最近发现一个很有用的shell脚本混淆工 Bashfuscator。出于工作需要，平时会写一些shell脚本，但是明文的内容很容易被别人给“借鉴”。
执行下面的命令，实现对shell脚本的一键混淆编译加密操作。
bashfuscator -s 1 -t 1 --layers 1 --no-file-write -f test.sh -o output.sh && shc shc -v -U -r -f output.sh && gzexe output.sh.x
Grafana是一套提供可视化监控界面的开源监控工具。该工具主要用于监控和分析Graphite、InfluxDB和Prometheus等。
CVE-2021-39226 Grafana 存在授权问题漏洞，该漏洞源于在受影响的版本中，未经身份验证和身份验证的用户都可以通过访问快照路径，造成敏感信息泄露。
CVE-2021-43798 这个漏洞出现在插件模块中，这个模块支持用户访问插件目录下的文件，但因为没有对文件名进行限制，攻击者可以利用../的方式穿越目录，读取到服务器上的任意文件。
安全学习过程中，漏洞复现是一个必不可少的一个环节。但是复现漏洞存在以下几个痛点。
vulhub解决了大部分第一类的痛点。二和三则可以通过Shodan来解决。最近在不断复现漏洞的过程中，通过使用shodan极大地提升了复现的效率。个人总结了部分shodan使用技巧。
注：本文仅分享个人漏洞复现技巧，请勿用于非法途径。
阅读更多在受影响的 Confluence Server 和 Data Center 版本中，存在一个 OGNL 注入漏洞，该漏洞允许未经身份验证的攻击者在 Confluence Server 或 Data Center 实例上执行任意代码。
阅读更多前两天看了K8实验室发的一篇文章。
[EXP]CVE-2022-24706 Exploit公开 影响全网128万台Apache CouchDB数据库
该标题过于夸张了，Apache CouchDB的安装量确实有这么多，但是公网上（根据shodan统计）实际受影响的仅有1400台。
CVE-2022-30525中，Zyxel防火墙版本的CGI程序中，由于对某些传入的特殊数据处理存在错误，攻击者在未经身份验证的情况下通过构造恶意数据进行系统命令注入攻击，修改特定文件，最终执行任意代码。
阅读更多