摘要：
Prometheus介绍
Prometheus 是一款用于事件监控告警的开源免费应用程序， 采用Go编写。
Prometheus 工作时通过HTTP的方式周期性抓取被监控组件的性能数据，任意想要被监控的组件只需要提供对应的HTTP接口即可接入监控，不需要额外的SDK支持或者其他的集成过程，输出被监控组件性能信息的HTTP接口被叫做exporter。
其中常用的exporter有node_exporter，可以用来输出服务器的CPU使用率，磁盘占用情况，网络带宽使用情况，等基本性能信息。
Grafana 介绍
Grafana是一个跨平台的开源的度量分析和可视化工具，可以通过将采集的数据查询然后可视化的展示，并及时通知。 阅读全文
摘要：
actuator 下载heapdump 文件
若目标网站存在actuator未授权访问漏洞，一般访问如下链接可下载内存文件
/heapdump
/actuator/heapdump 阅读全文
摘要：
git submodule update操作可能导致执行.gitmodules文件中定义的任意shell命令。 受影响的产品 Git版本2.20.0至2.24.0 修复版本 Git v2.24.1，v2.23.1，v2.22.2，v2.21.1，v2.20.2 披露时间表 2019-11-11 gi 阅读全文
摘要：
Haproxy 介绍 HAProxy是一个使用C语言编写的自由及开放源代码软件，其提供高可用性、负载均衡，以及基于TCP和HTTP的应用程序代理。 请求走私（Request smuggling）概念证明 使用下面的haproxy.cfg defaults mode http timeout http 阅读全文
摘要：
什么是HTTP请求夹带(smuggling)攻击
HTTP请求走私是一种干扰网站处理从一个或多个用户接收的HTTP请求序列的方式的技术。
请求夹带漏洞危害，允许攻击者绕过安全控制，获取对敏感数据的未授权访问，并直接危及其他应用程序用户。 阅读全文
摘要：
Nuxeo Platform是一款跨平台开源的企业级内容管理系统(CMS)。
nuxeo-jsf-ui组件处理facelet模板不当，当访问的facelet模板不存在时，相关的文件名会输出到错误页面上，而错误页面会当成模板被解析，文件名包含表达式也会被输出同时被解析执行，从而导致远程代码执行漏洞。
在漏洞挖掘过程中发现nuxeo-jsf组件默认在10.2没有安装，历史版本是默认就安装的。可以通过nuxeoctl mp-install nuxeo-jsf-ui 命令安装。 阅读全文
摘要：
阅读全文
阅读全文
摘要：
PhantomJS 是一个无图形界面的浏览器，它支持各种Web标准：DOM处理，CSS选择器，JSON，Canvas和SVG。且支持win,linux,osx平台。 阅读全文