2026年 第12周 微信公众号精选安全技术文章总览

    洞见网安 2026-3-23

    0x1 内存遍历实战：在现有内存中隐蔽执行ShellCode

    sec0nd安全 2026-03-29T22:23:08 星夜AI安全

    Example Image


    本文深入探讨了Windows内存攻防领域中隐蔽执行ShellCode的技术。文章首先解析了内存管理中的核心术语和关键内存保护属性，强调了RWX和RX属性在ShellCode执行中的不同风险和隐蔽性。接着，阐述了遍历内存块执行ShellCode的核心逻辑，指出其优势在于规避敏感API监控、复用现有可执行内存以及利用Code Cave进行隐蔽注入。文章详细介绍了从内存遍历、查找可执行区域到注入执行的实战代码实现，包括遍历进程内存区域、查找RWX内存区域和Code Cave、以及注入并执行ShellCode的具体步骤。此外，还讨论了免杀应用的优势与注意事项，如无敏感API调用、内存行为隐蔽等优势，以及内存保护修改风险、目标区域占用风险等需要注意的风险点。最后，文章提出了两个延伸思考问题，引导读者深入理解现代系统中RWX内存的稀少原因以及异常内存属性修改的检测方式，强调了隐蔽性和系统内存管理机制的重要性。

    Windows内存攻防 ShellCode注入 内存遍历 代码洞穴 (Code Cave) 免杀技术 VirtualQuery VirtualProtect 内存保护属性 EDR检测规避 红队技术

    0x2 ProcIR-面向安全工程师的一键式应急响应工具

    sec0nd安全 2026-03-29T22:23:08 黑屋安服仔

    Example Image


    本文介绍了一款名为ProcIR的面向安全工程师的Windows应急响应排查工具。该工具旨在通过一键扫描，帮助安全工程师在应急响应过程中快速发现最可疑的威胁。ProcIR不仅能够检测当前运行中的进程，还能够发现潜在的持久化机制，如定时任务、WMI订阅等。它通过多维融合的检测思路，将进程、持久化、历史痕迹、事件日志、DLL加载、内存布局等信息归一化处理，并给出风险评分，方便用户快速定位可疑对象。工具内置了丰富的分析维度，包括运行态、触发态、历史态、事件态、模块态、内存态和IOC监控，以及一个基于YARA的规则引擎，用于内容级检测。ProcIR的设计原则是单一维度不过高，多维度叠加才真正危险，并通过行为链识别技术自动识别完整的攻击链。该工具采用纯Go语言编写，轻量级，易于部署和使用。

    应急响应 网络安全工具 进程监控 持久化检测 事件日志分析 内存分析 威胁情报 YARA规则 Go语言开发

    0x3 群友靶机之Twelve

    MS02423 2026-03-29T22:21:59 © MS02423

    Example Image


    这篇文章详细描述了对一个HackMyVm网站上的靶机进行渗透测试的过程。首先，通过靶机界面和端口扫描确定了靶机的IP地址为192.168.137.174，开放的端口有22, 80, 1212。在80和1212端口进行目录扫描未发现有效信息，但1212端口提供了一个输入框，用于将十进制整数转换为十二进制格式。通过测试发现该应用存在服务器端模板注入（SSTI）漏洞，后端使用的模板引擎为Jinja2（Python）。利用该漏洞成功反弹shell并获取了user.txt文件。接下来，对获取到的二进制可执行文件进行分析，发现其是一个带有SUID权限的ROP挑战程序，存在栈溢出漏洞。通过泄露libc基地址和函数地址，构造ROP链，并利用栈溢出漏洞成功提权获得root权限。最后，通过脚本自动化了整个攻击过程，并成功获取了root shell和flag。整个过程涉及了信息收集、漏洞利用、ROP链构造和提权等多个网络安全知识点。

    SSRF SSTI Pwn ROP Exploitation Privilege_Elevation Web Binary_exploitation

    0x4 【0day】深科特 LEAN MES系统 UploadHander.ashx 文件上传漏洞

    0day收割机 2026-03-29T19:30:48

    Example Image


    深科特信息技术有限公司开发的LEAN MES系统存在一个严重的文件上传漏洞，该漏洞位于系统中的UploadHander.ashx文件处理程序。攻击者可以利用这个漏洞上传恶意文件，如WebShell，从而实现任意命令执行，获取服务器控制权限，可能导致敏感数据泄露或系统被进一步攻击。该漏洞影响了LEAN MES系统的特定版本，攻击者可以通过构造特定的HTTP请求来触发漏洞。文章提供了漏洞的复现步骤和相关信息，并警告用户仅限安全研究和学习使用，使用者需自行承担因利用该信息而产生的任何后果。

    文件上传漏洞 WebShell 任意命令执行 服务器控制权限获取 数据泄露 车间管理系统漏洞 信息泄露 安全漏洞复现 C# 编程语言

    0x5 内网渗透(十一)：委派攻击

    JJ1ng 2026-03-29T17:55:37 JJ1ng

    Example Image


    本文详细介绍了域环境中委派攻击的相关内容，包括非约束性委派（UD）、约束性委派（CD）和基于资源的约束性委派（RBCD）。UD允许服务器代表用户访问其他服务，但若被攻击者滥用，可能导致严重的安全问题。CD则限制了委派服务的范围，使用S4U2self和S4U2proxy协议进行。RBCD是Windows Server 2012引入的一种新型委派机制，通过修改msDS-AllowedToActOnBehalfOfOtherIdentity属性实现，允许机器自身决定谁可以委派访问自身。文章还介绍了如何查询和利用这些委派类型，以及使用工具如Coercer、Rubeus、Mimikatz等进行攻击的步骤。最后，通过GOAD靶场演示了三种委派攻击的利用手法，强调了委派攻击的潜在风险和防御措施的重要性。

    Active Directory Kerberos Privilege Escalation Lateral Movement Delegation Attacks Windows Networking Security Tools

    0x6 CrySome RAT：一款高级持久性 .NET 远程访问木马

    Ots安全 2026-03-29T16:05:26

    Example Image


    CrySome 是一款功能丰富的远程访问木马 (RAT)，使用 C# 开发，旨在建立持久的命令与控制 (C2) 通道，并对受感染系统执行远程操作。除了标准的 RAT 功能外，CrySome 还具有深度集成的持久化、杀毒软件清除和反移除架构。它能够利用恢复分区和离线注册表修改来应对系统重置，即使在恢复出厂设置后也能重新运行。CrySome 采用多层持久化机制，包括计划任务、Windows 服务、监视进程、冗余二进制文件放置以及基于注册表的执行触发器。其 AVKiller 模块集成了强大的防御规避能力，系统性地禁用安全产品、阻止更新并阻止重新安装尝试。结合隐藏虚拟桌面 (HVNC) 控制、浏览器凭据提取以及实时活动感知等隐蔽功能，CrySome 为攻击者提供了强大的防御能力和对受害者环境的深度可视性。该恶意软件采用模块化架构，初始引导阶段建立执行环境、加载配置，并根据条件启用持久化和规避功能。随后，它进入持续的网络循环，通过结构化的基于数据包的协议处理传入的命令。静态分析显示，CrySome RAT 使用 Costura.Fody 进行包装，并通过修改注册表和计划任务等方式实现持久化。动态分析表明，CrySomeRAT 客户端在执行后生成子进程，以混入合法的系统进程中执行后台活动，包括持久化设置、注册表更改和服务操作。CrySome RAT 是一款成熟且具备强大攻击能力的威胁，尤其注重持久性、隐蔽性和控制连续性，通过多种高级技术确保在系统重置后也能存活，使得修复难度大大增加。

    远程访问木马 (RAT) 恶意软件 持久化机制 防御规避 (AVKiller) 隐蔽性 数据窃取 系统控制 网络通信 模块化设计 反移除架构

    0x7 为C2扫清障碍：从 DLL 劫持到无感知强制kill360所有进程

    信益安信息安全研究院 2026-03-29T14:24:20 © 信益安研究院

    Example Image


    本文深入探讨了一种针对网络安全防御系统，特别是360安全软件的C2（命令与控制）攻击策略。文章详细描述了一种利用DLL劫持技术，通过白加黑程序绕过360安全检测的方法。首先，通过原生后门和经过处理的白加黑程序测试，展示了360进程被成功终止的情况。接着，文章揭示了该策略的核心技术，包括基于DLL Side-Loading的驻留技术、动态环境溯源与反沙箱自检、防御层级致盲以及高特权级进程收割与动态API解析等。这些技术共同作用，使得C2攻击能够在高强度的防护环境下稳定上线。文章最后强调了底层对抗的魅力，并鼓励读者加入交流群以获取更多技术细节。

    恶意软件分析 DLL劫持 安全防御绕过 C2通信 沙箱检测规避 内核事件跟踪机制 进程终止 代码混淆 逆向工程

    0x8 BIND 9个安全漏洞允许攻击者绕过安全控制并导致服务器崩溃

    安全圈的那点事儿 2026-03-29T13:32:24 © 网络安全9527

    Example Image


    互联网系统联盟（ISC）发布了对BIND 9域名系统（DNS）软件套件的三个新漏洞的安全公告。这些漏洞可能导致攻击者绕过安全控制，消耗过多系统资源，甚至导致DNS服务器崩溃。其中，CVE-2026-1519是一个高危漏洞，可能导致拒绝服务（DoS）攻击，通过DNSSEC验证时消耗大量CPU资源。CVE-2026-3119会导致服务器进程意外崩溃，需要有效的TSIG密钥才能利用。CVE-2026-3591是一个堆栈返回后使用缺陷，可能允许攻击者绕过ACL。受影响的版本包括9.11.0至9.21.19。ISC已发布更新，建议用户升级到已修补的版本，如9.18.47、9.20.21或9.21.20。

    DNS安全漏洞 系统崩溃 拒绝服务攻击(DoS) 访问控制绕过 CVE编号 软件更新

    0x9 伪造证书加载器隐藏 BlankGrabber 恶意软件链

    安全圈的那点事儿 2026-03-29T13:28:24 © 网络安全9527

    Example Image


    本文详细分析了BlankGrabber恶意软件的新攻击手段，该恶意软件通过伪造证书加载器隐藏其多阶段的Rust和Python感染链。攻击者利用内置工具和高度混淆的PyInstaller存根，通过Telegram和公共网络服务进行隐蔽数据泄露。攻击过程包括伪装成证书数据的Rust stager，执行反沙箱检查，以及解密并释放自解压RAR存档。存档中包含XWorm远程访问客户端和BlankGrabber窃取程序，用于远程控制和数据窃取。BlankGrabber通过多种手段逃避检测，包括环境检查、枚举Wi-Fi配置文件、窃取密码和cookie等。数据泄露依赖于Telegram机器人和网络服务。

    恶意软件分析 证书滥用 Rust和Python恶意软件 多阶段攻击 数据窃取 沙箱逃避 远程访问木马 加密通信 自动化工具

    0xa 【登录背后的秘密-第三章第三节】别以为封了IP就万事大吉！暴力破解里的“逻辑坑”，你可能正在踩

    升斗安全 2026-03-29T10:35:54 © 升斗安全XiuXiu

    Example Image


    本文探讨了网络安全中常见的暴力破解防御机制，揭示了这些机制在逻辑设计上的缺陷。文章通过一个实际案例，分析了攻击者如何利用账户锁定和IP封禁的漏洞，通过在密码字典中插入自己的正确账号密码，绕过防御机制，成功登录目标账户。文章详细介绍了攻击的步骤，包括了解防御机制、准备攻击工具、控制攻击节奏、设置攻击剧本以及最终收割成果。文章强调了在设计和实施安全策略时，必须考虑到可利用的规则，而不仅仅是满足于表面的防御效果。

    暴力破解 网络安全防御 逻辑漏洞 渗透测试 密码安全 安全策略 网络安全教育

    0xb Frida官方下场做Frida隐藏功能，strongfrida快要死了？17.9.0引入的新功能全解读

    软件安全与逆向分析 2026-03-29T10:23:26 © 非虫

    Example Image


    Frida 17.9.0版本引入了多项关键更新，重点是扩展eBPF能力并提升Frida的隐藏性。新版本实现了Linux eBPF spawn gater，通过在execve系统调用入口处使用eBPF程序发送SIGSTOP信号，暂停新进程并通知用户态，从而实现更隐蔽、高效的进程捕获。为解决eBPF拦截后注入困难的问题，引入了Group-stopped PIDs注入机制，通过检测和差异化处理group-stop状态，实现代码注入。此外，新增了control-endpoint后端选项，允许自定义frida-server连接端点，支持通过localabstract等非标准端口或Unix socket通信，进一步绕过Frida端口检测。这些更新共同构建了一条完整的反检测链路，显著增强了Frida在安全研究中的隐蔽性和实用性。

    Frida eBPF 反检测 进程监控 内核级监控 安全研究 Linux安全 Android安全

    0xc LiteLLM供应链投毒攻击事件解析

    计算机与网络安全 2026-03-29T10:04:33

    Example Image


    该文章分析了一个名为MongoBleed的恶意文件，它伪装成CVE-2025-14847 MongoDB内存泄漏利用工具，实则包含供应链攻击的后门。该文件是一个ELF 64-bit可执行文件，由PyInstaller打包，大小约10MB。文章指出，MongoBleed来源于第三方扩展版仓库DeEpinGh0st/MDUT-Extend-Release，与原版MDUT项目无关，且在扩展版中植入了后门。漏洞利用工具表面功能正常，但依赖的slogsec->logcrypt.cryptography模块中包含了恶意C扩展库cryptography.so。该库在初始化时静默执行恶意操作，包括从Python模块中解密并执行恶意脚本，这些脚本用于下载远程载荷、数据外泄和实现持久化。恶意载荷包括从mapbox API下载的https.py脚本用于远程命令执行，以及pozos.py脚本用于数据外泄。持久化机制通过在site-packages目录下创建package.pth文件利用Python的.pth文件自动执行机制实现。文章还提供了该恶意文件的详细IOC信息，包括文件哈希值、C2服务器信息、载荷分发方式、持久化标志文件和变量等。

    供应链攻击 恶意软件 日志后门 C&C通信 持久化 内存泄漏利用 二进制分析 载荷下载

    0xd Magento PolyShell 漏洞分析：从任意文件上传到远程代码执行

    幻泉之洲 2026-03-29T10:00:00

    Example Image


    本文深入剖析了Magento/Adobe Commerce中的一个高危漏洞APSB25-94/PolyShell，该漏洞允许未授权攻击者通过REST API上传任意文件，并在特定服务器配置下可能导致远程代码执行或持久性XSS攻击。文章详细介绍了漏洞的原理、利用条件、影响范围，并提供了临时的缓解措施。漏洞主要存在于处理购物车商品自定义选项文件上传的REST API端点，攻击者通过构造特定的API请求，可以绕过文件类型验证，上传包含PHP代码的恶意文件。该漏洞影响所有生产版本，包括Magento Open Source和Adobe Commerce，最高版至2.4.9-alpha2。文章还分析了漏洞的利用前提条件，如攻击者需要知道有效的产品SKU和创建访客购物车。最后，文章提出了官方补丁状态、临时缓解方案以及如何检查和清除恶意文件的建议。

    漏洞分析 安全漏洞 远程代码执行 文件上传漏洞 XSS攻击 REST API安全 服务器配置 漏洞复现 安全补丁

    0xe 【数据库】Mysql等保核查命令大全｜亲测有效 + 持续更新

    Sec Online 2026-03-29T09:39:38 Fuyuanzi

    Example Image


    本文提供了一套针对MySQL数据库安全的检查方法，旨在帮助网络安全学习者进行实践和测试。文章首先介绍了身份认证与密码策略的检查，包括密码过期策略、密码复杂度验证、空密码和匿名账户的检测。接着，文章关注权限管理，建议遵循最小权限原则，并提供了检查超级管理员账户、文件权限、核心权限以及特定数据库权限的方法。在网络与连接安全方面，文章强调了绑定地址、本地加载数据、最大连接数与超时设置、SSL/TLS启用以及数据库版本的检查。此外，文章还涉及日志与审计、配置文件的物理检查以及备份策略等方面，包括通用日志、错误日志、审计日志、文件权限、关键参数核查、存储引擎、定时任务和配置文件备份策略的检查。文章最后鼓励读者提出建议，并及时更新改正，并提供了无水印PDF版本的百度网盘下载链接。

    MySQL安全配置 密码策略 权限管理 网络与连接安全 日志与审计 配置文件安全 备份与恢复 安全检查与加固

    0xf 【数据库】Redis等保核查命令大全｜亲测有效 + 持续更新

    Sec Online 2026-03-29T09:39:38 Fuyuanzi

    Example Image


    本文详细分析了Redis数据库在网络安全方面的多个关键检查点，涵盖了身份鉴别、访问控制、安全审计、入侵防范、可信验证以及数据备份恢复等方面。首先，在身份鉴别方面，文章介绍了Redis不同版本在账号管理和密码复杂度上的差异，以及如何通过命令检查密码设置和账户状态。其次，在访问控制方面，文章重点讲解了Redis 6.0及以上版本引入的ACL功能，以及如何通过ACL命令检查账户权限和默认账户的安全性。此外，文章还讨论了Redis的安全审计功能，包括日志级别设置、日志文件路径和审计记录信息的保护。在入侵防范方面，文章建议限制终端接入和检查补丁更新。在可信验证方面，文章介绍了Redis 6.0+对TLS的支持，以及如何检查数据传输过程中的保密性和完整性。最后，在数据备份恢复方面，文章详细讲解了本地备份（RDB和AOF）的配置检查和异地备份的重要性。全文旨在为网络安全学习者提供一套系统性的Redis安全检查方法，并通过命令和配置检查确保Redis的安全性。

    0x10 【数据库】MongoDB等保核查命令大全｜亲测有效 + 持续更新

    Sec Online 2026-03-29T09:39:38 Fuyuanzi

    Example Image


    本文详细介绍了MongoDB数据库在网络安全方面的检查要点，涵盖了身份鉴别、访问控制、安全审计、入侵防范、可信验证和数据备份恢复六个方面。在身份鉴别方面，强调了账号管理的重要性，包括角色的唯一性、密码复杂度策略（企业版支持）以及登录失败处理和双因素认证的必要性。访问控制部分详细讨论了基于角色的访问控制（RBAC）模型，包括账户权限划分、默认账户/口令检查、共享账户分析、最小权限原则以及授权主体配置访问控制策略。安全审计部分介绍了审计功能的开启和审计记录信息的查看方式，并强调了审计记录的保护。入侵防范方面，建议限制终端接入并定期更新补丁。可信验证部分重点介绍了数据传输和存储过程中的保密性与完整性，包括TLS传输加密、静态加密（WiredTiger，企业版支持）和客户端字段级加密（CSFLE，社区版和企业版支持）。最后，数据备份恢复部分讨论了本地备份和异地备份的实现方式，并强调了冗余配置的重要性。文章还提供了测试环境和镜像版本信息，并鼓励读者在评论区留言提出建议，以便及时更新和改进。

    身份鉴别 访问控制 安全审计 入侵防范 可信验证 数据备份恢复 MongoDB安全配置 数据库安全

    0x11 【数据库】PostgreSQL等保核查命令大全｜亲测有效 + 持续更新

    Sec Online 2026-03-29T09:39:38 Fuyuanzi

    Example Image


    本文详细介绍了PostgreSQL数据库在身份鉴别、访问控制、入侵防范、可信验证和数据备份恢复等方面的安全检查方法和命令。在身份鉴别方面，文章提供了检查具有登录权限的角色、密码存储、密码复杂度策略（通过扩展或PAM配置）、登录失败处理和远程登录管理的方法。访问控制部分讨论了账户权限划分、默认账户/口令、共享账户、最小权限原则、授权主体配置、访问控制粒度和强访问控制。入侵防范包括限制终端接入和检查补丁更新。可信验证部分关注数据传输和存储过程中的保密性与完整性，涉及SSL/TLS加密、数据加密存储、列加密和WAL等。数据备份恢复部分则涉及本地备份和异地备份的检查。文章强调了通过系统日志、配置文件和SQL查询等手段进行安全检查的重要性，并建议持续维护和更新检查方法。

