网络真的被全面攻陷。文章还解释人脸识别算法提取局部特征，眼周在遮挡下仍可能具备区分能力，但识别效果受光线、角度、清晰度、遮挡范围和参考照片质量影响。NIST在2020年末公布的2.4%至5%错误率来自一对一受控比对和数字叠加口罩测试，不能直接外推到开放互联网陌生人检索。文章还区分一对一验证、一对多检索和身份核实三类任务，强调相似候选人不等于确认身份，字幕、姓名、军衔、单位、环境及公开照片可能相互印证。最后提出从遮挡思维转向流程思维，拍摄前判断匿名需求，审核全部衍生内容，图文一起审查，并用真实流程和知情同意样本测试防护效果。 + +来源：SecurityHub · 10-11 11:26（北京时间） + +【二】数据泄露与隐私事件 + +本期暂无入选条目 + +【三】焦点漏洞与攻击预警 + +漏洞与攻击 + +pH7Builder 旧版本存在硬编码 API 密钥绕过漏洞 + +安全研究人员披露 pH7Builder（pH7 Social Dating CMS）在 18.6.0 之前的版本中存在硬编码 API 密钥漏洞。该漏洞位于 Tool.class.php 文件中，允许未经身份验证的攻击者通过伪造 Host 头部绕过 API 访问检查。攻击者可发送 Host: localhost 并附带 private_api_key=dev772277 和默认允许的 URL，从而检索成员电子邮件、IP 地址、电话号码和银行账户字段。该漏洞严重性评级为 8.7（高危）。 + +来源：cvefeed · 10-11 23:16（北京时间） + +漏洞与攻击 + +JeecgBoot存在权限绕过漏洞 + +安全研究人员发现JeecgBoot存在严重漏洞，影响版本至3.9.5。该漏洞位于SysDepartRoleController组件的saveDatarule函数，攻击者通过操纵permissionId/roleId/dataRuleIds参数可导致权限验证缺失。该漏洞被编号为CVE-2026-108871，目前已知可进行远程攻击，但尚未有公开利用代码。 + +来源：vuldb · 10-11 23:02（北京时间） + +漏洞与攻击 + +Netcore NR268存在严重认证缺陷 + +Netcore NR268 1.7.121109版本被发现存在非常严重的漏洞，位于CGI Execution组件的user_ok函数。攻击者通过特定操作可导致 improper authentication（不正确的身份验证）。该漏洞被编号为CVE-2026-108907，攻击者可远程发起攻击，且已存在可利用的漏洞利用程序。厂商在披露早期已收到通知但未回应。 + +来源：vuldb · 10-11 23:00（北京时间） + +漏洞与攻击 + +JeecgBoot存在权限管理缺陷 + +JeecgBoot存在严重漏洞，影响版本至3.9.5。该漏洞位于Save Datarule Handler组件的saveDatarule函数，攻击者通过操纵permissionId/roleId/dataRuleIds参数可导致 improper privilege management（不正确的权限管理）。该漏洞被编号为CVE-2026-108870，攻击者可远程发起攻击，目前尚未有公开利用代码。 + +来源：vuldb · 10-11 23:00（北京时间） + +漏洞与攻击 + +Netcore NR268 1.7.121109存在远程越界读取漏洞 + +研究人员发现Netcore NR268 1.7.121109设备中的filter_arp_put_file.cgi文件存在严重漏洞，攻击者可通过远程操纵put_file参数触发越界读取。该漏洞被标记为CVE-2026-108906，目前已有可用的利用程序。 + +来源：vuldb · 10-11 23:00（北京时间） + +-   -   - + +- 极客视角 · 洞悉暗流 - +