DBConnectionCheckController dbCheck JDBC 注入远程代码执行漏洞
publishCaCert 和 gatherConfig 权限提升
以 Horizon 用户身份获得远程代码执行后，我们可以利用以下漏洞获得 root 访问权限。本节包含两个错误，但由于我在最终的漏洞利用链中滥用了它们，我决定将其报告为单个漏洞。
该publishCaCert.hzn脚本允许攻击者泄露敏感文件。
该gatherConfig.hzn脚本允许攻击者获取敏感文件的所有权，Horizon 用户可以使用 sudo 以 root 权限执行这些脚本，无需密码。horizon 用户无法写入这些脚本，因此我审核了这些脚本以查找逻辑问题，从而干净利落地升级。
publishCaCert 和 gatherConfig 权限提升
以 Horizon 用户身份获得远程代码执行后，我们可以利用以下漏洞获得 root 访问权限。本节包含两个错误，但由于我在最终的漏洞利用链中滥用了它们，我决定将其报告为单个漏洞。
该publishCaCert.hzn脚本允许攻击者泄露敏感文件。
该gatherConfig.hzn脚本允许攻击者获取敏感文件的所有权，Horizon 用户可以使用 sudo 以 root 权限执行这些脚本，无需密码。horizon 用户无法写入这些脚本，因此我审核了这些脚本以查找逻辑问题，从而干净利落地升级。
❤1
SSD 咨询 – APPLE SAFARI IDN URL 欺骗
总结
Apple Safari 处理不当，导致攻击者可以使用某些相似的字符代替真实字符，从而让受害者误以为他们已经访问了某个网站，而实际上他们正在访问另一个网站。
漏洞摘要
Apple Safari IDN 处理中存在一个漏洞，允许攻击者执行 URL 欺骗，因为 Safari 不会将 URL 栏中的不适当的 Unicode 转换为 Punycode。
利用此漏洞可能允许攻击者进行网络钓鱼。
信用
来自韩国 SSD Labs 的安全研究员 Dohyun Lee 已将此事报告给 SSD 安全披露计划。
受影响的版本
iOS 15.6 或 iPadOS 15.6 之前
蒙特利 12.5 之前
watchOS 8.7 之前
tvOS 15.6 之前
总结
Apple Safari 处理不当，导致攻击者可以使用某些相似的字符代替真实字符，从而让受害者误以为他们已经访问了某个网站，而实际上他们正在访问另一个网站。
漏洞摘要
Apple Safari IDN 处理中存在一个漏洞，允许攻击者执行 URL 欺骗，因为 Safari 不会将 URL 栏中的不适当的 Unicode 转换为 Punycode。
利用此漏洞可能允许攻击者进行网络钓鱼。
信用
来自韩国 SSD Labs 的安全研究员 Dohyun Lee 已将此事报告给 SSD 安全披露计划。
受影响的版本
iOS 15.6 或 iPadOS 15.6 之前
蒙特利 12.5 之前
watchOS 8.7 之前
tvOS 15.6 之前
Final
为通信的隐蔽性，最后做了一下AES加密：
最终实现的效果为，若检测到request请求中包含我们自定义的header头则会执行相关恶意操作，并在response的自定义header中返回，否则则为正常业务流量
为通信的隐蔽性，最后做了一下AES加密：
最终实现的效果为，若检测到request请求中包含我们自定义的header头则会执行相关恶意操作，并在response的自定义header中返回，否则则为正常业务流量
PSV-2020-0437：部分 Netgear 路由器出现缓冲区溢出
前言
距离上一篇博客更新已经快两个月了，想给应该长草的博客除除草了。于是从我的笔记文档里翻篇，把这个漏洞翻出来给大家分享分享。具体官方通告可以参考：
【1】PSV-2020-0437 官方公告
当时我使用的是在 Netgear R6400v2 固件版本为 1.0.4.102 的环境下编写的，因此本篇文章也以此为基础进行讲述。
隨便取運
固件下载链接： 【2】R6400v2-1.0.4.102 固件
当我们获得固件后，我们需要解压出文件系统，这里我通过 binwalk 和 unsquashfs 成功提取出对应的固件
前言
距离上一篇博客更新已经快两个月了，想给应该长草的博客除除草了。于是从我的笔记文档里翻篇，把这个漏洞翻出来给大家分享分享。具体官方通告可以参考：
【1】PSV-2020-0437 官方公告
当时我使用的是在 Netgear R6400v2 固件版本为 1.0.4.102 的环境下编写的，因此本篇文章也以此为基础进行讲述。
隨便取運
固件下载链接： 【2】R6400v2-1.0.4.102 固件
当我们获得固件后，我们需要解压出文件系统，这里我通过 binwalk 和 unsquashfs 成功提取出对应的固件
【爬虫逆向】逆向破解某租车微信小程序，sign的解析
最近临近暑期,想去海边玩.