    身份鉴别 访问控制 安全审计 入侵防范 可信验证 数据备份恢复 PostgreSQL 安全配置检查 Linux

    0x12 [EDU]一次高调的中危

    略懂安全的三秋 2026-03-29T09:22:01 © 略懂安全的三秋

    Example Image


    本文记录了一次网络安全学习者在发现一个高危漏洞的过程。文章首先介绍了漏洞发现的背景，即在学习网络安全知识时刷漏洞的过程。作者通过尝试弱口令登录系统，发现若依系统存在弱口令漏洞。在尝试了多种密码组合无果后，作者转向分析接口，发现了一些有趣的接口。其中，一个接口可以获取存储桶的临时密钥，可以用于上传文件；另一个接口可以删除部分用户，但不能删除有管理员权限的用户。最终，作者发现了一个关键的接口，该接口可以获取大量学生的个人信息，包括手机号、名字、学号等，共计1000000条数据。文章强调了获取这些信息的方式以及使用这些信息的风险，并提醒读者不要将文中内容用于商业或非法用途。

    漏洞挖掘 系统漏洞 弱口令攻击 文件上传漏洞 信息泄露 数据删除漏洞 代码审计 安全漏洞利用

    0x13 CVE-2026-20963｜Microsoft SharePoint远程代码执行漏洞

    信安百科 2026-03-29T09:00:41 alicy

    Example Image


    本文介绍了Microsoft SharePoint的CVE-2026-20963远程代码执行漏洞。该漏洞存在于SharePoint处理序列化数据的过程中，攻击者通过构造恶意的序列化数据，可以绕过身份验证，在存在漏洞的SharePoint服务器上执行代码。漏洞影响多个版本的SharePoint，包括SharePointEnterprise Server 2016、SharePointServer 2019以及SharePointServer订阅版。文章提供了漏洞的CVE编号、影响版本详情，并附有参考链接和相关信息。同时，文章也提醒读者注意信息安全，并对文章的传播和使用责任进行了声明。

    远程代码执行漏洞 Microsoft SharePoint CVE编号 序列化数据漏洞 企业文档管理软件 微软产品漏洞 漏洞影响版本 安全更新指南

    0x14 CVE-2026-3055｜Citrix NetScaler ADC和NetScaler Gateway内存越界读取漏洞

    信安百科 2026-03-29T09:00:41 alicy

    Example Image


    本文详细介绍了Citrix NetScaler ADC和NetScaler Gateway中存在的内存越界读取漏洞CVE-2026-3055。该漏洞存在于设备配置为SAML身份提供程序时，由于系统对接收到的SAML请求输入验证不足，攻击者可以通过发送恶意SAML报文触发内存越界读取，从而读取设备进程内存中的敏感信息，包括用户会话令牌、凭据等，可能导致会话劫持或系统完全控制。文章提供了漏洞的CVE编号、受影响版本、漏洞详情和相关链接，并提醒用户注意安全风险。

    CVE编号 漏洞分析 Citrix产品安全 远程访问安全 内存安全漏洞 应用程序交付安全 安全漏洞通报 安全研究

    0x15 CORS 跨域漏洞攻防实战：靶场复现 + POC 编写 + 防御配置

    梦醒安全 2026-03-29T07:57:22 © m3x1

    Example Image


    本文详细介绍了Web渗透测试中的跨域安全议题，重点围绕同源策略（SOP）和跨域资源共享（CORS）机制展开。SOP作为浏览器的安全屏障，限制了不同源之间的资源访问，而CORS机制则通过自定义HTTP头部允许跨域资源访问，满足业务需求。文章阐述了域的组成部分（协议、主机、端口），并解释了同源策略的原理，即协议、域名和端口必须完全一致才视为同源。CORS通过请求头和响应头来实现跨域访问控制，其中关键字段包括Origin、Access-Control-Allow-Origin、Access-Control-Allow-Credentials等。文章还分析了CORS跨域漏洞的本质，即服务器配置不当，导致攻击者可获取用户敏感数据。文章详细区分了简单请求和非简单请求，并提供了漏洞验证和利用脚本示例。最后，文章通过三个靶场实验展示了CORS漏洞的实际复现过程，并提出了防御措施，强调正确配置跨域请求和避免将null设置为白名单的重要性。

    Web安全 CORS 同源策略 漏洞分析 靶场复现 漏洞利用 安全防御

    0x16 FBI局长个人邮箱遭伊朗黑客攻击事件分析｜蓝队防御指南

    海狼风暴团队 2026-03-28T23:42:17 © WorkBuddy

    Example Image


    本文分析了2026年3月伊朗黑客组织Handala入侵美国FBI局长卡什·帕特尔个人邮箱的事件。事件涉及泄露历史邮件、照片和文件，但未涉及政府机密。文章深入分析了Handala组织的背景、攻击技术和动机，指出个人邮箱账户成为安全薄弱环节的原因，包括安全意识不足、密码复用和社交工程学等。文章还提供了针对党政机关、企业负责人和个人的防护建议，包括账户安全措施、网络隔离、人员安全意识培训等，强调个人账户安全与组织安全同等重要。

    网络安全事件分析 APT攻击 个人账户安全 钓鱼攻击 凭证填充攻击 社会工程学 蓝队防御 安全意识培训 应急响应 技术检测与响应

    0x17 二开MDUT-Pro数据库综合漏洞利用工具，新增Redis CVE-2025-49844和CVE-2022-0543利用，Mssql的Godpotato等提权，MongoDB类型数据库利用

    尘宇安全 2026-03-28T23:07:53 © 尘佑不尘

    Example Image


    本文介绍了二开MDUT-Pro数据库综合漏洞利用工具的最新版本更新。该工具专为红队和安全研究者设计，旨在提供高效、稳定且覆盖广泛的数据库横向移动与权限突破解决方案。最新版本新增了对MongoDB数据库的支持，并集成了数据库存活扫描功能，以提升信息收集的效率。此外，工具还增加了针对Redis缓存数据库的高危漏洞CVE-2025-49844和CVE-2022-0543的利用脚本，以及对Oracle数据库大文件模式的优化。针对SQL Server (Mssql)，新版本引入了多种本地提权方案，包括Godpotato，并新增了内存加载shellcode的功能。为了保障用户安全，开发团队对历史版本进行了安全加固，并发布了最新稳定版本v1.3.1。

    数据库安全 漏洞利用工具 红队工具 自动化测试 渗透测试 安全加固 漏洞研究

    0x18 ProcIR-面向安全工程师的一键式应急响应工具

    漕河泾小黑屋 2026-03-28T22:40:23 © 黑屋安服仔

    Example Image


    ProcIR是一款面向Windows系统的应急响应排查工具，旨在帮助安全工程师在应急响应过程中快速发现可疑活动。该工具通过多维度的数据融合和评分机制，对进程、持久化、历史痕迹、事件日志、DLL加载和内存布局进行全面分析，并以风险评分排序，辅助安全工程师快速定位可疑对象。ProcIR不进行查杀操作，不联网上传数据，不常驻系统，不进行监控，扫描完成后提供结果供研判。工具设计理念包括多维融合、统一对象模型、八个分析维度（运行态、触发态、历史态、事件态、模块态、YARA检测、内存态、IOC监控）和评分模型。ProcIR采用纯Go语言编写，具有轻量级、易于使用等特点，适用于常规应急响应、白加黑排查、持久化排查、威胁情报碰撞扫描和可疑进程深挖等多种场景。

    应急响应 网络安全工具 Windows安全 进程监控 持久化检测 事件日志分析 模块分析 内存分析 YARA规则 威胁情报 评分模型 攻击链检测

    0x19 Linux安全加固-主机运维

    OnePanda-Sec 2026-03-28T22:09:47 © Luistin

    Example Image


    本文是一篇关于网络安全招新的说明，主要面向对网络安全和CTF（Capture The Flag）比赛有兴趣的学生。招新要求包括热爱网络安全、有CTF比赛经验且成绩较好、乐于奉献和分享、时间允许参加各类赛事并服从管理。对于未参与其他高校联队的大一同学，资历要求可能会放宽。有意者需发送简历至指定邮箱。此外，文章还介绍了Linux安全加固和主机运维的相关任务，包括修改用户密码、允许root用户SSH远程登录、创建新用户并配置SSH私钥等。这些任务旨在帮助学习者提升Linux安全加固和主机运维技能，并通过实践加深理解。文章还详细解释了sshd_config配置文件的各个参数及其作用，以及如何设置和管理用户权限，以确保SSH服务的安全性。

    网络安全 CTF Linux安全加固 主机运维 SSH安全配置 权限管理

    0x1a 把小程序当Web测 || 实战案例深度拆解路由跳转中的权限漏洞挖掘

    进击的HACK 2026-03-28T22:04:56 庆尘

    Example Image


    本文详细探讨了微信小程序的路由跳转逻辑及其测试方法。文章首先指出小程序的路由跳转高度依赖URL路由和Query参数传递数据，这种设计容易导致越权、未授权等安全漏洞。接着，文章介绍了三种常见的页面跳转方式：wx.navigateTo、wx.redirectTo和wx.switchTab，并强调了URL中参数的重要性以及权限校验的重要性。为了全面测试小程序的路由，文章建议首先通过反编译获取小程序的路由配置文件（app.json），从中提取所有注册的页面路径。文章还讨论了三种路由跳转方法：外部工具跳转、批量路由验证和控制台手动跳转，并分析了各自的优缺点。特别强调了在测试路由时需要分析路由参数，因为直接批量访问路由往往无法触发数据包。最后，文章指出通过分析路由对应的.js、.wxml和.json文件，可以轻松获取路由跳转所需参数，从而构造对应的跳转链接。总体而言，本文提供了一套系统的小程序路由测试方法，有助于安全测试人员更有效地发现和挖掘相关漏洞。

    小程序安全 路由安全 越权漏洞 未授权访问 反编译测试 参数分析 测试方法 接口测试

    0x1b 内存遍历实战：在现有内存中隐蔽执行ShellCode

    星夜AI安全 2026-03-28T21:26:47 © 星夜AI安全

    Example Image


    本文深入探讨了Windows内存攻防领域中隐蔽执行ShellCode的技术。文章首先解析了核心概念，如内存页、内存区域、Code Cave以及关键的内存保护属性，帮助读者理解内存管理的机制。接着，文章阐述了遍历内存块执行ShellCode的核心逻辑，指出这种方法可以规避敏感API监控、复用现有可执行内存，并通过Code Cave实现隐蔽注入，从而绕开系统监控与检测。文章详细介绍了实战实现过程，包括遍历进程所有内存区域、查找可执行内存区域（RWX或Code Cave）以及注入并执行ShellCode的具体步骤，并提供了示例代码。最后，文章讨论了免杀应用的优势与注意事项，指出无敏感API调用、内存行为隐蔽以及可寄生合法模块是其核心优势，但也需注意内存保护修改风险、目标区域占用风险、Code Cave大小限制和特征码检测风险。文章还延伸思考了现代系统中RWX内存少见的原因以及如何检测进程中的异常内存属性修改，强调了隐蔽性的重要性以及技术的合法使用范围。

    Windows内存攻防 ShellCode注入 内存遍历 Code Cave利用 内存保护属性 免杀技术 VirtualQuery VirtualProtect 隐蔽性攻击 内存安全

    0x1c 【免杀攻防】基于powershell的图片隐写免杀

    平凡在修行 2026-03-28T20:00:53 © 平凡在修行

    Example Image


    本文主要探讨了基于PowerShell的图片隐写免杀技术。文章首先强调了免责声明，指出所分享内容仅用于信息防御技术研究，并明确使用者的责任。接着，文章解释了图片免杀的概念，即在某些情况下，防病毒软件可能不会对图像文件进行执行检测。通过使用有效的负载数据生成新图像，或者将有效负载嵌入到现有图像的最低有效字节中，可以使得这些图像看起来像真实图像，但实际上却隐藏了恶意代码。这些图像通常以PNG格式保存，并利用PNG的无损压缩特性，不影响执行恶意负载的能力。文章还提到，生成新图像时，会对PowerShell脚本进行压缩，生成的PNG文件大小大约是原始脚本大小的50%，这为攻击者提供了便利。

    网络安全技术 恶意软件分析 PowerShell利用 图片隐写术 免杀技术

    0x1d Burp Suite 自动化 API 提取与批量验证插件

    0x八月 2026-03-28T19:43:57 © 0x八月

    Example Image


    Burp_Parsing是一款Burp Suite自动化API提取与批量验证插件，旨在简化API测试流程。通过智能正则表达式从HTTP响应中提取API路径和参数，并支持GET/POST格式的自动切换和测试值填充，实现请求重组。用户只需右键点击响应包即可完成提取和重组，大幅提升测试效率。插件还具备批量验证功能，支持多线程并发测试接口存活状态，并提供可视化筛选和排序，帮助用户快速定位异常接口。此外，插件支持被动监听Proxy流量和Swagger文档，自动捕获API接口，并可自定义请求头进行测试。技术方面，插件采用Jython编写，无需额外编译，源码可审计，并具备智能过滤静态资源和域名黑名单等功能。使用时，用户需在Burp Extender中加载插件，并配置白名单域名和自定义请求头。在提取和重组阶段，用户可通过右键点击响应包选择Extract to API Hunter，并在Analysis标签页查看结果。在验证和分析阶段，用户可在Batch Verification面板启动多线程扫描，并通过搜索功能过滤特定路径关键词。该插件适用于未授权接口挖掘和快速资产测绘场景，有效解决手工提取参数和重复发包测试的痛点。

    Burp Suite 插件 API 安全 自动化测试 渗透测试 Web 安全 漏洞挖掘 网络测绘 正则表达式 多线程

    0x1e 【代码审计】客户端代码执行之WebView JavaScript桥接劫持token账号接管

    挖个洞先 2026-03-28T19:12:33 © 挖个洞先

    Example Image


    本文深入分析了客户端代码执行中的WebView JavaScript桥接劫持token账号接管问题。文章首先介绍了操作步骤，包括WebActivity的导出、查看入口initView以及参数的赋值。接着，通过逐步跟踪代码，揭示了UrlLoaderImpl类中str参数未过滤直接传给WebView.loadUrl()，从而可能导致安全风险。进一步分析发现，注册了AndroidInterface作为JavaScript桥接，其中callNativeFunc方法可以被JavaScript调用。通过agentWeb.getJsAccessEntrace()获取JavaScript访问入口对象，并使用CommonUtilsKt.getToken()获取token。文章最后通过构造poc，展示了如何通过调用callNativeFunc(token)执行alert(token)来获取token，并利用社区功能进行账号接管。

    代码审计 WebView安全 JavaScript劫持 移动应用安全 账号安全 跨站脚本攻击（XSS） 信息泄露 安全漏洞利用

    0x1f APP frida 检测绕过详解：定位 JNI 动态注册 Native 函数，Hook 核心检测函数

    看雪学苑 2026-03-28T18:14:58 reserve_zhou

    Example Image


    本文详细分析了App中Frida加密检测的绕过思路。作者首先介绍了脱壳、SO修复、Hook clone偏移原因及原理等基础知识，并推荐了相关学习资源。接着，作者通过Frida注入脚本定位了检测SO的加载时机和进程终止原因，发现进程终止并非在SO加载阶段，而是在Java层早期调用JNI动态注册的native方法触发。作者通过Hook clone函数和检测函数偏移，分析了检测流程，发现涉及全局检测结构体（off_E3290）和多个检测函数。作者尝试了多种绕过方法，包括Hook检测函数并强制返回0，但发现进程仍然死亡。进一步分析发现，核心检测函数是通过JNI动态注册的native方法调用，且检测逻辑较为复杂，涉及多个函数调用和隐式调用。最终，作者通过Hook动态注册的native方法并返回特定值，成功绕过了检测，使Frida和防护SO文件不再被杀。整个过程经历了多次尝试和错误，但最终成功定位核心检测函数并找到了绕过方法。

    安卓逆向 Frida 加固检测绕过 SO文件分析 JNI 动态分析 逆向工程实战

    0x20 【登录背后的秘密-第三章第二节】Burp暴力破解进阶指南：一招绕过IP封锁，高效拿下登录凭证

    升斗安全 2026-03-28T17:08:35 © 升斗安全XiuXiu

    Example Image


    本文详细介绍了如何利用Burp Suite进行登录界面的暴力破解，以绕过IP封锁并有效枚举用户名及爆破密码。首先，通过Burp Suite的代理功能向目标网站发送无效用户名和密码，触发IP封锁。接着，在Repeater中添加X-Forwarded-For头部伪造IP，以绕过基于IP的封锁机制。然后，通过分析服务器响应时间来区分有效用户名，因为有效用户名会导致响应时间随密码长度增加而明显变长。最后，使用Intruder工具的Pitchfork模式，结合X-Forwarded-For和用户名字典枚举有效用户名，再针对有效用户名使用密码字典进行爆破，最终找出正确密码并完成登录。文章强调了先枚举有效用户名再针对性爆破密码的方法更高效，并提醒读者遵守相关法律法规，仅用于合法渗透测试和CTF挑战。

    Burp Suite X-Forwarded-For 登录界面渗透测试 IP封锁绕过 响应时间分析 Intruder 用户名枚举 密码破解 渗透测试技巧 CTF技巧

    0x21 灾难公式：串联EspoCRM脚本引擎实现远程代码执行

    幻泉之洲 2026-03-28T16:01:00

    Example Image


    本文详细分析了EspoCRM（v9.3.3及更早版本）中一个严重的安全漏洞链，编号为CVE-2026-33656。该漏洞允许管理员权限的攻击者通过公式脚本引擎绕过字段级访问控制，篡改附件实体的sourceId字段。由于文件存储层未对sourceId进行路径净化，攻击者可利用此漏洞实现任意文件读写。结合Apache环境下的.htaccess技巧，最终可达成远程代码执行（RCE）。漏洞根源在于公式脚本引擎在执行更新操作时未应用ACL，以及文件路径构造未进行净化处理。攻击链需要管理员权限，但实际风险高，因为管理员账户可能被盗或被诱导执行恶意操作。此外，公式引擎的ACL盲点还允许攻击者读取敏感字段如用户密码和会话令牌。官方已快速响应，在报告后24小时内发布修复版本（9.3.4），核心修复是对sourceId进行净化处理。建议所有用户立即升级，并采取网络层防护、权限最小化等缓解措施。该漏洞提醒开发者，即使是内部引擎也需要严格的边界防护和路径净化。

    远程代码执行（RCE） 脚本引擎漏洞 文件路径遍历 访问控制绕过 Web应用安全 CVE编号 代码审计 安全修复

    0x22 WordPress CMS Commander 插件SQL漏洞 | CVE-2026-3334概念复现&研究

    404号浪漫 2026-03-28T14:14:16 © 404号浪漫

    Example Image


    本文详细分析了WordPress CMS Commander插件在所有版本（包括2.288）中存在的SQL注入漏洞。该漏洞源于对用户提供的参数（or_blogname、or_blogdescription和or_admin_email）进行不充分的转义，以及在恢复工作流程中对现有SQL查询准备不足。这使得经过身份验证的攻击者能够将额外的SQL查询追加到已存在的查询中，从而可以从数据库中提取敏感信息。文章详细介绍了环境搭建步骤，包括使用Ubuntu 24和Docker配置漏洞复现环境。此外，文章还提供了概念验证场景，展示了如何利用该漏洞进行攻击，并深入分析了漏洞原理，包括架构与模块定位、核心入口的安全边界错位、恢复流程中的最后一道防线失守等。最后，文章提出了修复建议，包括升级到最新版本、限制访问、防火墙拦截、最小权限和更换密钥等。

