Log4j 漏洞 CVE-2021-45105：您需要了解的内容
了解 CVE-2021-45105 漏洞
Lookup 模式接受以下格式：
${lookupName:key:-defaultValue}
lookupName 是要执行的查找的名称或类型（例如 ctx, env等）。
keyctx 是在相应地图对象（如果是 地图） 中查找的变量的名称 ThreadContext 。
defaultValuekey 是一个可选值，它告诉替换器如果在映射中不存在 该查找实例，应该用什么来代替它 。
也许有读者已经知道了这一点：
如果映射中的变量 ThreadContext 受到攻击者控制，则可以使用默认值来保存与查找相同的字符串Context。
了解 CVE-2021-45105 漏洞
Lookup 模式接受以下格式：
${lookupName:key:-defaultValue}
lookupName 是要执行的查找的名称或类型（例如 ctx, env等）。
keyctx 是在相应地图对象（如果是 地图） 中查找的变量的名称 ThreadContext 。
defaultValuekey 是一个可选值，它告诉替换器如果在映射中不存在 该查找实例，应该用什么来代替它 。
也许有读者已经知道了这一点：
如果映射中的变量 ThreadContext 受到攻击者控制，则可以使用默认值来保存与查找相同的字符串Context。
ScrapeGraphAI是一个网络爬虫 Python 库，使用大型语言模型和直接图逻辑为网站和本地文档（XML，HTML，JSON 等）创建爬取管道。
安装ollama
点击前往网站 https://ollama.com/ ，下载ollama软件，支持win、Mac、linux
以llama3为例，根据自己电脑显存性能， 选择适宜的版本。如果不知道选什么，那就试着安装，不合适不能用再删除即可。
点击前往网站 https://ollama.com/ ，下载ollama软件，支持win、Mac、linux
以llama3为例，根据自己电脑显存性能， 选择适宜的版本。如果不知道选什么，那就试着安装，不合适不能用再删除即可。
👍1
rom scrapegraphai.graphs import SmartScraperGraph
graph_config = {
"llm": {
"model": "ollama/llama3",
"temperature": 0,
"format": "json", # Ollama 需要显式指定格式
"base_url": "http://localhost:11434", # 设置 Ollama URL
},
"embeddings": {
"model": "ollama/nomic-embed-text",
"base_url": "http://localhost:11434", # 设置 Ollama URL
},
"verbose": True,
}
smart_scraper_graph = SmartScraperGraph(
prompt="返回该网站所有文章的标题、日期、文章链接",
# 也接受已下载的 HTML 代码的字符串
#source=requests.get("https://textdata.cn/blog/").text,
source="https://textdata.cn/blog/",
config=graph_config
)
result = smart_scraper_graph.run()
print(result)
graph_config = {
"llm": {
"model": "ollama/llama3",
"temperature": 0,
"format": "json", # Ollama 需要显式指定格式
"base_url": "http://localhost:11434", # 设置 Ollama URL
},
"embeddings": {
"model": "ollama/nomic-embed-text",
"base_url": "http://localhost:11434", # 设置 Ollama URL
},
"verbose": True,
}
smart_scraper_graph = SmartScraperGraph(
prompt="返回该网站所有文章的标题、日期、文章链接",
# 也接受已下载的 HTML 代码的字符串
#source=requests.get("https://textdata.cn/blog/").text,
source="https://textdata.cn/blog/",
config=graph_config
)
result = smart_scraper_graph.run()
print(result)
textdata.cn
Blogs
专注社会科学(经济管理)科研领域的Python文本图片数据分析，涵盖数据分析主要环节，如Python网络爬虫、Pandas数据探索性分析、中英文文本数据清洗、机器学习与自然语言处理。开发有专门的Python经济管理文本数据挖掘视频课程。可应对会计、营销、管理信息系统、公司金融、社会学、传播学、新闻学等方向的科研数据需要。Focusing on Python text and image data analysis in the field of social science (economic management)…
❤1👍1
反弹shell建立成功。
很重要的一点，zabbix的登录口令一定要复杂，不要用默认口令或弱口令；
2、zabbix的server和agent都不要以root启动，不要设置AllowRoot=1；
3、禁止agent执行system.run，不要设置EnableRemoteCommands=1。
很重要的一点，zabbix的登录口令一定要复杂，不要用默认口令或弱口令；
2、zabbix的server和agent都不要以root启动，不要设置AllowRoot=1；
3、禁止agent执行system.run，不要设置EnableRemoteCommands=1。
❤2
写入脚本代码。接下来，我把上传报文中的图片数据替换为一行无害的 JSP 代码：
上传失败，文件内容是唯一变更的地方，那么，我可以合理猜测服务端要么检测了文件内容是否存在脚本代码，要么检测了文件头是否为图片类型。
验证是否检测了脚本代码。我把这行 JSP 代码改为普通文本：
上传失败，文件内容是唯一变更的地方，那么，我可以合理猜测服务端要么检测了文件内容是否存在脚本代码，要么检测了文件头是否为图片类型。
验证是否检测了脚本代码。我把这行 JSP 代码改为普通文本：
❤1
我得逐一验证哪个是影响服务端写入文件时用到的扩展名。尝试将第一处 fileName 域的 info.png 改为 info.jsp，确认写入文件名：
渗透 在线接单中：
渗透各类网站app软件，可做/数据库/权限/破解/更改数据
指定网站app渗透数据可按条 包库 劫持域名 实力靠谱✅唯一🆔 @YaMaa8
渗透 在线接单中：
渗透各类网站app软件，可做/数据库/权限/破解/更改数据
指定网站app渗透数据可按条 包库 劫持域名 实力靠谱✅唯一🆔 @YaMaa8
❤1
这里重点讨论的是，当你的公司数据被劫持，你的一切活动都陷入瘫痪，影响的不仅仅是服务公司，还有行业时，是否支付赎金的困境。就工业而言，黑客已经能够访问和更改负责工业流程自动化的 PLC（可编程逻辑控制器）的配置，从而危及生产。 根据 Fortinet 的 2023 年 OT 和网络安全状况报告，32% 的 OT 受访者报告了数据劫持攻击。
想象一下，您的公司的服务或产品生产陷入停滞，造成巨大的财务损失，并且向客户的交付受到影响。这是任何一位首席执行官都不愿意面对的情况，但不幸的是，这种情况已经变得越来越普遍。
想象一下，您的公司的服务或产品生产陷入停滞，造成巨大的财务损失，并且向客户的交付受到影响。这是任何一位首席执行官都不愿意面对的情况，但不幸的是，这种情况已经变得越来越普遍。
（HTTP-ATLAS）有效洪水绕过（每个100万请求1%HTTP-DDOS）的问题，该方法使用延退及其绕过保护负载的能力。演示截图
其他更新
禁用攻击（gov，stresser）网站的保护。从现在开始可以被攻击。
完成优化代理系统可以从洪水开始的国家（泰国、中国、美国、印度尼西亚、印度、韩国、巴西俄罗斯、日本）
其他更新
禁用攻击（gov，stresser）网站的保护。从现在开始可以被攻击。
完成优化代理系统可以从洪水开始的国家（泰国、中国、美国、印度尼西亚、印度、韩国、巴西俄罗斯、日本）
❤1