kkFileView是一个基于spring boot搭建的文档在线预览项目。 kkFileView的上传功能在处理压缩包时，没有对获取的文件名进行校验，导致出现了Zip Slip漏洞。 影响版本：v4.2.1v4.2.0，v4.3.0v4.40 漏洞复现先下载存在漏洞的版本https://github.com/kekingcn/kkFileView/tree/v4.2.1 导入idea，构建运行，maven要换源或者挂代理，不然太慢 构造恶意zip包： 123456789101112131415161718import zipfiledef main(): try: bin
redis未授权访问漏洞redis是什么Redis（Remote Dictionary Server ），即远程字典服务，是一个开源的使用ANSI C语言编写、支持网络、可基于内存亦可持久化的日志型、Key-Value数据库，并提供多种语言的API。 有什么问题redis默认安装都是没有密码的，默认配置里bind 127.0.0.1，如果将bind开放到内网ip或直接0.0.0.0就会造成redis的未授权访问。 和其他数据库一样，redis支持导出备份文件，如果redis是以高权限用户(如root)运行的，就可以通过指定导出路径和文件名覆盖任意文件。而redis导出文件的内容是部分可控的，通
这四篇啥都讲到了 https://mp.weixin.qq.com/s/PuejwrbCi8y81mHHkKITjw https://mp.weixin.qq.com/s/KPr1uyaksp0C_BUlJ9VzXA https://mp.weixin.qq.com/s/fM626MkP5iKCyRDNwKhUKA https://mp.weixin.qq.com/s/GgingD4BnRg2CAN2NyQoVg 实验准备DNS服务器域名有现成的，证书直接从阿里云搞，服务器从野草云搞。 然配置域名解析 为什么非要搭一个域名服务器，不能直接在控制台改解析，因为免费的云解析DNS TTL最小是1