    SQL注入 WordPress安全 Web安全 认证后攻击 数据泄露 配置篡改 漏洞利用 修复建议

    0x23 武装你的浏览器器-Webpack_extract

    锐鉴安全 2026-03-28T13:47:48

    Example Image


    本文首先介绍了一个高校人脸采集系统的安全漏洞案例，通过信息收集和模糊测试（fuzz）技术，作者发现了系统中的未授权注册漏洞，并成功绕过登录机制。随后，文章转向介绍一款名为Webpack_extract的工具，该工具旨在帮助红队人员快速进行信息收集，能够自动加载和分析了Webpack异步加载的JavaScript文件。工具支持提取Webpack生成的JS映射文件、一键加载和分析JS文件，以及自动下载分析结果。文章还提到了工具的使用方法，包括下载、安装和配置，并简要介绍了工具的亮点和适用场景。最后，文章提供了一些相关资源的下载链接，并提醒读者在使用相关技术和工具时遵守法律法规，不要用于非法测试。

    漏洞挖掘 Web应用安全 信息收集工具 JavaScript安全 渗透测试 红队工具 安全意识

    0x24 0142.微软身份验证器中未被认领的深度链接：账户完全被盗用（CVE-2026-26123）

    Rsec 2026-03-28T11:34:47 © Khaled Mohamed

    Example Image


    本文探讨了微软身份验证器（Microsoft Authenticator）中一个名为CVE-2026-26123的严重安全漏洞。该漏洞源于微软身份验证器未声明其ms-msa://深度链接，导致任何恶意应用程序都可以拦截身份验证令牌，从而完全接管用户账户，绕过双因素身份验证、密码要求以及其他安全层。文章详细描述了攻击者如何利用这个漏洞，包括通过二维码扫描、网页点击或ADB发送隐式意图等方式拦截令牌。文章强调了该漏洞的严重性，因为它可以影响所有微软账户服务，如Outlook、OneDrive、Azure、Office 365等，且攻击者只需用户扫描二维码，无需任何可疑权限即可实现攻击。文章还提供了漏洞的解决方案和预防措施，并指出微软已确认该漏洞并进行了缓解。

    身份验证漏洞 双因素认证绕过 移动应用安全 深度链接安全 漏洞披露 恶意软件攻击 安全最佳实践

    0x25 Kylin等保核查命令大全｜亲测有效 + 持续更新

    Sec Online 2026-03-28T11:14:12 Fuyuanzi

    Example Image


    本文提供了一套针对Kylin-Server-V10-SP3-2403-Release-20240426-x86_64虚拟机环境的网络安全检查命令和方法，旨在解决现有检查命令过时、覆盖不全、泛化缺乏针对性以及公开方法缺乏系统性和持续维护等痛点。文章详细介绍了身份鉴别、访问控制、安全审计、入侵防范、恶意代码防范、可信验证、数据完整性、数据保密性、数据备份恢复以及剩余信息保护等方面的检查要点和命令。具体包括账号管理、登录失败处理、SSH加密方法、密码复杂度策略、双因素认证、密码过期策略、登录超时、账户权限审计、匿名用户/默认账户、共享账户查询、最小权限原则、核查账户和权限情况、审计服务开启状态、审计记录核查、日志轮转配置、最小安装原则、高危端口查看、终端接入审计、补丁查看、安全服务状态、第三方安全服务、审计记录传送至安全管理中心、传输和存储过程中的数据完整性、传输和存储过程中的数据保密性、本地和异地备份、主备/热备以及剩余信息保护等方面的详细检查方法和命令。通过执行这些检查命令，可以全面评估系统的安全性，发现潜在的安全风险，并采取相应的措施进行加固和修复，从而提高系统的整体安全水平。

    身份鉴别 访问控制 安全审计 入侵防范 恶意代码防范 可信验证 数据完整性 数据保密性 数据备份恢复 剩余信息保护 个人信息保护

    0x26 Ubuntu等保核查命令大全｜亲测有效 + 持续更新

    Sec Online 2026-03-28T11:14:12 Fuyuanzi

    Example Image


    本文提供了一套针对Ubuntu 25.04操作系统的网络安全检查命令和配置审计方法，旨在解决现有检查命令过时、覆盖不全、泛化缺乏针对性及验证、公开方法缺乏系统性与持续维护等痛点。文章详细介绍了身份鉴别、访问控制、安全审计、入侵防范、恶意代码防范、可信验证、数据完整性、数据保密性、数据备份恢复以及剩余信息保护等多个方面的检查要点和具体命令。例如，在身份鉴别方面，检查账号管理、登录失败处理、远程管理通信加密、密码复杂度策略、双因素认证、密码过期策略和登录超时等；在访问控制方面，审计账户权限、匿名用户/默认账户、共享账户、最小权限原则、账户和权限情况、访问控制粒度、强访问控制状态等。此外，还涉及了最小安装原则、高危端口查看、终端接入审计、补丁查看、安全服务（AppArmor、UFW、自动安全更新）、第三方安全服务、审计记录传送、传输与存储过程中的数据完整性、传输与存储过程中的数据保密性、本地与异地备份恢复、鉴别信息与敏感数据内存清除以及剩余信息保护参数等。文章强调通过系统性的检查和配置审计，可以提升Ubuntu系统的整体安全性，保障系统免受各类网络威胁。

    身份鉴别 访问控制 安全审计 入侵防范 恶意代码防范 可信验证 数据完整性 数据保密性 数据备份恢复 剩余信息保护 个人信息保护

    0x27 【建议收藏】网络安全实战工具红宝书：从信息收集到内网渗透，700+项目一网打尽

    黑白之道 2026-03-28T10:47:15

    Example Image


    本文提供了一份详尽的网络安全工具图谱，涵盖从自动化侦查到应急响应的多个功能场景，适用于红队、蓝队及安全研究爱好者。文章首先介绍了半/全自动化利用工具，如rengine、Slack、reconFTW等，这些工具能自动化完成从信息收集到漏洞扫描的全流程，极大提升效率。接着，文章详细分类了信息收集工具，包括资产发现工具（如gau、ENScan_GO）、子域名收集工具（如subfinder、OneForAll）、目录扫描工具（如kata、dirsearch）以及指纹识别工具（如wappalyzergo、EHole）。此外，还介绍了Burp与浏览器插件，如HaE、mitaka等，以及漏洞利用工具，涵盖漏洞扫描框架（如nuclei、afrog）、中间件/应用漏洞利用工具（如SpringBoot-Scan、Struts2VulsScanTools）、重点CMS利用工具（如I-Wanna-Get-All、Apt_t00ls）等。文章还涉及内网渗透工具、免杀与权限维持工具、基础设施搭建与靶场（如vulhub、GOAD）、运维与应急响应工具（如LinuxCheck、QDoctor）以及Webshell/内存马查杀工具（如kunwu、DuckMemoryScan）。最后，推荐了其他安全资料和学习资源。所有工具均来自GitHub，并强调仅供授权测试和学习使用，严禁非法使用。

    网络安全 红队工具 蓝队工具 渗透测试 安全工具 GitHub资源 信息收集 漏洞利用 内网渗透 应急响应

    0x28 利用 BloodHound OpenGraph 映射欺骗方案 - Configuration Manager 篇

    securitainment 2026-03-28T10:24:57 Joshua Prager

    Example Image


    本文探讨了如何在 Configuration Manager (SCCM) 基础设施中识别并部署高质量的欺骗方案，以防御潜在的网络攻击。作者强调了欺骗方案应具备融合性、吸引力、零新增风险和高保真度等属性，并推荐使用 BloodHound OpenGraph 来映射和追踪已部署的欺骗方案。文章详细介绍了三种欺骗方案：Canary NAA、PXE 媒体和 SC_UserAccount 表。Canary NAA 方案涉及在 Active Directory 中创建具有逼真描述和弱密码的域账户，并将其添加到 SCCM 中，以检测对手对网络访问账户的枚举和凭据滥用行为。PXE 媒体方案则涉及将合法的 PXE 媒体替换为实验环境中的 PXE Boot 文件结构，以检测对手对启动文件的访问。SC_UserAccount 表方案涉及在 SCCM 站点数据库服务器中植入 canary 过期凭据，以检测对手对敏感账户凭据的枚举和滥用行为。文章还介绍了如何使用 ConfigManBearPig 和 deceptionClone 项目在 BloodHound OpenGraph 中对欺骗方案进行建模和追踪。最后，作者强调了创建有效的欺骗方案需要进行可靠审计，并建议使用集中收集 SACL 事件、Detailed File Share 审计事件和自定义 SQL 审计来检测恶意行为。

    欺骗方案 BloodHound SCCM (System Center Configuration Manager) 攻击路径管理 ConfigManBearPig 安全检测 内部威胁 横向移动 EDR (Endpoint Detection and Response) 审计

    0x29 一款API工具遭供应链投毒！黑客如何通过CDN分发恶意代码窃取开发者凭证

    云梦安全 2026-03-28T09:22:27 © 云梦DC

    Example Image


    本文详细分析了一起针对API工具的供应链投毒攻击事件。攻击者利用了Cloudflare CDN分发恶意代码，窃取了开发者的凭证。攻击者通过注册与官方域名视觉相似的域名apifox.it.com，误导用户认为是官方渠道。恶意代码被嵌入到合法的JavaScript文件中，通过复杂的混淆技术隐藏后门。攻击者使用了RSA-2048私钥加密敏感信息，并通过C2服务器进行数据上报。攻击链分为多个阶段，包括窃取SSH密钥、Git凭证、环境变量等。事件影响了全球数千名开发者，风险等级被评估为严重。文章提供了紧急措施和长期建议，以帮助用户防范此类攻击。

    供应链攻击 恶意代码分析 CDN安全 社会工程学 开发者工具安全 数据窃取 逆向工程 安全事件响应 安全风险评估 安全意识提升

    0x2a 2026 红队终极渗透指南：漏洞利用 + 权限维持 + EDR 绕过，全程干货 | 打点 | 撕口子 | 渗透测试 | Web安全

    异空间安全 2026-03-28T09:07:47 © 异空间安全

    Example Image


    本文详细阐述了红队漏洞利用与权限获取的核心策略与实战技巧。文章强调红队实战并非简单的工具扫描和暴力破解，而是通过精准打击、隐蔽渗透的方式逐步获取权限并进入内网。核心流程包括寻找薄弱点、撕开口子、拿取权限、进入内网。特别指出集权系统默认口令是攻击的关键突破口，并列举了多个常见系统的默认账号密码。文章还介绍了红队最高级打法，即先软后硬、先边缘后核心的策略，并深入探讨了边缘资产攻击、核心高价值资产利用、社工与网络钓鱼等高阶攻击手段。此外，文章还列举了实战高频漏洞、红队作战体系、打点艺术、极速打点技巧、红队铁律、Web打点核心战术、外网必杀技、内网纵深渗透、横向移动技巧、C2隐匿、绕杀软&文件限制、全链路Bypass、现代EDR对抗等实战内容，最后总结了红队实战思维导图、常用工具命令、完整实战流程、避坑建议以及实战Tips。文章强调隐蔽比速度更重要，并提醒必须遵守法律红线，在授权范围内进行安全测试。

    漏洞利用 权限获取 红队渗透 默认口令 内网渗透 边缘资产 高价值资产 社工与钓鱼 高阶攻击 实战漏洞 红队作战体系 资产测绘 横向移动 权限维持 绕过防御 法律法规

    0x2b 2026春节题目

    吾爱破解论坛 2026-03-28T08:33:41 © 吾爱pojie

    Example Image


    文章详细分析了多个网络安全题目，包括Windows初级题、Android初级题、Windows中级题、Web中级题和WASM逆向题目。文章首先介绍了Windows初级题（二）的解题思路，通过反编译代码，分析了验证函数的流程，包括提示信息、用户输入、输入内容检查、长度验证和XOR缓冲区比对等步骤。文章还介绍了Android初级题（一）的解题方法，包括反编译APK、找到关键数组和解密方法等。对于Windows中级题（一）和（二），文章分别介绍了如何提取PE资源和Nuitka Onefile格式的资源数据，以及如何定位__main__段和提取加密参数进行解密。文章还分析了Android中级题（二）的so层逆向分析，但由于难度较大，放弃了。对于Web中级题，文章介绍了使用wabt工具链进行WASM反编译，并详细分析了WASM逆向的流程，包括获取随机数、构建种子缓冲区、HMAC-SHA256计算、Base64-like编码、计算验证哈希和生成TTS语音等步骤。文章还介绍了如何通过WASM二进制热补丁和双通道执行策略来泄漏验证码明文。最后，文章提到了Windows高级题和MCP中级题，但由于分析难度大，放弃了。对于MCP中级题，文章介绍了使用AI来解题，并给出了一个Python脚本，直接运行得到了正确的flag。

    逆向工程 加密解密 漏洞分析 WASM逆向 Web安全 Android安全 Python编程 脚本编写 MCP CTF

    0x2c WebRTC型支付盗刷脚本技术分析

    白帽子 2026-03-28T05:08:25 黑鸟

    Example Image


    近期发现全球首例利用WebRTC数据通道进行支付盗刷的恶意脚本，成功攻击了一家市值超千亿美元的车企，并绕过了其全链路安全防护。该攻击利用PolyShell漏洞（Adobe Commerce未授权文件上传漏洞）在电商站点植入WebRTC初始注入脚本，通过WebRTC与攻击者C2服务器建立加密连接，接收并执行盗刷核心载荷，实时窃取用户信用卡号、有效期、CVV码等敏感支付信息。与传统支付盗刷攻击不同，该攻击全程通过WebRTC数据通道完成通信，彻底绕过了内容安全策略（CSP）和基于HTTP/HTTPS的流量检测工具。WebRTC的原生设计使其对等连接完全运行在CSP管控范围之外，且标准支持的行业空白和流量检测的天然盲区进一步加剧了其危险性。攻击者利用WebRTC的核心组件如RTCPeerConnection、RTCDataChannel、SDP和ICE等，实现浏览器与C2服务器的直连，并通过DTLS加密和UDP协议传输窃取的数据，使网络安全设备无法捕获解析。该攻击揭示了WebRTC技术在支付盗刷领域的滥用潜力，对当前Web安全防护体系构成了重大威胁。

    WebRTC 攻击 支付盗刷 CSP 绕过 流量检测绕过 PolyShell 漏洞利用 恶意脚本 信令服务器绕过 ICE 协议滥用 DTLS 加密 网络安全防护绕过

    0x2d WebRTC型支付盗刷脚本技术分析

    黑鸟 2026-03-27T23:52:40 © 黑鸟

    Example Image


    近期发现全球首例利用 WebRTC 数据通道进行支付盗刷的恶意脚本，成功绕过一家超千亿美元车企的安全防护，窃取支付数据。该攻击利用 PolyShell 漏洞入侵电商站点，在支付页面植入 WebRTC 脚本，通过 WebRTC 与攻击者 C2 服务器建立加密连接，实时窃取用户信用卡信息等敏感数据。与传统攻击不同，该攻击全程使用 WebRTC 数据通道，彻底绕过内容安全策略（CSP）和基于 HTTP/HTTPS 的流量检测工具。WebRTC 的三大特性是其绕过防护的关键：CSP 无法管控 WebRTC 对等连接、WebRTC 相关的 CSP 指令未标准化、流量基于 DTLS 加密的 UDP 协议传输，形成安全盲区。攻击者通过伪造 SDP 握手和硬编码 C2 服务器信息，实现浏览器与 C2 服务器的直连。恶意脚本采用分块载荷接收和双触发执行机制，并设计了三级执行方案绕过 CSP，最大程度提高攻击成功率。

    WebRTC 攻击 支付盗刷 绕过 CSP 绕过流量检测 PolyShell 漏洞利用 数据窃取 C2 通信 加密通信

    0x2e superSearchPlus：浏览器即开即用的资产收集利器插件

    0x八月 2026-03-27T21:41:03 © 0x八月

    Example Image


    superSearchPlus是一款针对Chrome浏览器的聚合型信息收集插件，旨在帮助网络安全人员快速收集目标网站的相关信息。该插件集成了FOFA、鹰图、Shodan、Quake等多个资产测绘平台，提供IP反查、JS提取、目录扫描、Vue路由探测等功能。通过浏览器插件的形式，用户可以实现即开即用的信息收集，无需切换多个平台即可获取企业资产的全貌，有效解决了工具碎片化和API配置繁琐的问题。插件还具备多平台资产测绘聚合、JS深度提取与联动扫描、Vue与现代化前端识别等核心能力，支持时间范围筛选、响应体预览、CSV导出等功能，方便用户进行后续分析。此外，superSearchPlus还适配Chrome最新扩展标准，具有免API Key的Host查询、子域聚合、内置HackBar式重发功能等特性，提高了使用效率和便利性。

    浏览器插件 资产收集 渗透测试 信息收集工具 网络安全 FOFA JavaScript Vue.js Shodan 安全工具

    0x2f Burp插件：全自动API接口挖掘与测试利器

    0x八月 2026-03-27T21:37:05 © 0x八月

    Example Image


    API剑是一款基于Burp Suite的插件化API挖掘工具，旨在实现全自动的API接口挖掘与测试。它通过被动和主动双重采集方式，深度收集HTTP响应中的API接口和JS文件，并支持递归请求和防环路设计，以实现零手动的接口资产测绘。该工具的优势在于基于Burp流量生态，解决了传统JS工具与浏览器脱离、无法实时联动测试的痛点。其核心能力包括流量捕获自动提取、递归解析、主动探测、防环路机制和联动测试等。API剑提供所见即所得的联动设计，将API与来源JS文件成对展示，支持一键发送至Burp Repeater进行测试。此外，它还具有智能递归与防环路机制、生产级稳定性设计（如紧急刹车按钮、危险接口过滤、自定义请求速率等）以及Burp生态集成、多线程采集、智能URL拼接、响应码过滤和手动扫描模式等技术优势。使用API剑，用户只需在浏览器中正常点击功能，后台即可自动完成深度资产测绘，极大地提高了Web渗透测试和赏金漏洞挖掘的效率。

    API安全 Burp Suite 自动化测试 渗透测试 漏洞挖掘 资产测绘 Web安全

    0x30 记一次基于Fastjson反序列化内存马应急指导

    轩公子谈技术 2026-03-27T20:17:13 © 阿杰谈技术

    Example Image


    本文详细记录了一次Fastjson反序列化漏洞导致的内存马攻击事件的应急响应过程。文章首先介绍了攻击路径：通过目录扫描定位后台接口，爆破密码登录后台，探测DNSlog实现命令回显，写入内存马并进行检测。作者通过在Nginx日志中增加请求参数、Cookie、XFF等记录变量，提高了日志分析的效率。分析过程包括：发现扫描流量，探测Log4j2漏洞，发现登录接口存在密码爆破行为，攻击者成功登录并探测DNSlog，利用Fastjson漏洞写入内存马，并通过请求头执行命令获取回显。文章还介绍了两种内存马检测方法：一是使用jps和jmap命令导出Java堆转储文件，并导入MAT工具进行分析；二是使用AI编写的一键内存马检测工具进行检测。整个过程强调了日志记录的完整性和分析思路的清晰度对于应急响应效率的重要性，并指出只要记录未被清除，便可通过细致分析还原攻击真相。

