这是日常工作中的渗透测试报告，作为安全服务工程师这也是最大的作品了吧，通过渗透测试报告将风险可视化呈现：将测试中发现的漏洞（如 SQL 注入、权限绕过等）、攻击路径、潜在危害（如数据泄露、服务器被控）转化为清晰的文字描述、攻击流程图及证据截图，让技术与非技术人员（如管理层）都能直观理解系统安全现状，避免 “安全风险抽象化” 问题。提供可落地的整改方案：针对每个漏洞，明确标注风险等级（高 / 中 / 低）、影响范围（如核心业务系统 / 用户数据），并配套具体整改建议（如代码修复方法、配置调整步骤、补丁升级路径），而非仅罗列问题，帮助开发、运维团队精准定位整改方向，降低修复成本。...

某企业未授权访问致用户信息泄露案例

企业服务-安全服务朝雨轻尘

某企业在授权测试中，通过fuzz参数构造数据包，发现与银行直连的某接口未做鉴权，可以通过遍历用户IP和时间，查询不同用户在不同时间的数据，如申请单数量合计，申请金额统计(万元)。...

某医院小程序授权渗透测试实例

企业服务-安全服务朝雨轻尘

图1：在一次某市医院小程序渗透测试中，通过数据包rememberMe发现Shiro框架，通过爆破key，发现存在Shiro反序列化漏洞，成功执行命令。该漏洞原理如下：Apache Shiro框架提供了记住密码的功能(RememberMe)，用户登录成功后会生成经过加密并编码的cookie。在服务端对rememberMe的cookie值，先base64解码然后AES解密再反序列化，就导致了反序列化RCE漏洞。图2：曾写过的高危组件exp...

内网渗透

企业服务-安全服务进宝🥳

这是一次很普通但又很幸运的渗透过程，某次闲来无事跟好兄弟在某网站进行渗透测试，发现该网站属于某CMS，然后我们紧接着就搜索到该CMS存在文件上传漏洞。然后，我跟好兄弟立马复制了数据包进行测试，发现成功jsp文件。（这里浅浅放一张打了很多码的图片，毕竟漏洞细节还是不公布了）...

内网渗透

企业服务-安全服务进宝🥳

内网渗透

企业服务-安全服务进宝🥳

开局给你一个登录框，告诉我你的渗透思路？这句经典的面试提问有多少好兄弟被难住呢？现在手把手教大家开局一个登录框到底该如何渗透。首先前期的信息收集可不能少，毕竟渗透的本质就是信息收集，那么废话也不多说，从robots到Wappalyzer,再从findsometing再到dirsearch。只知道它是个java站也没有再多有用的细节了。秉持的负责任的态度，还是简单渗透一下吧，紧接着我们的渗透也是从尝试万能密码到弱口令，又从请求包注入到信息泄露，也是成功的没有任何滴发现。那么你以为这就完了吗？错！！！虽然弱口令没有，但是我们发现了登录的时候有个记住密码小框框，那么这时...

一体化版本发布平台

企业服务-安全服务冰糖小葫芦

一体化版本发布平台是一款为了方便项目管理及出包开发的系统，集打装包、补丁包、服务升级包、SQL 升级包、服务版本管理、组件版本管理、安装脚本管理、自动化安装部署、自动化测试于一身，包含了版本管理、补丁管理、安装包管理、系统配置、部署配置、用户管理等模块；旨在降低项目管理成本、运维成本、出包成本及测试成本，降低了微服务架构带来的服务版本管理困难及各产品协同出包的复杂度，同时自动化打包测试也能降低人工操作带来的误差，使得项目管理更加便捷，出包流程更为迅捷可控...

党政一体化办公平台

企业服务-安全服务北京国驰科技

统一工作门户：单点登录、千人千面桌面，支持市-县-乡-村四级分级分权。公文交换中心：发文拟稿→套红→用印→分发→签收→归档全线上流转，支持跨部门平行会签。即时通讯 & 音视频会议：私有化二进制加密协议，已读/未读、消息必达、500 方高清会议。督查督办：任务分解、时限预警、红黄绿灯、自动汇总周报月报。移动审批：语音签批、手写签批、电子签章，PC/手机/平板三端数据同源。云网盘 & 全文检索：六维权限、文件秒传、生命周期留痕，满足国产化加密要求。...

智慧社区综合治理平台

企业服务-安全服务北京国驰科技

1 数字底座 1.1 数据治理中心：200+ 数据标签、一人一档、一户一档、一企一档 1.2 物联感知中心：视频、门禁、烟感、井盖、水质等 20+ 类设备协议适配 1.3 GIS“一张图”：三维楼栋分层、网格叠加、警力/物业/网格员实时定位 2 网格化管理 2.1 网格划分与赋码：支持自然村、小区、楼栋、单元、户五级 2.2 网格队伍：网格员签到、轨迹、绩效积分自动计算 2.3 全要素上图：人、房、企、事、物、隐患、力量“七色图”分层展示 3 事件处置中心（接诉即办） 3.1 5 大来源统一受理：12345 转派、居民 APP、物联报警、网格员上报、AI 识别 3.2 闭环...

XX数字孪生

企业服务-安全服务噜啦啦路

数字孪生平台利用数学模型技术，对网络的关键内容进行抽象分析建模，从中挖掘和构建相应的网络空间地形模型，并根据这些模型生成符合网络空间特征的地形，从而提高地形孪生结果的准确性和有效性。系统集成了成了ATT&CK、D3FEND等各种网络攻防战术、战法，可以实现人在回路和不在回路的推演，实现灵活网络攻防战术演练，并可从攻击者、防御者以及上帝视角进行切换，全面了解网络攻击与防御的技术细节...