OxShadow

一、漏洞描述Nginx UI 是一款基于Go语言开发的开源Web管理界面，旨在为Nginx服务器提供图形化配置管理、SSL证书维护及日志查看等功能。该工具通过可视化界面简化了Nginx的配置与运维管理。 在 2.3.3版本之前，Nginx UI存在一处严重的安全设计缺陷：/api/backup接口未配置任何身份认证中间件，且在处理备份请求时，将AES-256加密密钥及初始化向量

短信轰炸是一种业务逻辑安全漏洞，指攻击者利用短信发送接口缺乏频率限制、人机验证或业务上下文校验等缺陷，通过自动化脚本高频触发短信下发，向目标手机号批量发送验证短信，既可对用户造成恶意骚扰与资费损失，也会导致企业短信通道费用激增、服务资源耗尽及合规风险 发现过程在一个小程序中，存在登陆时需要绑定手机号的功能，初看为很常见的若依二改 尝试测试验证码功能，通过burp抓包数据 1234GET /xxx

在网站中，sign（签名） 指用户用来确认身份或操作的标识，它可以是登录账号时的用户名和密码（登录签名）、在电子合同或表单上的电子签名，也可以是开发接口中用来验证请求合法性的数字签名，总之都是为了确认身份、保证操作真实性和数据安全。 发现过程测试注册功能，发现验证码尝试短信轰炸 抓包获取数据包，发现body存在sign验签，url中存在mt时间戳 123456789101112POST /api

SSRF（Server-Side Request Forgery，服务端请求伪造）是一种安全漏洞，其原理是：应用程序在后端代替用户向外部地址发起请求时，未对用户可控的 URL 输入进行严格校验，导致攻击者可构造恶意地址（如 file:///etc/passwd）诱使服务器访问本应隔离的本地文件、内网服务或云平台元数据，从而绕过网络边界限制，实现敏感信息读取、

PDF.js作为Mozilla开发的开源PDF阅读器库，被广泛应用于Firefox浏览器和Web应用中。之前爆出的CVE-2024-4367漏洞允许攻击者通过构造恶意PDF文件执行任意JavaScript代码，影响范围包括Firefox浏览器及依赖PDF.js的Web/Electron应用。 漏洞探测http://xxx.com/xxx/xxxx/html/web/viewer.html