    应急响应 日志分析 Fastjson 内存马 攻击链还原 安全检测 漏洞利用

    0x31 比Burp轻便，比HackBar强大！Hx0鹰眼：一款免费的轻量级浏览器抓包与安全分析插件

    Hx0战队 2026-03-27T19:00:48 © asaotomo

    Example Image


    Hx0鹰眼是一款浏览器扩展工具，旨在为网络安全学习者和工程师提供便捷的抓包、拦截、修改、重放、规则检测和AI辅助分析功能。该工具以侧边栏形式提供完整的工作流，无需繁琐的代理设置，与当前浏览器标签页会话一致，实现开箱即用。核心优势包括零环境依赖、绝对会话一致性、开箱即用等。Hx0鹰眼支持接入自有模型API（BYOK），将AI无缝嵌入侧边栏工作流，包括智能用例与Payload生成、单包深度解读、批量归纳与分析、双引擎静态狩猎等。该工具的开发背景是解决前后端分离、SPA等现代Web应用中，工程师在浏览器真实会话与抓包工具之间切换的效率问题。功能上，Hx0鹰眼提供抓包、筛选、详情审计、重放、微型Fuzz、暗链检测/AI报文分析等模块，支持批量操作和国际化界面。版本上分为社区版和专业版，社区版覆盖核心工作流，专业版提供更全面的主动控制、页面内Fuzz、AI分析、批量扫描等功能。与Burp Suite、Yakit等主流工具相比，Hx0鹰眼更轻量、会话一致性强、工作流一体化，适合日常研发联调和授权范围内的安全初筛。

    网络抓包 拦截 重放 流量分析 浏览器扩展 接口调试 安全测试 敏感信息检测 暗链检测 AI 辅助分析 微型 Fuzz 工作流整合 会话一致性 零代理门槛

    0x32 THE CAR HACKER’S HANDBOOK 第三章与第四章解读

    Sec朝阳 2026-03-27T18:53:43 © 朝阳

    Example Image


    本文详细解读了《汽车黑客手册》的第三章和第四章内容。第三章介绍了如何通过SocketCAN系统与汽车进行通信，包括SocketCAN的设置、can-utils包的应用、SocketCAN与Linux网络协议栈的连接，以及如何使用SocketCAN进行车辆通信和攻击实验。第四章则聚焦于诊断与日志记录，解释了DTC（诊断故障码）的概念、故障等级分类、DTC格式，以及如何通过暴力破解诊断模式获取车辆信息。此外，还讨论了自动事故通知系统（ACN）和攻击者在车辆安全方面的攻击视角，包括冻结帧数据的记录和清除，以及如何利用DTC进行漏洞探测。

    车辆安全 网络安全工具 漏洞分析 攻击技术 防御策略 开源项目

    0x33 新的 Windows 错误报告漏洞允许攻击者升级以获得系统访问权限

    安全圈的那点事儿 2026-03-27T18:40:00 © 网络安全9527

    Example Image


    微软近日发现并修复了一个名为CVE-2026-20817的Windows错误报告（WER）服务中的本地权限提升漏洞。该漏洞允许攻击者通过特定客户端请求处理不当的权限不足情况，从而获得完整的系统访问权限。微软采取了激进措施，彻底移除了存在漏洞的功能，而非传统的代码修补。攻击者可以通过构造特定的消息，诱使ElevatedProcessStart函数复制句柄，并使用MapViewOfFile API读取恶意命令行参数，最终以SYSTEM权限启动WerFault.exe应用程序。微软的修复措施包括引入一个测试功能，永久禁用了SvcelevatedLaunch功能。网络安全专家警告称，该漏洞的利用可能涉及恶意代码，因此在下载任何安全工具之前必须进行严格的分析。

    Windows 漏洞 本地权限提升 错误报告服务 代码修补 二进制分析 恶意软件 安全防御

    0x34 思科安全防火墙漏洞可导致攻击者以root权限远程执行代码

    FreeBuf 2026-03-27T18:11:24

    Example Image


    思科近期发布紧急安全公告，指出其安全防火墙管理中心（FMC）软件存在一个编号为CVE-2026-20131的高危漏洞。该漏洞源于不安全的反序列化问题，CVSS评分为10.0分，允许未经身份验证的远程攻击者以root权限执行任意代码。漏洞存在于FMC的基于Web的管理界面中，攻击者通过发送特制的Java对象即可利用此漏洞。此漏洞的发现和利用可能导致攻击者获取核心管理系统的root访问权限，修改安全控制措施，并为后续攻击建立立足点。思科已确认该漏洞在野被利用的尝试，并建议用户限制FMC管理界面的公共互联网访问，同时立即应用官方安全更新。对于本地部署，目前尚无临时缓解措施，管理员应立即升级存在漏洞的系统。

    网络安全漏洞 思科设备安全 远程代码执行 权限提升 安全公告 安全响应 Java安全 CVSS评分

    0x35 新型开源供应链攻击，虚假npm安装日志暗藏RAT木马

    FreeBuf 2026-03-27T18:11:24

    Example Image


    本文详细描述了一起名为"幽灵行动"的新型开源供应链攻击。该攻击自2026年2月初开始，通过npm包注册表针对开发者，利用虚假安装日志掩盖恶意活动。攻击者构建了多个恶意npm包，诱骗开发者提交系统凭证，并在受害者机器上部署远程访问木马（RAT）。攻击流程包括模拟正常安装过程，输出虚假日志信息，并在开发者输入sudo密码后下载恶意载荷。该攻击技术属于新型攻击手段，攻击者通过GitHub仓库传播恶意软件，影响范围广泛。文章还提供了防护建议，如避免在安装过程中输入sudo密码，验证包作者及仓库历史记录，使用自动化安全扫描工具等。

    开源供应链攻击 恶意软件攻击 npm包攻击 钓鱼攻击 隐蔽攻击 加密货币安全 供应链安全 开发者安全意识

    0x36 Claude浏览器扩展漏洞允许通过任意网站实现零点击XSS提示注入

    FreeBuf 2026-03-27T18:11:24

    Example Image


    网络安全研究人员揭露了Anthropic公司Claude谷歌浏览器扩展中的一个严重漏洞，该漏洞允许攻击者通过任意网站实现零点击XSS提示注入。漏洞由扩展程序宽松的源白名单机制和Arkose Labs验证码组件的DOM XSS漏洞共同导致。攻击者可以静默地向Claude扩展注入恶意提示，无需用户交互或权限提示。此漏洞可能被用于窃取敏感数据、获取对话历史记录或冒充用户执行操作。尽管Anthropic和Arkose Labs已经修复了相关漏洞，但这一事件强调了AI浏览器助手功能强大同时也带来了安全风险，其安全性取决于信任边界中最薄弱的环节。

    浏览器安全 XSS攻击 零点击攻击 AI安全 漏洞披露 安全补丁 源代码审计 用户隐私

    0x37 手游逆向全流程复盘：从 IL2CPP Dump 到 TCP 握手协议还原

    看雪学苑 2026-03-27T18:03:21 梧桐生

    Example Image


    本文详细记录了对一款基于 Unity 引擎（IL2CPP 编译）的手游进行逆向分析的过程。首先通过抓包识别出游戏的网络协议特征，确认使用自定义二进制协议且经过加密。接着，由于 APK metadata 头部异常，采用运行时 dump 方案获取了 dump.cs 文件。通过搜索魔数定位到加密工具类 AESUtils，并确认数据包结构。进一步分析发现 IV 是静态固定的，而 Key 则是在握手流程中协商生成的 session key。文章深入分析了握手流程，揭示了使用 RSA-2048 进行密钥交换并生成 session key 的过程。最后，通过 hook Puerts JS 脚本引擎的加载函数，获取了游戏内嵌的 JavaScript 脚本，补全了 protobuf 定义，从而完整还原了游戏协议。整个过程详细记录了分析思路、遇到的问题和解决方案，为网络安全学习者提供了宝贵的实践参考。

    逆向工程 网络协议分析 加密解密 Unity 逆向 运行时分析 脚本引擎分析

    0x38 新型“PXA”窃密木马来袭：专盯银行与加密货币，邮件是主要传播途径

    看雪学苑 2026-03-27T18:03:21 看雪学苑

    Example Image


    近期，网络安全公司CyberProof发现一种名为“PXA”的新型恶意软件在金融行业和加密货币持有者中活跃。这种木马通过伪装成正常文件和邮件附件传播，具有隐身文件夹、键盘记录等特性，能够窃取用户密码、加密货币钱包私钥和金融网站数据。由于之前知名信息窃取软件被捣毁，犯罪分子转而使用“PXA”木马。该木马通过Telegram发送窃取信息，并留下后门确保持续运行。用户需警惕不明邮件附件和可疑连接，避免恶意软件感染。

    恶意软件攻击 信息窃取 钓鱼邮件 键盘记录 加密货币安全 银行安全 网络安全意识 恶意软件传播途径

    0x39 20小时即被武器化！Langflow致命漏洞CVE-2026-33017

    黑客茶话会 2026-03-27T17:48:40 HackerChat

    Example Image


    近期，Langflow开源低代码AI应用编排平台曝出高危远程代码执行漏洞CVE-2026-33017，CVSS评分9.8，具有极高的严重性。该漏洞从公开披露到被武器化利用仅用时20小时，对全球使用Langflow的组织构成严重威胁。漏洞无需认证即可远程利用，攻击者可以执行任意Python代码，完全控制服务器。文章详细介绍了漏洞的技术细节、攻击链路、武器化情况以及紧急处置与修复指南。同时，文章还强调了AI工具安全的重要性，提醒企业应加强AI工具的安全管理，并纳入漏洞管理计划中。

    漏洞披露 AI安全 远程代码执行 开源软件安全 漏洞利用 网络安全事件 漏洞修复 企业安全

    0x3a LiteLLM供应链投毒事件解析：攻击链、应急处置

    松杨网络安全资料库 2026-03-27T17:33:36

    Example Image


    2026年3月24日，开源库LiteLLM在PyPI上的1.82.7和1.82.8版本被发现被恶意投毒，包含用于窃取凭据的恶意代码，这是一次典型的供应链攻击。攻击链包括两个版本的不同触发机制：1.82.7版本在导入代理模块时触发，而1.82.8版本则在Python解释器启动时自动触发。攻击者通过在关键文件中植入混淆的恶意代码，使得攻击难以被发现。事件发生后，官方建议用户立即降级至安全版本、轮换凭证、排查恶意文件。文章详细解析了攻击链的各个环节，包括恶意样本触发机制、完整攻击链路，并提供了应急处置措施和排查步骤。

    供应链攻击 软件包投毒 Python 安全 恶意代码分析 应急响应 安全漏洞 网络安全事件

    0x3b PHP反序列化之字符逃逸

    源鲁安全实验室 2026-03-27T16:30:58 © Siskin

    Example Image


    本文深入探讨了PHP反序列化过程中的字符逃逸漏洞。文章首先介绍了PHP序列化引擎的三个关键解析行为，包括按长度解析、结构完整即停止以及支持动态属性。接着，分析了字符逃逸漏洞的原理，即序列化过程中字符串长度值n与实际内容长度不一致的问题。随后，详细描述了两种利用字符逃逸的方法：替换后字符增多导致字符被挤出当前字段，以及替换后字符减少导致引擎越界读取。文章通过具体的代码示例，展示了如何利用这些漏洞进行攻击，并提供了相应的payload构造方法。最后，文章总结了利用字符逃逸漏洞的基本原理和过程，强调了在序列化和替换操作中保持字符串长度一致的重要性。

    PHP安全 序列化漏洞 字符逃逸 代码审计 漏洞利用 安全防御

    0x3c 记一次渗透赌博棋牌APP

    星阅安全 2026-03-27T16:28:10 © 星阅安全

    Example Image


    本文记录了一次利用SQL注入漏洞获取系统权限的过程。首先，作者通过模拟器安装APP并进行Burp抓包分析，发现了一个SA权限的注入点。由于目标开放1433端口，作者直接使用--dbms=mssql参数加快注入速度。尝试--os-shell未成功，但指定跑stack queries成功获得系统命令执行权限，且未引起权限降级。接着，作者尝试寻找绝对路径并写入webshell，但由于注入点变为延时型导致速度过慢而放弃。随后，作者通过dir/s/b命令搜索特定文件路径，成功获取绝对路径并写入webshell，从而获得系统权限。在尝试获取SA密码失败后，作者意识到直接爆破密码不切实际，转而继续读取配置文件，获取后台和代理后台地址。最后，作者通过数据库查到密码并登录后台，发现网站涉及赌博活动，用户数量超过三万。整个过程展示了从发现漏洞到获取系统权限的详细步骤，以及作者在过程中的思考和调整。

    SQL注入 信息收集 Web安全 权限提升 文件读取 命令执行 恶意软件 密码破解 云服务安全

    0x3d 【钓鱼预警】先偷邮箱密码再盗验证码，两步就掏空你的钱包

    DeepPhish 2026-03-27T15:57:57 © 深海捕鱼

    Example Image


    本文详细分析了一起新型钓鱼攻击案例。攻击者通过伪造钓鱼邮件，诱导用户点击恶意链接，进而窃取邮箱账号密码和手机验证码。攻击过程分为两步：首先，用户被要求输入邮箱账号密码，攻击者窃取这些信息；其次，用户被引导输入手机验证码，攻击者利用这些信息劫持用户邮箱或进行资金盗刷。文章提供了钓鱼邮件的详细分析，包括邮件内容、发件人信息、恶意域名和解析IP等关键信息。同时，文章还总结了钓鱼攻击的特点、防护要点和应对措施，提醒用户警惕此类攻击，保护个人信息安全。

    钓鱼攻击 邮箱安全 验证码滥用 社会工程学 恶意软件分析 网络安全意识 应急响应 反钓鱼技术

    0x3e 孚盟云 upload.ashx image SQL注入漏洞

    Nday Poc 2026-03-27T15:40:44 Superhero

    Example Image


    本文分析了孚盟云 upload.ashx image 接口存在的 SQL 注入漏洞。该漏洞允许攻击者获取数据库中的信息，如管理员密码和用户个人信息，甚至在高权限情况下写入木马，获取服务器系统权限。文章提供了漏洞的概述、复现步骤、自查工具以及修复建议，包括关闭暴露接口、升级至安全版本等。此外，文章还介绍了 Nday Poc 内部圈子，该圈子专注于公开 1day/Nday 漏洞复现和工具链适配支持，并提供了相关资源和更新计划。同时，文章强调了仅限合法授权测试，并声明了虚拟资源服务的购买和退款政策。

    SQL注入漏洞 数据库安全 服务器安全 Web应用安全 安全漏洞复现 安全工具 安全修复建议

    0x3f Stackfield 桌面应用任意文件写入导致远程代码执行漏洞分析 (CVE-2026-28373)

    幻泉之洲 2026-03-27T15:08:00

    Example Image


    本文深入分析了Stackfield协作平台桌面应用中的一个高危漏洞（CVE-2026-28373），该漏洞允许攻击者通过路径遍历将任意文件写入受害者文件系统的任意可写目录，并在特定位置写入恶意脚本，实现远程代码执行。漏洞影响Stackfield在2026年3月3日之前发布的Windows和macOS桌面客户端。攻击者通过构造特殊的文件路径和导出数据包，可以绕过文件查找机制，将恶意文件写入系统关键位置，如Windows启动目录或SSH授权密钥文件。Stackfield团队在收到报告后迅速发布了修复版本，建议用户升级至1.10.2或更高版本以缓解风险。文章还提供了漏洞的技术原理分析、攻击向量设计、影响范围以及PoC说明，并对开发者提出了安全建议。

    远程代码执行 (RCE) 路径遍历漏洞 端到端加密平台漏洞 桌面应用安全 漏洞响应时间 代码审计和安全测试 恶意软件传播 跨平台漏洞

    0x40 THE CAR HACKER’S HANDBOOK 解读第二章

    Sec朝阳 2026-03-27T14:16:03 © 朝阳

    Example Image


    总线协议本章讨论车辆通信中常见的不同总线协议。

    汽车网络安全 嵌入式系统安全 总线协议分析 数据包结构 诊断协议安全 通信协议安全

    0x41 CVE-2026-20817 - Windows错误报告中缺失授权检查的分析 POC

    Ots安全 2026-03-27T13:27:16

    Example Image


    CVE-2026-20817 是一个存在于 Windows 错误报告服务 (WER) 中的本地权限提升漏洞，该漏洞被归类为 CWE-280，即软件在访问函数时未能正确处理权限不足的情况。漏洞源于 WER 服务在处理进程创建请求时缺乏对请求者权限的验证。WER 服务以 NT AUTHORITY\SYSTEM 权限运行，并通过 ALPC 端口监听客户端请求。攻击者可以通过发送特定消息，利用该服务处理进程创建请求时未验证权限的缺陷，创建一个具有 SYSTEM 级别令牌的进程，从而完全控制该进程的命令行参数。攻击者可以利用此漏洞获取 SYSTEM 令牌，该令牌包含 SeDebugPrivilege、SeImpersonatePrivilege 和 SeBackupPrivilege 等高级权限，可能导致凭证窃取和系统完全接管。微软通过功能标志禁用该功能来缓解了该漏洞，但并未添加权限验证逻辑。检测该漏洞可以通过监控 WerFault.exe 或 WerMgr.exe 进程创建事件，并检查进程令牌特征和命令行参数是否符合正常 WER 行为。建议立即安装 Microsoft 安全更新以修复该漏洞，并在补丁不可用时加强端点监控。

    漏洞分析 本地提权 Windows安全 ALPC通信 权限绕过 CVE 恶意软件 安全更新

    0x42 CVE-2026-20079 - Cisco FMC 身份验证绕过远程代码执行分析

    Ots安全 2026-03-27T13:27:16

    Example Image


    CVE-2026-20079是一个CVSS 10.0级的远程代码执行漏洞，存在于Cisco安全防火墙管理中心（FMC）中。该漏洞是由于FMC系统启动进程在数据库中创建了部分会话sfsnort.sessions，如果系统启动后没有用户进行身份验证，则该会话将持续存在，并可能被升级为攻击者可用的权限。攻击者随后可以调用大量CGI脚本。VulnCheck团队开发了一种漏洞利用程序，证明该漏洞可被利用，但需要一些前提条件，例如FMC主机必须已重启，并且会话必须仍然存在于数据库中。文章详细介绍了漏洞利用程序的开发过程，包括遇到的障碍和解决方案。漏洞利用的关键步骤包括使用硬编码的凭据进行身份验证，升级会话，并通过sajaxintf.cgi和pjb.cgi端点进行任意文件写入和反序列化操作，最终实现远程代码执行。文章还讨论了漏洞的根本原因，即启动时创建的系统进程存在缺陷，以及攻击者如何利用身份验证和权限逻辑来执行恶意操作。

    远程代码执行 身份验证绕过 CVE-2026-20079 Cisco 安全防火墙管理中心 Storable 模块 Web 安全 漏洞利用开发

    0x43 CTF培训笔记五——邮件服务器应急

    秦小信 2026-03-27T12:13:39 © 青青青青

    Example Image


    本文记录了一次针对公司邮件服务器的应急响应过程。邮件服务器疑似遭受入侵，员工收到异常邮件，部分邮箱被盗发邮件。应急响应团队通过分析邮件日志、系统认证日志、Web目录和系统配置变更，发现攻击者进行了暴力破解，成功登录了邮箱，并添加了恶意邮件转发目标。此外，攻击者在服务器上植入了Webshell，并监听特定端口。通过分析日志和系统信息，应急响应团队成功还原了攻击过程，并提取了攻击者的相关信息，包括攻击IP、成功破解的邮箱账号、恶意邮件转发目标邮箱、Webshell的完整路径MD5以及后门程序监听的端口号。

    邮件服务器安全 入侵检测 日志分析 应急响应 Webshell 后门程序 暴力破解 恶意邮件转发 CTF实践

    0x44 CentOS命令回显慢排查与解决实战：挂死SMB挂载引发的性能异常

    网络个人修炼 2026-03-27T10:59:49 © ralap

    Example Image


    本文详细描述了一次在CentOS服务器上遇到的命令回显缓慢的问题，并提供了详细的排查和解决过程。文章首先描述了问题现象，即部分命令执行缓慢，而基础命令执行流畅，通过分析这种现象的差异，确定了问题可能与挂载点有关。接着，文章通过time命令测试了命令执行耗时，排除了CPU和内存资源不足的可能性。随后，通过df -a命令查看了所有挂载点，发现了一个异常的网络挂载点，进一步确认了问题根源。通过telnet测试SMB共享连通性，确认了共享服务器已失联。最终，通过强制卸载挂死的SMB挂载，成功解决了命令回显缓慢的问题。文章详细记录了排查的每一步，对于网络安全学习者来说，是一篇非常有价值的实战经验分享。

