Tencent Security Xuanwu Lab Daily News
• CVE-2021-40449 Introduction:
https://kristal-g.github.io/2021/11/05/CVE-2021-40449_POC.html
・ win32k CVE-2021-40449 UAF 漏洞的利用
– Jett
• How to exploit CVE-2021-40539 on ManageEngine ADSelfService Plus:
https://www.synacktiv.com/publications/how-to-exploit-cve-2021-40539-on-manageengine-adselfservice-plus.html
・ ManageEngine ADSelfService Plus 密码管理软件认证绕过漏洞的利用
– Jett
• APT活动中的Windows系统本地提权漏洞及技术分析:
https://mp.weixin.qq.com/s/6mT0O9eur5-VEs0rbV0-mg
・ APT 活动中的 Windows 系统本地提权漏洞及技术分析
– Jett
• [macOS, Malware] SentinelOne macOS:
https://www.icloud.com/numbers/0x_OYW8KGP9dKYUV2PvXqdJNQ#SentinelOne_macOS
・ SentinelOne 团队总结了一份 macOS 平台的恶意软件列表
– Jett
• Driftwood: Know if Private Keys are Sensitive:
https://trufflesecurity.com/blog/driftwood
・ Driftwood – 一款用于判断泄露的 Private Key 是否是 TLS 证书私钥、SSH 私钥等敏感信息的工具
– Jett
• [PDF] https://cseweb.ucsd.edu/~schulman/docs/oakland22-bletracking.pdf:
https://cseweb.ucsd.edu/~schulman/docs/oakland22-bletracking.pdf
・ 利用物理层的 BLE 信号追踪用户
– Jett
• Quick Installation:
https://github.com/joernio/joern
・ Joern – 基于代码属性图实现跨语言代码分析的平台,支持对源码、中间字节码、二进制文件的分析
– Jett
• Finding and Fixing DOM-based XSS with Static Analysis:
https://blog.mozilla.org/attack-and-defense/2021/11/03/finding-and-fixing-dom-based-xss-with-static-analysis/
・ Finding and Fixing DOM-based XSS with Static Analysis
– Jett
• How SSL certificates are leaking sensitive information – Detectify Labs:
https://labs.detectify.com/2021/11/05/how-ssl-certificates-are-leaking-sensitive-information/
・ Detectify 团队通过大规模收集 SSL 证书中的信息发现,证书中的公开信息本身也会泄露一些企业的敏感信息
– Jett
• APT 活动中的 Windows 系统本地提权漏洞及技术分析:
http://paper.seebug.org/1753/
・ APT 活动中的 Windows 系统本地提权漏洞及技术总结分析报告.
– lanying37
* 查看或搜索历史推送内容请访问:
https://sec.today
* 新浪微博账号:腾讯玄武实验室
https://weibo.com/xuanwulab