想自驾游，无车呀，咋办，只能上某租车平台租车,打开一看价格不菲啊
当我准备租的时候，改了时间，发现价格居然变少了，灵机一变的我突发奇想，会不会改了一个取车网点会不会也很便宜了呢？
果不其然，价格变低了不少，也就是说【时间+地点】可能会决定价格的变动，那怎么样做最优解呢？
最暴力的方式就是循环时间并且循环地点获取最低价格，那么怎么样调用这个查询接口呢？
思路：通过抓包的方式抓取到接口，然后动态的修改参数去获取查询结果的列表即可
通过抓包软件fildder可以看到响应数据找到对应的请求接口
入参研究
通过postman请求是ge请求，并且有四个参数，并且无需header的任何参数，那看起来应该是不难了
cid：猜测是城市id
q：不知道是什么，通过百分号看出来应该是encodeURIComponent过的参数
sign：一看就是加密的签名密钥，这个估计是重点
uid：未知的参数
做过爬虫的都知道有些参数不一定需要的，通过一个一个参数取消来判断哪些参数是不必要的，减少不必要的逆向工作
见名知起义，可以大胆的先猜测它的含义，用于后续研究
pickupCityId:应该是取车城市
returnCityId:还车城市
pickupDeptId:取车网点
returnDeptId:还车网点
大胆假设一下，如果我修改了还车时间再编码一下发过去请求,会不会成功呢（校验sign的参数跟哪些参数有关，一般sign都是混合多个参数进行加密的）
修改还车时间为2024-08-30 12:30,然后再次发送请求看看结果
最近临近暑期,想去海边玩.
想自驾游，无车呀，咋办，只能上某租车平台租车,打开一看价格不菲啊
当我准备租的时候，改了时间，发现价格居然变少了，灵机一变的我突发奇想，会不会改了一个取车网点会不会也很便宜了呢？
果不其然，价格变低了不少，也就是说【时间+地点】可能会决定价格的变动，那怎么样做最优解呢？
最暴力的方式就是循环时间并且循环地点获取最低价格，那么怎么样调用这个查询接口呢？
思路：通过抓包的方式抓取到接口，然后动态的修改参数去获取查询结果的列表即可
通过抓包软件fildder可以看到响应数据找到对应的请求接口
入参研究
通过postman请求是ge请求，并且有四个参数，并且无需header的任何参数，那看起来应该是不难了
cid：猜测是城市id
q：不知道是什么，通过百分号看出来应该是encodeURIComponent过的参数
sign：一看就是加密的签名密钥，这个估计是重点
uid：未知的参数
做过爬虫的都知道有些参数不一定需要的，通过一个一个参数取消来判断哪些参数是不必要的，减少不必要的逆向工作
见名知起义，可以大胆的先猜测它的含义，用于后续研究
pickupCityId:应该是取车城市
returnCityId:还车城市
pickupDeptId:取车网点
returnDeptId:还车网点
大胆假设一下，如果我修改了还车时间再编码一下发过去请求,会不会成功呢（校验sign的参数跟哪些参数有关，一般sign都是混合多个参数进行加密的）
修改还车时间为2024-08-30 12:30,然后再次发送请求看看结果
如何从 Kubernetes 节点权限提升至集群管理员权限？
我有幸参加了去年的 KubeCon 并分享议题，议题的其中一个攻防案例讲述了如何从一个边缘业务的开发者权限逐步提升至 Kubernetes 集群管理员权限；其中最后一步的手法，是描述关于节点上利用 DaemonSet 和 Pod 上的 ServiceAccount token 进行提权，那一年我在补天上的议题也简述了这个手法。在今年的 KubeCon 欧洲上，这样的攻击手法被命名为了"蹦床"。快速过完国外的这篇 slide 之后，深感他们研究的细致和用心，对比我去年的形色匆匆熬夜赶稿，他们倾注了更多的时间和资源，完成了我的很多遗憾和不甘；也让我重拾了这块研究的很多记忆
我有幸参加了去年的 KubeCon 并分享议题，议题的其中一个攻防案例讲述了如何从一个边缘业务的开发者权限逐步提升至 Kubernetes 集群管理员权限；其中最后一步的手法，是描述关于节点上利用 DaemonSet 和 Pod 上的 ServiceAccount token 进行提权，那一年我在补天上的议题也简述了这个手法。在今年的 KubeCon 欧洲上，这样的攻击手法被命名为了"蹦床"。快速过完国外的这篇 slide 之后，深感他们研究的细致和用心，对比我去年的形色匆匆熬夜赶稿，他们倾注了更多的时间和资源，完成了我的很多遗憾和不甘；也让我重拾了这块研究的很多记忆