    系统安全 网络监控 性能优化 故障排除 SMB安全

    0x45 【漏洞复现】Langflow CSV Agent 任意代码执行（CVE-2026-27966）

    玄武盾网络技术实验室 2026-03-27T10:32:48 © xuzhiyang

    Example Image


    本文详细分析了Langflow CSV Agent的严重漏洞CVE-2026-27966。该漏洞导致攻击者无需认证即可在服务器上执行任意系统命令，实现远程代码执行（RCE）。漏洞存在于CSV Agent节点中，由于allow_dangerous_code参数被硬编码为True，LangChain的Python REPL工具被无条件暴露。文章介绍了受影响版本、漏洞原理、环境搭建、漏洞复现步骤，并提供了一种批量探测脚本。同时，文章还提出了修复建议，包括升级到安全版本、临时禁用CSV Agent、网络隔离等。最后，文章强调了随着AI Agent框架的增长，Prompt Injection攻击链的潜在风险，并提醒企业关注内网部署实例的安全问题。

    漏洞分析 代码执行漏洞 AI安全 Prompt Injection RCE（远程代码执行） 安全修复 网络安全法

    0x46 第111天-深入Java安全：揭秘无文件攻击利器——内存马

    AlphaNet 2026-03-27T10:14:11 © Сяо Яо

    Example Image


    本文深入探讨了网络安全领域中的高级攻击技术——内存马。内存马是一种无文件化的Webshell，它将恶意代码注入到Web应用的内存中，从而绕过传统的基于文件的检测机制。文章首先介绍了内存马的概念和它为何如此隐蔽，解释了它如何解决传统Webshell易被检测和查杀的问题。接着，文章详细阐述了Java内存马的植入原理和常见的技术手段，包括利用框架漏洞、反序列化漏洞和服务器端模板注入等。此外，文章还介绍了内存马的常见植入技术和一些实用的工具与项目，最后总结了内存马技术的核心要点，并提出了作为系统管理员如何检测和防范内存马的问题。

    Web安全 无文件攻击 Java安全 内存马 高级持续性威胁APT 恶意代码分析 安全防御

    0x47 TG Bot 低门槛恶意软件的温床：开源复用、AI 拼装与攻击者自我暴露

    SecureNexusLab 2026-03-27T10:10:35 i3eg1nner

    Example Image


    本文分析了当前网络安全领域中低门槛攻击者常用的工具和方法，重点探讨了Telegram Bot作为恶意软件控制和数据外传通道的普及现象。文章指出，许多新出现的恶意软件家族实际上只是对开源窃密木马（Stealer）和远控木马（RAT）的简单重新打包，而人工智能技术的出现进一步降低了恶意软件的生产门槛，使得缺乏开发能力和安全意识的人也能参与攻击。尽管攻击门槛降低，但由于操作失误、环境隔离不当和痕迹清理不彻底，初级攻击者反而更容易暴露自己的身份和攻击行为。文章详细分析了几个活跃的Stealer家族，如Phantom Stealer、Unix Stealer和Blank Grabber，揭示了它们的技术特点和操作习惯。此外，文章还讨论了一些新的RAT样本，如NettyRat和EduStealer，以及一些操作者因自身安全意识不足而暴露了自己的案例。最后，文章总结认为，虽然低端恶意软件生态更加活跃，但其固有的特点使得这些样本更容易被观察、归类和拆穿，为防守者提供了机会。

    Telegram_Bot Stealer RAT 开源恶意软件 低门槛攻击 恶意软件开发 攻击者暴露 OPSEC 数据外传 AI 与恶意软件

    0x48 别再瞎扫端口了！3秒被WAF封IP？这才是红队真正的信息收集 | 资产测绘 | 渗透测试 | 打点 | APT

    异空间安全 2026-03-27T08:02:32 © 异空间安全

    Example Image


    本文是一篇关于红队信息收集的全面攻略，强调了信息收集在渗透测试中的重要性，占比可达70%。文章首先介绍了信息收集的基本概念和分类，包括被动收集和主动收集，并提出了先被动后主动的原则。接着，详细阐述了资产测绘的方法，包括域名与子域名挖掘、IP与网段侦察、虚拟主机爆破、指纹识别与漏洞预判等。此外，文章还探讨了人员测绘和敏感信息泄露排查的重要性。对于新手，文章推荐了常用的信息收集工具，并提供了完整的实战流程。最后，文章从多个维度深入分析了信息收集的方法，包括外网信息收集、大厂红队内部的非公开实战收集流派、如何无声收集以避免触发WAF等。文章强调了信息收集不仅是找漏洞，更是找资产的关联性和管理的疏漏，并提醒读者遵守法律红线，获取合法授权进行渗透测试。

    信息收集 渗透测试 红队 资产测绘 人员测绘 敏感信息 工具使用 被动收集 主动收集 法律合规

    0x49 Apifox 供应链攻击应急响应工具

    夜组安全 2026-03-27T08:01:31 myxiaoao

    Example Image


    本文介绍了Apifox供应链攻击事件及其应急响应工具。2026年3月25日，Apifox官方确认其公网SaaS版桌面客户端遭受供应链攻击，攻击者篡改了客户端动态加载的外部JavaScript文件。受影响的时间窗口为2026年3月4日至3月22日，仅公网SaaS版桌面客户端受到影响。攻击者使用的恶意域名已下线。可能泄露的数据包括SSH密钥、Shell历史记录、Git凭证等。Apifox提供了应急响应工具，该工具可以自动扫描系统状态，引导用户完成凭证轮换，包括SSH密钥轮换、清理Shell历史记录、轮换GitHub Token、备份K8s凭证、登出Docker Registry等。工具支持macOS和Linux平台，并提供了一系列命令行参数。文章还提醒用户在操作前创建备份，并建议使用--dry-run预览操作。

    供应链攻击 恶意软件 数据泄露 应急响应 漏洞利用 安全工具 操作系统安全 云安全 代码安全

    0x4a 一张图片 = 拿下网站？文件上传漏洞深度解析

    HZ安全实验室 2026-03-27T08:00:32 © hzsec

    Example Image


    本文深入解析了文件上传漏洞这一网络安全中的隐形威胁。文章首先通过实例说明了文件上传漏洞的严重性，如2025年某电商平台因头像上传漏洞导致用户信息泄露事件，以及Apache Commons FileUpload组件漏洞的广泛影响。接着，文章详细分析了攻击手法，包括扩展名绕过、MIME类型绕过、图片马构造、Webshell上传等。文章还提出了核心防御方案，如文件类型白名单、文件内容检查、重命名策略和权限控制。此外，文章列举了常见误区，如仅检查文件扩展名或MIME类型无法确保安全，以及文件上传漏洞可能导致的严重后果。最后，文章提供了实战代码示例和工具推荐，以帮助网络安全学习者更好地理解和防御文件上传漏洞。

    文件上传漏洞 Webshell 安全漏洞 RCE（远程代码执行） OWASP Top 10 安全防御 安全测试 数据泄露 安全意识

    0x4b 漏洞预警 | LEAN MES系统SQL注入漏洞

    浅安安全 2026-03-27T07:50:32 浅安

    Example Image


    本文报道了一款由深圳市深科特信息技术有限公司开发的LEAN MES系统存在的高危SQL注入漏洞。该漏洞存在于/Handler/SMTLoadingMaterial.ashx接口，攻击者可以通过构造恶意的SQL语句，获取数据库中的敏感信息或对数据库进行未授权操作。目前，官方已经发布了漏洞修复版本，建议用户升级到安全版本以避免潜在的安全风险。该漏洞编号暂无，影响版本为LEAN MES系统，漏洞详情和修复建议已公开，用户可以通过访问指定链接获取更多信息。

    SQL注入 系统漏洞 高危漏洞 数据库安全 工业控制系统安全 漏洞修复

    0x4c 漏洞预警 | Langflow远程代码执行漏洞

    浅安安全 2026-03-27T07:50:32 浅安

    Example Image


    本文预警Langflow远程代码执行漏洞（CVE-2026-33017），这是一个高危漏洞。Langflow是一款AI驱动的代理和工作流构建工具，该漏洞存在于/api/v1/build_public_tmp/{flow_id}/flow端点，攻击者无需认证即可通过构造特定的data参数执行任意Python代码，导致远程代码执行。此漏洞影响Langflow版本<=1.8.10。官方已发布修复版本，建议用户升级以避免安全风险。

    远程代码执行 高危漏洞 软件漏洞 无认证漏洞 AI工具安全 漏洞修复

    0x4d [技术深浅] Linux提权完全指南

    极客零零七 2026-03-26T22:36:45 © 丘驰

    Example Image


    本文深入探讨了Linux系统的提权技术，旨在帮助网络安全学习者了解和掌握这一领域。文章首先声明内容仅用于授权渗透测试和安全研究学习，并强调所有示例均基于合法靶机平台。文章从拿到shell后的枚举步骤开始，详细介绍了提权前的准备工作，包括系统信息枚举、敏感文件扫描等。接着，文章详细梳理了Linux提权的八条主要路径：sudo配置错误、SUID滥用、Cron计划任务、内核漏洞、密码/凭据泄露、文件权限错误、NFS配置问题、容器逃逸。每一条路径都包含了原理解释、检测命令和实战案例。文章还提供了提权决策流程图，以及Shell升级的方法。最后，文章针对蓝队防御提出了建议，包括最小化sudo权限、严格控制cron脚本文件权限、及时更新内核等。文章内容丰富，案例详实，对于网络安全爱好者来说是一份非常有价值的参考资料。

    Linux Security Privilege Escalation Security Research Penetration Testing Security Tips Sudoers Configuration SUID/SGID Cron Jobs Kernel Vulnerabilities Password and Credential Breach File Permission Flaws NFS Misconfiguration Container Escape

    0x4e 想监控内网传输的文件？用Suricata这个功能就够了

    sec0nd安全 2026-03-26T22:02:58 网络安全菜鸟

    Example Image


    本文详细介绍了如何使用Suricata工具来监控内网传输的文件。文章首先介绍了Suricata的文件提取功能，并解释了如何在suricata.yaml配置文件中启用该功能。接着，提供了创建文件提取路径、配置文件存储目录、设置文件存储参数等步骤。文章还包含了一个示例规则，用于提取HTTP、SMTP、FTP、NFS和SMB协议的文件。此外，通过tcpdump抓取数据包并使用Suricata进行测试，展示了如何查看文件名称和SHA256校验和。最后，说明了文件存储的目录结构和文件下载方法。全文提供了详细的命令行操作步骤和解释，适合网络安全学习者参考。

    网络安全监控 入侵检测系统 文件传输分析 规则配置 日志分析 文件存储 系统命令 实践指南

    0x4f Upload Labs 第12关：利用 %00 截断修改保存路径实现上传绕过。

    sec0nd安全 2026-03-26T22:02:58 武文学网安

    Example Image


    本文详细分析了Upload Labs第12关的文件上传绕过问题。该关卡的核心在于利用%00截断修改保存路径来实现文件上传绕过。文章首先介绍了%00截断的概念和特性，包括其在不同层级的表示方式和关键特性。接着，文章深入分析了%00截断的三个关键阶段：HTTP/URL解析层、PHP处理层和底层C函数处理层，解释了为什么会产生漏洞的原因。文章接着分析了第12关的源码关键点，指出了关键漏洞点在于保存路径由用户可控的GET参数控制。然后，文章提供了攻击思路和实战操作步骤，包括准备一句话木马、修改保存路径、上传文件等。最后，文章讨论了为什么这种方式能成功，并总结了该关卡的核心在于理解输入数据在不同处理层之间存在解析差异时可能产生的安全漏洞，以及环境差异对漏洞可利用性的影响。

    文件上传漏洞 路径截断攻击 PHP安全漏洞 Web应用安全 渗透测试技术 编码解析差异 环境配置影响

    0x50 小白也能学会的红队基础：隐匿、工具、流量、善后全攻略

    sec0nd安全 2026-03-26T22:02:58 异空间安全

    Example Image


    本文详细介绍了红队攻击的基础知识和实战技巧。文章首先强调了红队攻防的底层原理，包括计算机体系结构、网络协议、操作系统原理的极致运用。接着，文章深入探讨了环境隔离的重要性，包括攻击环境的原子级隔离、攻击面的收敛与身份熵增等。此外，文章还详细介绍了流量混淆、C2隐匿、跳板机/VPS安全、反蜜罐与浏览器指纹防护等方面的技术。文章强调了工具的选择和使用，包括Cobalt Strike、Nmap、Fscan等红队核心武器。同时，文章还介绍了链路隐匿、战术进化、善后清理和免杀弹药等高级技巧。最后，文章提供了一个战备工具箱清单，包括基础设施与环境搭建工具、Red Team 实战核心兵器、侦察与资产测绘工具等，为红队学习和实践提供了全面的指导。

    红队攻击 网络安全攻防 渗透测试 隐匿技术 免杀技术 域渗透 网络流量分析 逆向工程 操作系统安全 安全工具

    0x51 【漏洞通告】NVIDIA SNAP-4 Container存在缓冲区溢出漏洞(CVE-2025-33216)

    安迈信科应急响应中心 2026-03-26T21:39:33 © 安迈信科

    Example Image


    NVIDIA SNAP-4 Container 存在缓冲区溢出漏洞（CVE-2025-33216），该漏洞可能被虚拟机上的攻击者利用，通过发送精心构造的配置导致缓冲区大小计算错误，从而引发SNAP服务崩溃，造成存储服务对主机的拒绝服务。该漏洞评级为中等，影响SNAP-4 Container的所有版本 prior to SNAP-4.9.0 和 prior to SNAP-4.5.5。NVIDIA已发布修复版本，建议用户立即升级至SNAP-4.9.0 / SNAP-4.9.1 或 SNAP-4.5.5（或更高版本）。同时，应加强虚拟机隔离，限制对SNAP-4配置接口的访问权限，并监控SNAP服务状态和存储可用性指标。漏洞于2026年3月24日被公开，多家平台已更新相关信息。

    缓冲区溢出 虚拟机安全 存储服务安全 NVIDIA产品安全 CVE编号 安全通告 安全补丁 漏洞利用 网络安全事件

    0x52 【漏洞通告】NVIDIA SNAP-4 Container存在拒绝服务漏洞(CVE-2025-33215)

    安迈信科应急响应中心 2026-03-26T21:39:33 © 安迈信科

    Example Image


    本文报道了NVIDIA SNAP-4 Container中的一个拒绝服务漏洞（CVE-2025-33215），该漏洞存在于VIRTIO-BLK组件中，可能导致恶意客户虚拟机通过发送特制消息触发使用超出范围的指针偏移，进而引发拒绝服务攻击，影响其他虚拟机的存储可用性。漏洞的严重性评级为中等，目前尚未公开PoC（漏洞利用代码）。NVIDIA已发布修复版本，建议用户立即升级到SNAP-4.9.1或SNAP-4.5.5（或更高版本）以修复漏洞。同时，文章还提供了漏洞排查和修复方案的建议，包括检查版本、审查日志、模拟攻击检测和性能监控等步骤。此外，文章还提到了漏洞的发布时间、影响范围、修复补丁的可用性以及安全公告的发布时间线等信息。

    CVE-2025-33215 NVIDIA SNAP-4 Container 拒绝服务漏洞 虚拟化安全 安全更新 漏洞评估 网络安全

    0x53 【漏洞通告】sbt存在命令注入漏洞(CVE-2026-32948)

    安迈信科应急响应中心 2026-03-26T21:39:33 © 安迈信科

    Example Image


    本文报道了sbt构建工具存在的一个高危命令注入漏洞（CVE-2026-32948）。sbt在Windows系统上运行时，由于未正确验证用户输入，可能导致通过构建定义传递的URI片段被用于执行任意命令。该漏洞影响从0.9.5到1.12.7之前的版本。Ubiquiti的UniFi Network Server软件版本10.1.85及更早版本也受到此漏洞影响。文章提供了漏洞处置方案，包括升级到修复版本、加强用户安全意识、限制服务器暴露范围和监控异常活动。此外，文章还提供了漏洞的详细时间线，包括CVE分配、公开以及安全公告的发布日期。

    命令注入漏洞 CVE编号 软件漏洞 构建工具 漏洞披露 漏洞利用 安全补丁 漏洞修复 漏洞排查 网络管理

    0x54 【漏洞通告】Ubiquiti UniFi Network Server存在输入验证错误漏洞(CVE-2026-22559)

    安迈信科应急响应中心 2026-03-26T21:39:33 © 安迈信科

    Example Image


    Ubiquiti UniFi Network Server被发现存在一个输入验证错误漏洞（CVE-2026-22559），该漏洞可能导致账户所有者通过社会工程学手段被诱导点击恶意链接，从而实现未经授权的账户访问。受影响的产品包括UniFi Network Server的10.1.85及更早版本。Ubiquiti已发布修复版本10.1.89或更高版本，建议用户立即升级以缓解风险。同时，建议加强用户安全意识培训，限制服务器暴露范围，并监控异常登录和链接相关流量。漏洞于2026年3月24日被公开，目前已有详细分析发布，且漏洞扫描工具如Tenable和Nessus可用来检测该漏洞。

    漏洞披露 网络安全漏洞 漏洞影响范围 安全补丁 安全建议 社会工程学 版本更新 安全意识 漏洞利用

    0x55 【漏洞通告】HCL Traveler存在信息泄露漏洞（CVE-2026-21783）

    安迈信科应急响应中心 2026-03-26T21:39:33 © 安迈信科

    Example Image


    HCL Traveler应用程序存在一个信息泄露漏洞（CVE-2026-21783），可能导致敏感信息泄露。该漏洞允许攻击者通过错误消息获取系统内部路径、文件名、敏感令牌、凭据、错误代码或堆栈跟踪等信息，从而洞察系统架构并可能发起针对性攻击。受影响的版本为HCL Traveler 14.5.1.0之前的所有版本。HCL已经发布了修复版本，建议用户立即升级到14.5.1.0或更高版本。同时，建议在生产环境中关闭详细错误输出，替换错误消息为通用提示，并加强访问控制。此漏洞于2026年3月24日被公开，并已有多个安全平台更新了相关信息。

    信息泄露漏洞 CVE编号 漏洞评估 产品漏洞 版本影响 漏洞修复 漏洞排查 网络安全 安全公告 时间线

    0x56 这个开源工具能自动检查安全漏洞

    船山信安 2026-03-26T21:30:23 Wtttthi

    Example Image


    文章介绍了一个名为ADPulse的开源工具，该工具旨在帮助网络安全人员自动检查Active Directory（AD）中的安全漏洞。ADPulse通过LDAP连接到域控制器，能够识别35类常见的AD配置问题和安全风险，包括密码策略漏洞、特权账户、Kerberos攻击面、委派配置问题、ADCS证书服务漏洞、域信任关系、ACL权限滥用等。该工具使用Python编写，安装简单，可以通过命令行运行，支持控制台输出、JSON和HTML格式的报告。文章还提供了使用ADPulse进行扫描的示例命令，并强调了在测试环境中使用该工具的重要性，以及如何与BloodHound等其他工具配合使用以提高安全性。最后，文章提醒用户在使用ADPulse时应在授权范围内操作，避免非法扫描他人域控。

    网络安全工具 AD安全审计 漏洞扫描 开源软件 Python开发 渗透测试 Active Directory 域控制器安全

    0x57 CSS 也能拿 Shell？解析Chrome在野 0-day 漏洞 CVE-2026-2441

    moonbeautSec 2026-03-26T21:17:47 © Moonbeaut

    Example Image


    CVE-2026-2441是一个影响Google Chrome浏览器的在野0-day漏洞，该漏洞利用了CSS和Chrome渲染引擎（Blink）的底层C++代码中的内存破坏漏洞。攻击者通过精心构造的HTML/CSS页面，可以实现在Chrome的沙箱内执行远程代码执行（RCE）。该漏洞属于Use-After-Free（UAF）类型，利用了CSSFontFeatureValuesMap模块中迭代器失效的Bug。攻击分为三个阶段：触发UAF、堆布局与内存占位、劫持执行流。尽管Chrome有沙箱保护，但攻击者可以利用此漏洞作为初始突破口，结合其他漏洞进行进一步攻击。Google已发布修补版本，建议用户更新浏览器以避免风险。

    Web安全 浏览器漏洞 内存破坏漏洞 远程代码执行 0-day漏洞 安全漏洞分析 内存管理 安全防护

    0x58 【0day】深科特 LEAN MES系统 DownLoad.aspx 任意文件读取漏洞

    0day收割机 2026-03-26T21:17:08

    Example Image


    本文介绍了深圳市深科特信息技术有限公司开发的LEAN MES系统中的一个严重漏洞。该系统用于生产调度、产品跟踪和质量控制等车间管理功能。具体来说，系统中的/ESOP/DownLoad.aspx页面存在任意文件读取漏洞，攻击者可以利用路径遍历技术，通过构造特定的恶意请求来读取服务器上的任意文件。这个漏洞可能会泄露系统数据访问权限，导致敏感信息泄露，并为攻击者提供进一步的攻击机会。影响范围包括所有使用该系统的版本。文章中还提供了漏洞的复现过程和示例，提醒用户注意该漏洞可能带来的风险，并建议进行安全研究和学习时谨慎使用相关信息。

    漏洞披露 文件读取漏洞 路径遍历 工业控制系统安全 信息泄露风险 漏洞复现 安全研究 安全学习资源

    0x59 [漏洞复现]微力同步-Verysync任意文件读取漏洞(VEID-2026-11111)

    H4ll0 H4ck3r 2026-03-26T21:11:07 老谢

    Example Image


    本文详细介绍了微力同步-Verysync任意文件读取漏洞（VEID-2026-11111）。该漏洞允许攻击者进行任意文件读取，从而可能获取敏感信息。文章中声明了责任归属，并提醒读者在使用相关信息时自行承担风险。漏洞影响版本为微力同步-Verysync v2.21.3。文章提供了漏洞的复现步骤，包括使用Veil POC进行攻击，并通过HTTP请求读取特定文件。复现过程中，攻击者可以获取到目标服务器的/etc/passwd文件内容，其中包含了用户账户信息。文章还提供了漏洞的严重性、影响范围和验证方法等信息，为网络安全学习者提供了重要的参考价值。

    漏洞复现 文件读取漏洞 敏感信息泄露 微力同步-Verysync 版本相关 Web应用安全 信息收集 漏洞利用

    0x5a C23-X05 魅影潜伏与仿冒陷阱：银狐组织借OpenClaw安装包实施攻击活动深度分析

    启明星辰集团 2026-03-26T20:50:31

    Example Image


    本文详细分析了一个由黑产团伙“银狐”发起的针对开源AI代理框架OpenClaw（“龙虾”）的钓鱼攻击活动。攻击者通过生成高仿钓鱼页面、注册仿冒域名，并利用SEO和付费广告将恶意链接置顶，诱导用户下载伪装成“OpenClaw本地部署工具”的恶意安装包。用户执行恶意安装包后，会在释放合法软件的同时，暗中执行恶意程序，最终释放并执行远控木马，实现对用户计算机的控制，并进行信息窃取、内网渗透、横向移动等恶意操作。攻击者通过针对安装链路的投毒，达成了对目标主机几乎“零门槛”的远程接管。启明星辰威胁情报中心（VenusEye）追踪到多个仿冒OpenClaw的站点，并根据样本特征和Ioc关联，将这些攻击活动归因于银狐组织。文章以一个典型样本为例，详细分析了恶意安装包的解压过程、恶意DLL模块的执行流程、以及最终远程控制程序的功能。该攻击手法涉及多层次的解密、解压缩和进程注入技术，最终实现远程控制功能。文章最后提出了防范建议，包括通过官方渠道获取软件、确认数字签名、安装杀毒软件、部署网关/防火墙和EDR产品等。

    钓鱼攻击 恶意软件 恶意软件传播 伪装技术 攻击链路分析 社会工程学 解密与加壳 进程注入 远程控制木马 IoC收集 开源软件安全

    0x5b 【权限维持BOF】：JHeart 一键扫描上线主机“白加黑”维权点

    低级可持续性没威胁 2026-03-26T20:28:52 © m1cr0f

    Example Image


    本文介绍了JHeart工具的开发背景、实现逻辑和使用方法。JHeart是一款用于扫描目标机器启动项程序所在目录的扫描工具，旨在寻找可以“白加黑”利用的启动项程序。这种技术旨在实现权限维持，通过在程序启动时劫持其依赖的DLL文件来隐藏恶意行为。文章详细解释了JHeart的实现逻辑，包括扫描启动项程序、检查其状态和目录权限，以及确保白程序有签名。此外，文章还提供了JHeart的使用方法，包括如何将其添加到CS框架中使用，以及项目的下载地址。文章还鸣谢了毛裤红队、ZeroEye和gemini等项目，这些项目对JHeart的开发起到了重要的支持作用。

    权限维持 漏洞利用 DLL劫持 白名单技术 应急响应 自动化工具 实战攻防

    0x5c 项目推荐 | 专注于PHP代码审计的Skill

    进击的HACK 2026-03-26T19:20:24

    Example Image


    PHP-Code-Audit-Skill 是一款针对 PHP Web 应用的白盒代码安全审计工具，旨在提供全面的代码审计支持。该工具覆盖了从路由枚举到鉴权建模、数据流追踪、分类漏洞审计、证据一致性校验以及报告汇总的全流程。它能够提取所有路由和请求参数结构，生成测试请求模板，并提供从处理器到最终数据存储的数据流链、分支执行证据和可控性矩阵。该工具包含多种审计模块，针对 SQL 注入、NoSQL 注入、命令注入、SSRF、XSS、文件上传、任意文件读写、归档解压路径穿越、XXE、反序列化、模板注入、LDAP 注入、表达式注入、认证绕过、CSRF、开放重定向、CRLF、会话与 Cookie 安全、安全配置、加密与密钥安全、业务逻辑漏洞以及安全日志与监控等安全漏洞进行审计。此外，它还提供了文件系统操作审计、漏洞利用链叙事、供应链与框架检测等功能，支持 Laravel、Symfony、Yii、ThinkPHP、WordPress、CodeIgniter 等流行框架的配置与用法风险映射。

    PHP代码审计 白盒测试 安全漏洞检测 代码安全 安全开发工具 软件供应链安全 安全配置审计

    0x5d 【安全圈】热门 Python 库 LiteLLM 遭供应链攻击，后门窃取凭证和认证令牌

    安全圈 2026-03-26T19:01:18

    Example Image


    近期，Python库LiteLLM遭到TeamPCP黑客组织的供应链攻击。LiteLLM是一款流行的开源Python库，用于连接多个大语言模型（LLM）提供商。攻击者入侵了LiteLLM项目，并在PyPI上发布了恶意版本，窃取了数十万台设备的敏感数据。据Endor Labs研究，恶意代码在导入包时执行，并部署了TeamPCP Cloud Stealer变种和持久化脚本。该攻击涉及的凭证和认证密钥包括SSH密钥、云服务凭证、Kubernetes密钥、数据库凭证、TLS私钥等。攻击者还通过伪装的脚本定期连接远程服务器下载额外载荷。建议受影响的用户立即更换所有凭证以防止进一步攻击。

    供应链攻击 Python库安全 数据泄露 恶意软件 黑客组织 Kubernetes安全 云安全 加密货币安全 持续监控

    0x5e 红队工具 - MDUT-Extend 植入高级间谍木马（RAT）全链路分析

    Khan安全团队 2026-03-26T18:55:56

    Example Image


    本文详细分析了名为MDUT-Extend的高级间谍木马（RAT）的全链路工作原理。该木马利用多级跳板和云服务掩护技术，通过诱饵阶段诱导用户下载并运行，加载阶段静默安装依赖，利用Mapbox API作为指令中转站下载加密载荷。执行阶段在内存中执行，不产生本地文件，并通过注册表和隐藏目录实现持久化。收割阶段自动窃取敏感信息。分析显示，该木马具有强大的恶意功能，包括针对浏览器的窃密插件、脱库攻击、绕过加密、Session劫持等。此外，木马还具备系统画像与历史痕迹搜集、全盘文件外泄等功能，使用AES-256-CBC加密数据，并通过64MB分块上传至C2服务器。攻击者技术特征明显，包括使用合法API、无文件化运行、跨平台支持等。

    恶意软件分析 后门技术 间谍软件 浏览器攻击 系统渗透 云服务滥用 内存执行 跨平台攻击 数据泄露

    0x5f MDUT-Extend 黑吃灰投毒事件深度溯源分析报告

    APT-101 2026-03-26T18:00:42 © APT-101

    Example Image


    MDUT-Extend-Release项目在GitHub上发布的MDUT自动化数据库漏洞利用工具的二进制分发包中植入了后门，用于精准狩猎渗透测试人员。该攻击利用Python运行环境特性，通过.pth机制实现隐蔽启动。攻击链分为三个阶段：第一阶段，通过.pth文件中的Python代码注入环境变量并重新启动自身；第二阶段，利用https.py模块与Mapbox API进行C2通信，实现无文件执行；第三阶段，通过pozos.py模块执行远控木马，窃取数据库凭据、开发凭证、终端审计信息等敏感数据。该攻击利用合法的云服务作为C2信道，实现高度隐蔽的通信绕过。攻击者将恶意代码藏在Mapbox的数据集属性字段中，利用access_token进行鉴权访问，大部分企业级防火墙和EDR会将其标记为合法通信。该攻击还使用了混合加密体系，内置RSA公钥，生成随机AES密钥加密窃取的资产，再用RSA公钥加密该AES密钥，通过分片上传方式发送至硬编码的服务器。防御建议包括环境审计、强制会话失效、密钥轮换、规范化操作等。

    漏洞利用工具 后门植入 无文件攻击 Python代码注入 命令与控制（C2）通信 数据窃取 隐蔽性攻击 社会工程学

    0x60 从任意文件读取漏洞到getshell

    陌笙不太懂安全 2026-03-26T17:23:24 © 陌笙

    Example Image


    文章描述了一个网络安全学习者在测试一个国外网站时发现并利用多个漏洞的过程。首先，尝试弱口令失败，但发现图形验证码复用，考虑爆破。接着，发现用户名枚举漏洞，通过接口测试发现信息泄露接口，并尝试任意用户读取接口。成功爆破弱口令进入后台后，发现云存储泄露和测试链接XSS功能。在应用管理中，发现可上传多种类型文件，成功上传JSP文件实现getshell。进一步利用任意文件读取漏洞，成功读取并使用SSH私钥，获得root权限，并确认在容器环境中。文章最后提到了一个安全交流群，提供CISP、NISP等证书报考信息和漏洞挖掘指导，以及丰富的网络安全学习资源。

    信息收集 弱口令漏洞 任意文件读取 任意文件删除 SQL注入 逻辑漏洞 命令执行 SSRF (Server-Side Request Forgery) XSS (跨站脚本) 未授权访问 配置错误 容器环境检测 后渗透/权限维持

    0x61 实战|记一次勒索病毒应急响应

    瓜神网络安全&分享 2026-03-26T16:35:39 © 瓜神

    Example Image


    本文详细介绍了.rox勒索病毒的攻击特征、行为以及应急响应过程。.rox勒索病毒属于极高危威胁，主要由Phobos和Weaxor（Mallox变种）两大家族使用，以AES-256+RSA-4096/ECC混合加密、删除备份、内网横向扩散为核心手段。病毒感染后，文件后缀变为.rox，并通常伴随勒索信，数据恢复难度极大。Phobos家族以暴力型攻击为主，通过RDP弱口令爆破、漏洞利用等入侵方式，加密极快且不留恢复机会；Weaxor家族则更智能，通过SQL注入、SMB横向等手段，进行双重勒索并允许小文件测试解密。典型攻击流程包括单点突破（如SQL注入/RDP弱口令）、权限提升、内网横向扩散、清除备份和批量加密。应急响应过程中，应立即断网隔离中毒服务器，收集并分析日志进行溯源，发现攻击者通过SQL注入漏洞控权、植入后门并横向渗透加密数据库。Web与数据库分离部署为应急处置争取了窗口，但最终仍属于已控盘型极高危入侵。

    勒索软件 恶意软件 攻击手法 攻击流程 应急响应 安全日志分析 数据加密 内网渗透 漏洞利用 安全意识

    0x62 CVE-2026-28466：OpenClaw节点调用批准绕过的RCE精解

    蚁景网安 2026-03-26T16:30:45 Tu0ling

    Example Image


    OpenClaw 版本在网关中存在一个严重漏洞，允许经过认证的客户端绕过执行审核，在连接的节点主机上执行任意命令。攻击者需要拥有有效网关凭证，通过注入批准控制字段，利用 node.invoke 参数中的内部批准字段未能净化的问题，实现对 system.run 命令的未授权执行。漏洞利用的前提是攻击者已经获取了认证网关客户端的用户。漏洞复现步骤包括设置环境变量、启动网关和节点，并使用特定的 WebSocket 请求触发漏洞。后端处理流程中，身份验证通过后，参数未经充分检查直接传递给节点注册表，导致命令执行。漏洞修复方案包括新增参数清洗函数，限制白名单字段，确保审批ID与请求设备绑定，以及将审批决策强制降级为 allow-once，以防止任意字段注入。该漏洞已被公开披露，并提供了相应的修复补丁和参考链接。

    漏洞分析 命令注入 绕过机制 远程代码执行 (RCE) 权限提升 Websocket 身份认证 输入验证 安全配置

    0x63 CS流量隐匿-域前置配置(保姆级)

    Tentensec 2026-03-26T15:50:41 © Jack10y

    Example Image


    本文详细介绍了在红队攻防中如何使用域前置技术隐匿CS服务器的地址以防止溯源。首先，需要在Porkbun和Cloudflare上注册并配置域名，将Cloudflare作为DNS服务商并开启开发者模式以缓存内容。接着，导出Cloudflare证书并生成PEM和KEY文件，然后将证书导入到CS服务器的根目录并转换为.p12格式。在Cloudflare中创建规则以缓存根域名的内容。接下来，修改CS服务器的配置文件，设置证书和密码，修改content-type和Host字段。最后，启动CS服务端和客户端，新建监听并填写域名，选择合适的端口。通过以上步骤，可以成功上线隐匿木马，达到防溯源的目的。整个过程详细且适合新手，但可能对有经验的大佬来说略显繁琐。

    域前置 DNS配置 Cloudflare配置 SSL证书 CS服务器配置 防溯源 木马上线 网络安全技术 红队攻防 隐匿技术

    0x64 从存储型 XSS 到 Cookie Tossing，再到信用卡盗取

    安全狗的自我修养 2026-03-26T15:32:47 hai dragon

    Example Image


    本文详细描述了一个复杂的客户端漏洞链，该漏洞链涉及从存储型XSS攻击到Cookie Tossing，最终导致信用卡信息被盗取。文章首先介绍了平台运行机制，指出不同用户实例的SVG文件托管在同一个子域，这为攻击者提供了可利用的机会。攻击者通过上传恶意SVG文件，利用存储型XSS漏洞触发攻击，但由于跨子域限制，无法直接访问敏感数据。通过Cookie Tossing技术，攻击者成功影响了admin域的session，进而注入攻击者Cookie，并限制了Cookie的作用路径。最终，攻击者引导管理员访问billing页面，在管理员输入信用卡信息时，这些信息被窃取。文章详细分析了攻击流程，包括恶意SVG上传、Cookie池制造、攻击者Cookie注入、诱导链接展示等步骤。尽管报告被标记为信息级且被拒绝披露，但文章提供了丰富的技术细节和攻击链分析，对于网络安全学习者具有重要的参考价值。

    XSS攻击 跨站脚本攻击 Cookie劫持 会话劫持 SaaS平台安全 客户端漏洞 恶意软件开发 安全漏洞披露 网络安全意识

    0x65 漏洞预警 | Apifox 桌面客户端官方 CDN 脚本遭供应链投毒事件

    银河哈希 2026-03-26T15:07:32 © Josh

    Example Image


    Apifox投毒事件是一次针对Electron应用供应链的攻击，攻击者通过篡改官方CDN上的埋点脚本apifox-app-event-tracking.min.js，注入恶意代码，利用客户端漏洞在用户无感知的情况下窃取本地敏感凭证。攻击从2026年3月4日开始，持续至3月22日，影响了大量使用公网SaaS版Apifox桌面客户端的用户。恶意脚本具备动态拉取后续载荷的能力，可实现文件遍历、信息窃取甚至远程代码执行。受影响用户为SaaS版桌面客户端用户，SaaS Web版和私有化部署版用户不受影响。安全社区2Libra平台在3月25日率先发布漏洞预警，Apifox官方随后确认事件并发布公告，建议用户升级客户端并重置敏感凭证。此次事件暴露了供应链安全的重要性，以及及时更新和监控安全措施对于防范此类攻击的必要性。

    供应链攻击 恶意软件 凭证窃取 Electron应用攻击 CDN投毒 数据泄露 客户端攻击 后门程序

    0x66 丈八网安技术研究：OpenClaw远程代码执行漏洞深度复现

    丈八网安 2026-03-26T14:03:02

    Example Image


    本文详细分析了OpenClaw开源AI Agent框架中存在的一个高危远程代码执行漏洞（CVE-2026-28466）。该漏洞由于网关在转发指令时未对参数进行过滤，导致攻击者可以绕过节点审批机制，执行任意系统命令。文章通过丈八网络靶场平台构建仿真环境，复现了该漏洞的触发原理和危害机理。漏洞分为网关层、节点注册层和节点层三个层级，每个层级的缺陷最终导致了安全防线崩溃。文章还提供了漏洞复现的步骤和危害分析，并给出了企业防御和安全性建议，包括网络与访问权限收敛、系统部署与隔离、Skill供应链与凭证安全、日志审计与监控、Node节点安全配置以及安全监控与封控等策略。

    远程代码执行漏洞 AI Agent框架安全 输入验证失效 网络安全靶场 漏洞复现与分析 企业网络安全防御 日志审计与监控 安全配置与管理

    0x67 亲测可用！反弹shell的10种方式

    智榜样网络安全学习中心 2026-03-26T14:00:42 © 小智

    Example Image


    本文详细介绍了反弹 Shell 的基础知识、原理和多种实现方法。反弹 Shell 是一种攻击技术，允许攻击者通过建立反向连接来获取目标系统的交互式命令执行权限。文章首先阐述了反弹 Shell 的核心优势，包括突破内网限制、绕过防火墙策略、规避 IP 动态变化和降低检测概率。接着，文章列出了执行反弹 Shell 前的必备准备工作，包括攻击机环境配置、开启监听端口以及指定监听端口的占位符替换。随后，文章详细介绍了 10 种反弹 Shell 的方法，包括 Bash 原生反弹 Shell、NetCat 反弹 Shell、Python 反弹 Shell、PHP 反弹 Shell、PowerShell 反弹 Shell、Perl 反弹 Shell、Java 反弹 Shell、Ruby 反弹 Shell、Socat 交互式反弹 Shell 和 MSFvenom 一键生成反弹 Shell。每种方法都包括了适用环境、攻击机操作、目标机执行命令、原理说明、避坑提示以及优缺点分析。最后，文章还介绍了反弹 Shell 进阶优化技巧，如升级全交互式 TTY Shell、绕过防火墙与出站限制以及免杀与规避检测。文章总结了反弹 Shell 在渗透测试中的重要性，并强调了根据不同环境选择合适方法的原则。

    网络安全 渗透测试 反弹Shell 命令执行 网络攻击 安全防御 安全工具 内网渗透 Web安全 免杀

    0x68 Windows 进程内部结构：PEB 与 LDR 双向链表解析（内存取证基础 第二部分）

    securitainment 2026-03-26T13:37:54 imp hash

    Example Image


    本文深入探讨了Windows操作系统中进程的内部结构，特别是PEB（Process Environment Block）和LDR（Loader）双向链表。文章首先介绍了Volatility工具套件中的ldrmodules插件，该插件用于检测进程内存中的DLL隐藏或注入等可疑活动。接着，文章详细解释了PEB结构及其在获取已加载DLL列表中的作用。PEB通过其ldr字段指向_PEB_LDR_DATA结构，该结构包含三个双向链表，分别记录了进程内存中已加载的DLL信息。文章通过内核调试的方法，逐步展示了如何枚举_EPROCESS结构来找到_PEB的偏移量，并进一步获取_PEB_LDR_DATA结构中的链表指针。文章还介绍了如何遍历这些链表来获取DLL的详细信息，并解释了InInitializationOrder列表中不包含进程可执行文件条目的原因。最后，文章强调了该内容的教育和研究目的，并提醒读者不要将技术用于非法目的。

    内存取证 操作系统安全 逆向工程 恶意软件分析 数字取证 安全工具 DLL注入

    0x69 混淆的 VBS 和 PNG 加载器利用 RAT 有效载荷驱动新的 Open Directory 恶意软件活动

    安全圈的那点事儿 2026-03-26T12:12:00 © 网络安全9527

    Example Image


    本文分析了近期一起利用混淆的VBS文件、无文件PowerShell加载器和PNG图像隐藏有效载荷的复杂多阶段恶意软件攻击活动。该攻击通过VBS文件作为启动器，使用Unicode混淆技术隐藏其逻辑，并最终执行一个隐藏的PowerShell有效载荷。攻击者使用PNG图像隐藏Base64编码的.NET程序集，该程序集直接在内存中解码和执行，以避免将文件写入磁盘。攻击链中还包含了伪装成PDF的压缩存档和批处理脚本，用于分发远程访问木马（RAT）和其他恶意软件。攻击者利用开放目录架构托管恶意软件，并通过多个可访问路径分发不同类型的恶意软件。该攻击活动展示了攻击者如何结合多种技术绕过防御措施，并保持快速有效载荷轮换的能力。

    恶意软件分析 多阶段攻击 无文件攻击 远程访问木马 开放目录架构利用 云托管攻击 跨平台攻击 脚本攻击 加密通信 防御规避

    0x6a 【提权基础入门第四节】启动文件夹提权：被忽视的Windows高危后门

    幻泉之洲 2026-03-26T12:00:00

    Example Image


    本文深入探讨了Windows系统中启动文件夹提权这一常见的安全漏洞。启动文件夹作为Windows为用户提供的便利功能，如果权限设置不当，可能成为攻击者进行权限维持和提权的通道。文章详细解释了攻击者如何利用这一漏洞，包括通过钓鱼邮件、网站漏洞等方式获取普通用户权限后，将恶意程序放入启动文件夹，从而在管理员账户登录时以管理员权限执行恶意程序，实现提权。文章还介绍了如何使用icacls和accesschk等工具检查启动文件夹的权限设置，以及如何通过takeown和icacls命令修复权限问题，确保系统安全。同时，文章强调了在渗透测试中检查启动文件夹的重要性，提醒用户在进行安全配置或系统加固时不要忽视这一容易被忽视的安全隐患。

    提权攻击 Windows安全 权限维持 漏洞利用 安全配置 渗透测试

    0x6b Tigress和OLLVM混淆c代码

    白帽子安全笔记2.0 2026-03-26T11:55:04 © 陆安予

    Example Image


    本文深入探讨了两种著名的代码混淆工具：Tigress和OLLVM。首先介绍了Tigress的混淆过程，通过将C语言代码转换为混淆后的C代码，并分析了其混淆效果，包括字符串未混淆和加入字符串混淆参数后的结果。接着，详细介绍了OLLVM的混淆技术，包括开启全部参数混淆、控制流平坦虚假控制流等，并通过实例展示了混淆后的代码复杂度。文章还通过AI分析总结了两种混淆工具的效果，并指出Tigress和OLLVM都能显著增加逆向分析的难度。最后，文章强调了合法使用这些工具的重要性，并提醒用户在使用时遵守相关法律法规。

    代码混淆 逆向工程 安全研究 恶意软件分析 安全工具 反调试技术

    0x6c 【涨知识】远控木马KTLVdoor加密通信分析

    北京观成科技 2026-03-26T11:38:39 © hjm

    Example Image


    2024年9月，趋势科技披露了一种名为KTLVdoor的高度混淆的多平台远控木马。该木马支持Windows和Linux系统，采用“白加黑”技术，利用英伟达签名的合法程序加载恶意DLL。恶意DLL从.user.ini文件中读取加密数据，解密出shellcode，再通过异或解密核心DLL并执行。KTLVdoor功能丰富，支持文件上传下载、命令执行、端口扫描及SOCKS代理等操作，通过TCP或TLS协议与C&C服务器通信。首次上线时，会收集系统信息，经AES-GCM-256加密后发送给C&C服务器。观成-瞰云加密威胁智能检测系统可对该木马进行有效检出。攻击流程中，样本释放run.bat、Nvdia.exe、nvtt30205.dll和.user.ini等文件，Nvdia.exe加载nvtt30205.dll，该DLL读取.user.ini数据解密shellcode，并将shellcode写入系统文件accessibilitycpl.dll的.text段执行。KTLVdoor通过TLS协议与C&C服务器通信，收集系统信息并使用AES-GCM-256加密发送。上线包数据加密密钥固定为32字节，Nonce随机生成，加密完成后进行首次拼接，再在头部和尾部添加固定数据和随机数据。观成-瞰云加密威胁智能检测系统可检出使用TLS或TCP通信的KTLVdoor。总结中提到，KTLVdoor采用SNI伪装和动态随机填充密文长度规避检测，但仍存在可识别的行为特征。此外，该木马在建立通信前会访问ipinfo.io获取公网IP，可作为辅助研判特征，降低误报率。

    远控木马 多平台 混淆技术 加密通信 C&C通信 恶意软件检测 IoC TLS AES-GCM-256 系统信息收集

    0x6d Oracle注入waf绕过等思路

    夜子安全Sec 2026-03-26T09:26:27 © 夜子

    Example Image


    本文详细介绍了针对Access数据库的SQL注入攻击及其绕过WAF的技巧。文章首先指出Access数据库在小型网站中较为常见，但相比MySQL和MSSQL，其注入难度较大。案例一中，作者通过发现不同路由地址进行注入测试，成功识别出存在SQL注入。通过管道符闭合判断数据库类型为Oracle，并利用POST请求绕过GET请求的长度限制。由于常规函数被拦截，作者通过插入垃圾数据干扰WAF，最终利用instr函数逐步获取数据库信息。案例二中，作者在两个参数上成功注入Oracle数据库，但受限于长度限制。通过管道符闭合后，尝试多种函数绕过WAF，包括脏数据、fuzz函数等，但均被拦截。最终，作者利用/**/多行注释混淆函数名和括号，成功绕过WAF，并通过instr函数逐步获取信息。文章强调了Access数据库注入的复杂性和持久性，以及绕过WAF的多种技巧和策略。

    SQL注入 WAF绕过 数据库类型 Web安全 渗透测试 注入技巧

    0x6e 小白也能学会的红队基础：隐匿、工具、流量、善后全攻略

    异空间安全 2026-03-26T09:04:24 © 异空间安全

    Example Image


    本文详细介绍了红队基础知识和实战技巧，包括隐匿生存、攻防无界等核心原则。文章首先强调了环境隔离的重要性，包括攻击环境的原子级隔离、身份熵增和攻击面收敛。接着，详细阐述了网络指纹切断、反蜜罐与浏览器指纹防护、跳板机/VPS安全与反制防御等安全措施。文章还介绍了身份信息全链路脱敏、流量混淆与C2隐匿工程、开发编译与代码指纹消除等技巧。此外，文章还涵盖了红队核心武器全景图，包括命令与控制（C2）、资产测绘与内网穿透、凭据获取与域渗透等。最后，文章讨论了链路隐匿、战术进化、善后清理和免杀弹药等高级技巧，为红队学习者提供了全面的实战指南。

    红队攻防 网络安全 实战经验 渗透测试 隐匿技术 免杀技术 系统漏洞 域渗透 网络协议 代码分析

    0x6f Upload Labs 第12关：利用 %00 截断修改保存路径实现上传绕过。

    武文学网安 2026-03-26T00:26:43 © 武文学网安

    Example Image


    本文详细分析了Upload Labs第12关的网络安全挑战，该关卡涉及利用%00截断修改保存路径以实现文件上传绕过。文章首先介绍了%00截断的概念及其在不同层（URL编码、PHP字符串、C语言）中的表现形式。接着，文章深入解析了%00截断漏洞的本质，即不同处理层对输入数据的解析方式不一致，导致在底层C函数处理层中发生截断。文章进一步分析了第12关的源码，指出文件保存路径来自用户输入，并存在关键漏洞点。作者提出了攻击思路，通过修改保存路径并利用%00截断来绕过文件名检测。文章还提供了实战操作步骤，包括准备一句话木马、修改保存路径、上传文件等。最后，文章讨论了漏洞难以复现的原因，如%00未被解析、PHP版本更新、服务器拦截等，并强调了环境差异对漏洞可利用性的影响。

    文件上传漏洞 路径遍历漏洞 PHP安全漏洞 编码转换问题 白名单绕过 C语言安全问题 渗透测试技术 环境配置影响 网络安全教育

    0x70 想监控内网传输的文件？用Suricata这个功能就够了

    安全孺子牛 2026-03-25T22:58:05 © 网络安全菜鸟

    Example Image


    本文详细介绍了如何使用Suricata进行内网传输文件的监控。首先，介绍了Suricata的文件提取功能及其配置方法，包括创建文件提取路径、开启文件提取功能以及配置相关参数。接着，展示了如何编写文件提取规则、抓取数据包以及使用Suricata进行文件提取的测试过程。最后，通过实际操作展示了如何查看文件名称和SHA256值，以及文件存储的具体目录和文件格式。文章还涉及到了安装json解析文件和查看提取的文件内容等步骤，为网络安全学习者提供了实用的操作指南。

    网络安全监控 文件提取工具 入侵检测系统 日志分析 文件哈希 规则配置 Linux系统 实践指南

    0x71 安全预警：Apifox 桌面客户端官方 CDN 脚本遭供应链投毒

    慢雾科技 2026-03-25T22:10:09 © 慢雾安全团队

    Example Image


    慢雾安全团队监测到一起针对Apifox的供应链攻击。攻击者篡改了Apifox官方CDN资源中的前端脚本文件，植入经重度混淆处理的恶意JavaScript代码。该恶意代码以合法的统计埋点功能为掩护，在Apifox Electron桌面客户端环境中运行时，窃取用户认证凭据及系统敏感信息，并发送到攻击者控制的C2服务器。随后，恶意代码拉取并执行任意远程代码，实现远程命令执行(RCE)。攻击入口为Apifox官方CDN资源被篡改，客户端在启动或运行过程中自动加载该脚本，无需用户交互即可触发。恶意代码内置随机定时器，周期性执行窃取数据并拉取最新Payload。代码采用高强度混淆、RC4算法加密字符串、RSA加密通信等手段规避检测。建议受影响用户立即吊销accessToken，检查异常API调用，重新登录账户，修改密码，封锁C2域名，并清除客户端localStorage中的特定键。文章还提供了相关的IoCs信息。

    0x72 通过 AI-Skill 分析 flutter so 文件实现明文抓包以及生成frida脚本

    进击的HACK 2026-03-25T21:13:55 © 进击的HACK

    Example Image


    本文介绍了如何利用AI技术实现Flutter应用程序的HTTPS明文抓包。作者通过分析libflutter.so文件，成功使用TRAE和GLM5.0工具实现了明文抓包。此外，文章还详细介绍了如何利用Frida框架生成hook脚本，以实现对SSL通信的拦截和抓包。文章中提供了Frida脚本的具体实现方法，并介绍了如何使用stackplz工具进行数据抓取。最后，作者将整个过程封装成技能，并放置在GitHub项目中，方便其他开发者学习和使用。

    应用安全 移动安全 逆向工程 Frida框架 SSL/TLS安全 网络安全工具 安全技能开发

    0x73 第107天-Shiro 550 漏洞深度解析：无 CC 依赖？CB 链一招制敌！

    AlphaNet 2026-03-25T21:04:02 © Сяо Яо

    Example Image


    本文深入解析了Apache Shiro的550漏洞，特别是在没有Commons Collections（CC）依赖的情况下如何利用。文章首先介绍了反序列化利用链的三要素：入口点、调用链和执行点，并以PriorityQueue、BeanComparator和TemplatesImpl为例，详细解释了利用链的工作原理。核心原理包括PropertyUtils的“隐式调用”机制和TemplatesImpl作为内置RCE引擎的作用。文章提供了完整的利用链执行流程，包括如何触发入口点、堆重建、BeanComparator执行和最终触发RCE。此外，还讨论了CB链的核心优势，如不依赖CC、更隐蔽和绕过部分防御，以及攻击本质上是利用“合法API + 反射机制”构造非法执行路径。最后，文章提出了一个进阶思考问题，鼓励读者思考除了PriorityQueue外，还有哪些类可以作为源触发点。

    Java安全 反序列化漏洞 Shiro框架 Commons Collections 远程代码执行 漏洞利用 代码审计 安全开发

    0x74 [漏洞复现]全程云OA QCHMS.asmx SQL注入漏洞(VEID-2026-11106)

    H4ll0 H4ck3r 2026-03-25T20:32:47 老谢

    Example Image


    本文详细描述了全程云OA QCHMS.asmx SQL注入漏洞（VEID-2026-11106）的复现过程。该漏洞允许攻击者通过SQL注入攻击获取数据库信息或权限。文章中提供了漏洞描述、影响版本、本地漏洞环境复现步骤，包括Veil POC的使用。复现过程中，攻击者通过构造特定的SOAP请求，成功触发500内部服务器错误，表明SQL注入漏洞的存在。文章还包含了漏洞的详细描述、影响范围、验证方法和相关标签。作者提醒读者，使用本文提供的信息造成的后果由使用者本人负责。

    SQL注入 Web应用安全 漏洞复现 全程云OA XML处理 安全漏洞 高严重性

    0x75 Butter Cookie——web多功能渗透测试浏览器插件

    一个人挺好 wa 2026-03-25T20:15:21 一个人挺好

    Example Image


    Butter Cookie是一款专为安全测试人员和开发者设计的集成化渗透测试浏览器插件。该插件集成了丰富的安全测试工具，旨在帮助用户快速识别和评估Web应用的安全漏洞。主要功能包括信息收集、XSS测试、SQL注入测试、端点安全扫描、Shodan主机信息查询和辅助工具等。信息收集模块支持多种设备User-Agent切换、Cookie管理和HTTP头部配置，以及敏感信息收集、框架指纹识别和蜜罐检测等。XSS测试模块提供批量填充XSS Payload和CSP策略参数提取等功能。SQL注入测试模块包含SQL HackBar，支持多种HTTP请求方法和注入入口。端点安全扫描模块用于前端代码安全审计，包括JS端点发现、敏感目录发现、DOM XSS检测和跨域消息追踪等。Shodan主机信息模块提供网络空间资产情报查询。辅助工具模块则提供了一系列实用工具，以提升渗透测试效率。该插件基于Chrome Extension Manifest V3开发，并提供了快速开始指南。

    网络安全工具 Web安全测试 浏览器插件 漏洞检测 渗透测试 安全审计 信息收集工具 漏洞利用

    0x76 警惕！LiteLLM 遭供应链“连环套”投毒：从 Trivy 沦陷到 4.8 亿次下载量的威胁

    网安守护 2026-03-25T20:12:50 © 老兵

    Example Image


    2026年3月24日，AI领域遭遇了一起严重的供应链安全事故，通用网关LiteLLM在PyPI官方仓库被恶意投毒。攻击者通过攻破安全工具Trivy，窃取了LiteLLM的发布凭证，发布了恶意版本v1.82.7和v1.82.8。这些恶意版本在安装后能够窃取SSH Key、云服务秘钥、K8s配置、数据库密码等敏感信息，并在系统中植入后门。事件影响了LiteLLM近1亿次下载，波及2100多个下游依赖包。PyPI已紧急下架相关版本，并建议用户回滚。此次攻击显示了供应链攻击的复杂性，提醒开发者和企业加强安全措施，包括启用OIDC进行发布认证，废弃长期有效的API令牌等。

    供应链攻击 恶意软件投毒 PyPI安全漏洞 开发工具链安全 Python生态系统安全 自动化攻击 数据泄露风险 后门植入 安全意识提升

    0x77 AI驱动的“OpenClaw陷阱”活动通过植入木马的GitHub仓库攻击开发者和游戏玩家

    安全圈的那点事儿 2026-03-25T19:03:00 © 网络安全9527

    Example Image


    本文报道了一起大规模的恶意软件攻击活动，该活动利用GitHub平台，通过植入木马的存储库向开发者、游戏玩家和普通用户传播基于LuaJIT的定制木马。攻击被追踪为“TroyDen的诱饵工厂”，涉及300多个投递包裹，并利用人工智能辅助生成诱饵，如游戏作弊程序、加密机器人等。核心恶意软件伪装成合法的OpenClaw AI项目的Docker部署助手，并使用多种手段增强信任度。恶意软件设计复杂，能够绕过自动分析，并通过地理位置查找、屏幕截图上传至C2服务器。该攻击活动旨在窃取凭证，并针对广泛的目标群体。Netskope通过行为启发式方法成功阻止了攻击，并报告给了GitHub。防御者应警惕重命名脚本运行时与不透明“数据”文件的组合，并监控相关恶意软件活动。

    恶意软件攻击 供应链攻击 开源社区安全 人工智能辅助攻击 木马攻击 信息窃取 沙箱逃逸 C2通信 防御策略

    0x78 探索跨域与跨森林的 RBCD 攻击

    securitainment 2026-03-25T18:40:03 Simon Msika

    Example Image


    本文详细介绍了跨域和跨森林环境下的基于资源的约束委派（RBCD）攻击技术。文章首先描述了实验环境的搭建，包括在asgard.local域中设置目标工作站，并在dev.asgard.local域中创建计算机对象rbcd_test$，通过NTLM中继攻击修改目标机器的msDS-AllowedToActOnBehalfOfOtherIdentity属性，使其具备执行RBCD的权限。接着，文章深入分析了跨域RBCD的工作流程，包括利用Impacket工具获取TGT、通过S4U2Self和S4U2Proxy获取服务票据等步骤，并提供了相应的Impacket脚本实现。此外，文章还探讨了跨森林RBCD的实现挑战，由于KDC策略限制，传统的RBCD工具无法直接应用，需要模拟特定的Kerberos交互流量。文章最后提供了基于Impacket的跨森林RBCD脚本实现，并总结了防御此类攻击的方法，包括部署防中继机制和排查ACL配置错误。

    RBCD Active Directory Kerberos Impacket Rubeus 渗透测试 跨域攻击 跨森林攻击 NTLM 中继 防御策略

    0x79 Apifox被投毒:SSH密钥、Git凭证是如何在不知不觉中被偷走的

    黑客茶话会 2026-03-25T18:08:48 © 我真tm厉害

    Example Image


    近日，网络安全社区曝光了一起针对Apifox的供应链投毒攻击事件。攻击者通过篡改官方CDN，将恶意JavaScript文件注入Apifox桌面端应用，悄无声息地窃取用户的SSH密钥、Git凭证等敏感信息。该事件影响了3月4日后未更新Apifox桌面端的所有用户，覆盖Windows、macOS和Linux全平台。攻击者通过收集的数据，可实现对受害服务器的完全控制，包括内网横向移动、代码仓库访问、执行后门程序等。事件发生后，Apifox官方迅速发布修复版本v2.8.19，建议用户升级至最新版本，并采取包括阻断恶意域名、更换SSH密钥和Git凭证等措施进行应急响应和长期防护。

    供应链攻击 CDN投毒 信息泄露 横向渗透 RCE漏洞 应用安全 安全预警 安全事件分析

    0x7a 【高危AI漏洞预警】OpenClaw环境变量注入漏洞 (CVE-2026-22177)

    飓风网络安全 2026-03-25T17:49:12 jufeng

    Example Image


    OpenClaw版本早于2026.2.21存在环境变量注入漏洞（CVE-2026-22177），攻击者可利用此漏洞通过配置注入如NODE_OPTIONS或LD_*等变量，在OpenClaw网关服务运行时上下文中执行任意代码。攻击场景包括通过配置文件注入恶意环境变量，从而在服务启动时劫持进程控制。受影响的产品为Openclaw < 2026.2.21。官方已发布更新版本，建议用户升级至最新版本。同时，建议加强输入验证，确保运行服务的系统账户仅拥有最小权限，并定期扫描生产环境中的配置文件，以及在容器化环境中部署OpenClaw以限制其对宿主机的访问。

    漏洞预警 环境变量注入 CVE编号 OpenClaw 代码执行 安全补丁 配置管理 最小权限 容器安全

    0x7b AI开发者警惕！波及DSPy、MLflow等主流框架，底层库 litellm 遭投毒，专偷访问凭证

    360漏洞研究院 2026-03-25T17:22:41 © 360漏洞研究院

    Example Image


    2026年3月24日，Python生态中的大模型统一调用库litellm在PyPI平台遭到供应链投毒攻击，由TeamPCP组织实施。攻击者利用被盗用的发布凭证，将含恶意载荷的1.82.7和1.82.8版本上传至PyPI，后迅速被隔离下架，安全版本为1.82.6。litellm日均下载量巨大，且作为多个主流AI框架的核心依赖，此次事件影响范围极广。攻击者通过在wheel打包环节注入恶意代码，以及植入litellm_init.pth文件实现“零点击”静默执行。恶意载荷采用三阶段攻击逻辑，包括凭证大规模收割、Kubernetes横向移动和持久化后门植入，实现了从凭证窃取到集群渗透，再到长期驻留的完整闭环。受影响资产包括云平台凭证、基础设施配置、开发与数据资产以及加密货币等。排查清理需检查版本、IoC匹配、停止并移除后门及残留文件、删除异常Pod、卸载受感染版本并重装干净版本。确认感染后需立即轮换所有凭证并采取防范措施。

    供应链攻击 凭证窃取 AI安全 恶意软件 后门植入 Kubernetes安全 PyPI攻击 认证攻击 攻击者组织 零点击攻击

    0x7c 从hackerbot-claw自动化利用到LiteLLM投毒

    墨菲安全实验室 2026-03-25T17:15:43 © 刁程扬

    Example Image


    LiteLLM是一款热门的开源大模型网关，但在2026年3月24日，攻击者通过PyPI仓库发布了投毒版本的litellm组件，导致了一系列供应链攻击。攻击者首先利用GitHub workflow漏洞，通过自动化攻击窃取了GitHub action中配置的访问令牌，并对Trivy安全扫描插件投毒。由于LiteLLM依赖Trivy进行安全扫描，攻击者得以向下游注入恶意Payload，最终导致分发的包中出现凭证窃取代码。恶意代码分为两个阶段：第一阶段是凭证窃取与数据外传，攻击者收集主机敏感凭证并加密上传至C2服务器；第二阶段是持久化后门，伪装成系统服务实现长期驻留并拉取执行恶意代码。此事件表明开源生态面临的威胁已不再是单一组件受影响，而是攻击者围绕CI/CD、访问令牌、构建产物和下游依赖之间的信任关系进行横向渗透与逐级放大。企业需要重新审视组件依赖关系、第三方构建依赖与镜像来源可信性、构建发布环境隔离、凭证轮换以及产物完整性校验机制，以防范此类供应链攻击。

    供应链攻击 GitHub 攻击 凭证窃取 数据外传 持久化后门 权限提升 恶意软件 CI/CD 安全 开源安全

    0x7d OpenSSH漏洞列举及防范建议

    菜根网络安全杂谈 2026-03-25T17:07:05 © Caigensec

    Example Image


    本文详细列举了OpenSSH存在的多个漏洞及其影响范围和描述，包括中间人攻击漏洞、拒绝服务漏洞、远程代码执行漏洞、智能卡密钥添加漏洞、ProxyCommand命令注入漏洞、Terrapin前缀截断攻击漏洞、PKCS11目标约束漏洞、身份验证绕过漏洞、远程代码执行漏洞和权限提升漏洞等。文章对每个漏洞的影响范围和描述进行了详细说明，并提出了相应的防范建议，如关闭ssh端口、修改默认端口、使用强密码、限制登录尝试与超时、禁用不必要功能、启用详细日志等，旨在帮助网络安全学习者和从业者了解OpenSSH漏洞及防范措施。

    OpenSSH 漏洞 网络安全漏洞 SSH 协议安全 漏洞防范 中间人攻击 拒绝服务攻击 远程代码执行 权限提升 用户枚举

    0x7e 皮皮宋渗透日记 14｜文件上传漏洞：原理 + 绕过 + 防御全总结

    皮皮宋渗透笔记 2026-03-25T17:00:28 © 皮皮宋

    Example Image


    本文深入探讨了文件上传漏洞这一网络安全中的经典漏洞。文章首先介绍了文件上传漏洞的定义、常见攻击场景和手动测试技术，详细阐述了漏洞的概述、潜在风险与影响以及自动化扫描工具的使用。接着，文章从漏洞分类与分级、代码审计方法、黑盒测试技术、漏洞检测方法等多个角度进行了详细分析，指出了客户端验证不足、服务器端验证缺失、文件类型检查不严等问题。文章还重点介绍了文件类型绕过、服务器配置加固、文件名欺骗等常见攻击手法，以及路径遍历攻击、服务器解析漏洞等高级攻击技术。最后，文章提出了针对文件上传漏洞的防护与修复措施，包括输入验证策略、路径处理不当、权限配置错误等，并强调了学习文件上传漏洞的重要性，指出掌握这一漏洞对于网络安全至关重要。

    漏洞分析 渗透测试 网络安全防御 Web安全 代码审计 漏洞利用 实战技巧

    0x7f 命令执行：突破Shell命令过滤限制

    C4安全 2026-03-25T16:33:18 © 油漆工

    Example Image


    本文深入探讨了网络安全领域中的命令执行漏洞，特别针对PHP环境下如何突破Shell命令过滤限制进行了详细分析。文章首先介绍了PHP7及以上版本中的动态函数执行技术，通过变量赋值和动态函数调用来绕过简单的字符串过滤。接着，文章探讨了利用不可见字符进行编码和取反操作，以构造可执行代码的方法。此外，文章还介绍了如何利用无字母、数字、$的系统命令组成Shell命令，以及通过文件上传和临时文件名猜测来突破过滤。最后，文章通过实例分析了一个CTF例题，展示了如何将多种技术组合使用以成功突破目标系统的防御。文章强调了多层防护的重要性，提醒开发者安全防御需要综合考虑多种策略。

    命令执行漏洞 Web安全 PHP安全 动态函数执行 编码技术 Shell脚本 文件上传漏洞 安全防御技术

    0x80 CVE-2026-23673 ReFS 越界读分析

    BeFun安全实验室 2026-03-25T16:23:52 © 毕方安全实验室

    Example Image


    CVE-2026-23673 是一个关于 ReFS (Resilient File System) 的越界读取漏洞。该漏洞影响了 Windows 11 和 Windows Server 等平台，用户需要开启开发者模式并创建 Dev Drive 才能使用 ReFS 格式。漏洞的核心在于补丁中新增的整数溢出校验逻辑，该逻辑未能正确处理长度参数 Length 的边界情况，导致当 Length 足够大时，StartOffset + Len 可能会发生整数溢出，从而触发系统崩溃。攻击者可以通过精心构造的 PoC 程序，利用该漏洞在目标系统上执行任意代码或导致系统崩溃。微软已经发布了相应的补丁来修复该漏洞。PoC 程序通过创建文件、初始化缓存、设置偏移量和写入操作来触发漏洞。

    CVE-2026-23673 ReFS 越界读 Windows 缓冲区溢出 补丁分析 整数溢出 开发模式 PoC

    0x81 Apifox 投毒事件分析-2

    漕河泾小黑屋 2026-03-25T15:05:34 黑屋包网

    Example Image


    本文详细分析了Apifox投毒事件，揭示了攻击者通过被投毒的Apifox事件脚本在Node/Electron环境下植入加载器的技术手段。该加载器会构造带主机/用户标识的请求头，访问特定的服务器并获取RSA加密内容，然后解密得到调度器脚本，再随机加载第二阶段payload。第二阶段样本具有收集敏感信息的能力，包括SSH私钥、命令历史、进程信息等，并通过压缩和加密后回传。文章还分析了样本的文件结构、混淆特点、关键常量含义、打包压缩加密方式以及外传接口。最后，提出了应急处置建议，包括封禁相关域名/IP、排查终端、隔离终端、轮换凭据、检查敏感内容、回溯代理日志和检查横向移动等。事件被定级为高危供应链投毒与凭据窃取事件。

    恶意软件分析 供应链攻击 数据泄露 网络钓鱼 加密技术 安全事件响应 主机安全 应用程序安全

    0x82 Apifox被投毒：SSH密钥、Git凭证是如何在不知不觉中被偷走的

    零知实验室 2026-03-25T14:17:09 AI小智

    Example Image


    2026年3月，知名API调试工具Apifox遭遇供应链投毒攻击，恶意代码被植入其JavaScript文件中，窃取用户SSH密钥、Git凭证和命令行历史。攻击者通过动态加载恶意脚本，从用户机器收集敏感信息，并上传至仿冒域名。事件暴露了Apifox在架构和应急响应上的问题，包括未启用Electron的sandbox安全参数和缺乏透明披露。文章呼吁开发者和企业加强安全意识，采取最小权限原则、网络流量监控、软件来源管控和定期轮换凭证等措施，以防范类似攻击。

    供应链攻击 恶意软件投毒 安全漏洞利用 开发者安全 SSH密钥泄露 Git凭证泄露 安全意识教育

    0x83 litellm 1.82.7 和 1.82.8 后门自查指南

    Ots安全 2026-03-25T13:49:46

    Example Image


    本文详细分析了LiteLLM 1.82.7和1.82.8版本中的后门漏洞。这两个版本通过恶意代码注入和额外的litellm_init.pth文件，能够在Python进程启动时自动执行恶意代码。恶意行为分为三个阶段：凭证窃取、横向移动和持久化后门。攻击者可能通过PyPI发布凭证泄露来绕过GitHub的正常发布流程。文章提供了检查版本、卸载恶意版本、检查持久化痕迹等技术分析，并指出了攻击者的基础设施和IoC（Indicators of Compromise）。文章强调了供应链安全的重要性，并建议用户不要盲目信任最新版本，应严格管理依赖版本，并在怀疑感染时全面轮换凭证。

    恶意软件漏洞 供应链攻击 后门程序 凭证窃取 横向移动 持久化攻击 Python安全 开源安全

    0x84 一款面向实战的渗透测试浏览器插件：信息收集｜XSS/SQL｜端点扫描｜JS 逆向｜Fuzz｜指纹识别｜Shodan

    0x八月 2026-03-25T13:03:30 © 0x八月

    Example Image


    本文介绍了一款名为黄油曲奇的集成化渗透测试浏览器插件，该插件面向安全测试人员和开发者，提供信息收集、XSS/SQL注入测试、端点扫描、Shodan查询和辅助工具等功能。黄油曲奇插件通过整合多个小工具为一个可视化插件，减少频繁切换，提高工作效率。插件内置DOM XSS检测、JS端点发现、跨域消息追踪、原型污染检测和重定向漏洞检测等前端相关能力，直接在页面上下文中执行。信息收集模块通过框架指纹识别、敏感信息收集和Fuzz扫描帮助用户快速描述目标特征，结合Shodan主机信息模块查看开放端口和历史漏洞数据。文章还提供了插件的安装指南和使用方法，并强调了使用此插件进行渗透测试时应遵守的法律和道德规范。

    渗透测试 浏览器插件 信息收集 XSS测试 SQL注入测试 端点扫描 Shodan 指纹识别 Fuzz测试 JavaScript逆向 安全工具

    0x85 深科特 LEAN MES 任意文件上传漏洞分析（从逻辑缺陷到 RCE）

    星络安全实验室 2026-03-25T12:11:18 © zz

    Example Image


    本文详细分析了深科特 LEAN MES 系统中的一个严重任意文件上传漏洞。该漏洞存在于 UploadPortraits.ashx 接口，其中系统仅对 UserId 参数进行了简单的数值合法性判断，但这一校验并未对后续业务逻辑产生实际约束。攻击者可以通过构造恶意文件名并上传脚本文件（如.aspx），实现任意文件写入。由于接口对 Filename 参数未进行任何扩展名限制或安全过滤，攻击者可以成功写入恶意文件并触发远程代码执行（RCE）。文章中详细描述了漏洞的利用过程，并提供了漏洞复现的示例代码。该漏洞是由于输入校验逻辑缺陷和文件上传缺乏安全控制导致的，风险极高。

    漏洞分析 文件上传漏洞 RCE漏洞 逻辑缺陷 安全测试 代码审计 工业控制系统安全 信息泄露 漏洞利用

    0x86 热门 PyPI 包 LiteLLM 遭投毒，窃取凭据和认证令牌

    代码卫士 2026-03-25T12:06:23 Lawrence Abrams

    Example Image


    本文报道了一起针对热门Python包LiteLLM的供应链攻击事件。黑客团伙TeamPCP攻陷了PyPI平台上的LiteLLM，窃取了数十万台设备的数据。LiteLLM是一个开源Python库，用于调用多个大语言模型提供商的API。攻击者通过发布恶意版本的LiteLLM包，部署了信息窃取工具，窃取了包括SSH密钥、云凭据、Kubernetes服务账号令牌等在内的敏感数据。Endor Labs发现，恶意代码被注入到LiteLLM的模块中，并在Python环境下自动执行。建议受影响的组织机构更换所有受影响的密钥、令牌和凭证，并检查系统中是否存在可疑文件和未授权的Pod。

    软件供应链攻击 开源软件安全 凭证窃取 恶意软件 Python社区安全 云安全 Kubernetes安全 威胁情报 安全最佳实践

    0x87 网络安全学习笔记：URL网址

    Web安全工具库 2026-03-25T11:25:52 © aiyou

    Example Image


    本文深入探讨了URL（统一资源定位符）在网络安全中的重要性。作者强调了URL的各个组成部分，如协议、用户信息、主机、端口、路径、查询和片段，以及它们如何影响网络安全。文章指出，URL不仅是网络资源的定位符，还携带了多种信息，如认证信息和端口等。作者通过分析HTTP和HTTPS协议的差异，以及其他常见协议如FTP和mailto的使用，强调了安全配置的重要性。此外，文章还讨论了用户信息泄露、主机相关安全问题（如SSRF和域名欺骗）、端口错误配置、路径和文件扩展名的理解、查询参数注入和越权等问题。最后，作者提供了URL安全排查的清单，并介绍了如何使用DevTools和Burp Suite进行安全测试。

    网络安全基础 Web安全 URL解析 漏洞分析 安全配置 协议安全 浏览器安全 编码与解码

    0x88 深度剖析 Node.js 环境下的 SSRF 漏洞：从原理挖掘到防御体系构建

    洞悉安全团队 2026-03-25T10:58:38 © 洞悉安全团队

    Example Image


    本文深入探讨了Node.js环境下SSRF漏洞的成因、风险场景、攻击利用方式以及构建防御体系的策略。文章首先分析了SSRF漏洞的成因，包括便捷的HTTP请求库和微服务架构中的信任传递风险。接着，通过攻防实战的视角，阐述了漏洞的利用方法，如内网资产探测、敏感数据窃取等。文章还介绍了常见绕过技术，如重定向跳转、DNS重绑定等。最后，提出了构建纵深化防御体系的建议，包括严格的输入校验策略、网络层隔离、运行时沙箱和云厂商安全配置等，强调了安全意识的重要性，并介绍了洞悉安全团队的服务和成就。

    Node.js 安全 SSRF 漏洞 Web 应用安全 代码审计 攻防实战 微服务安全 网络隔离 云安全 安全最佳实践

    0x89 一次从代码审计到利用：Kanboard SQL注入漏洞（CVE-2026-33058）分析

    幻泉之洲 2026-03-25T10:02:00

    Example Image


    Kanboard项目权限管理功能中存在一个经过身份验证的SQL注入漏洞（CVE-2026-33058），影响版本v1.2.50及之前。该漏洞根源于其ORM组件PicoDb中标识符转义逻辑的缺陷，允许攻击者通过特定参数注入恶意SQL。攻击者需要具备向项目添加用户的权限，成功利用后可以窃取管理员的API访问令牌，进而修改自身或他人权限，升级为应用程序管理员。漏洞利用链从ProjectPermissionController::addUser()方法开始，用户控制的$externalIdColumn参数直接作为eq()方法的第一个参数，绕过了PicoDb的escapeIdentifier方法的转义检查，从而实现SQL注入。攻击者可以利用基于布尔值的盲注技术，从数据库中窃取管理员用户的API访问令牌，再使用该令牌通过Kanboard的JSON-RPC接口修改自身用户角色，实现权限提升。Kanboard开发者在v1.2.51版本中已修复该问题，建议用户升级到该版本或更高版本以避免风险。该漏洞的教训是，即使底层使用了参数化查询，如果构建查询字符串的过程中转义不当，依然存在安全风险。

    SQL注入 身份验证依赖型漏洞 权限提升 PHP Web应用安全 数据库安全 第三方库漏洞 代码审计 注入点分析 CVE编号

    0x8a Interlock勒索软件利用思科FMC零日漏洞CVE-2026-20131获取Root权限

    黑白之道 2026-03-25T09:45:51

    Example Image


    本文揭示了Interlock勒索软件组织利用思科Firepower Management Center（FMC）的严重零日漏洞CVE-2026-20131发起攻击的情况。该漏洞允许攻击者绕过身份验证，以root权限执行任意命令，从而完全控制受影响设备。Amazon威胁情报团队发现，攻击者早在2026年1月26日就开始利用该漏洞，比公开披露提前了一个月。攻击者的一次操作失误导致其攻击工具链被意外曝光。文章详细分析了攻击流程、攻击工具库，并揭示了攻击者如何利用漏洞进行侦察、信息收集、载荷投递和持久化部署。此外，文章还讨论了攻击的技术指标、安全影响以及防御建议，强调了纵深防御和持续监控的重要性。

    勒索软件 零日漏洞 思科漏洞 网络攻击 网络安全 安全漏洞 防御策略 威胁情报 漏洞利用

    0x8b CVE-2026-33371｜Zimbra存在XML外部实体（XXE）漏洞

    信安百科 2026-03-25T09:30:51 alicy

    Example Image


    本文详细介绍了Zimbra协同办公套件中的一个XML外部实体（XXE）漏洞，即CVE-2026-33371。Zimbra是一套开源的协同办公套件，提供包括WebMail、日历、通信录等多种功能。该漏洞存在于Zimbra Exchange Web服务（EWS）SOAP接口中，由于XML输入处理不当，允许经过身份验证的攻击者提交精心设计的XML数据，可能导致敏感的本地文件泄露。文章中提供了漏洞的CVE编号、影响版本、详细漏洞描述以及安全修复的参考链接。

    XML外部实体（XXE）漏洞 Zimbra安全漏洞 Web服务漏洞 服务器安全 认证攻击 CVE编号 开源软件安全 安全修复

    0x8c 某公司的渗透考核靶场通关记录

    潇湘信安 2026-03-25T09:13:11 消失的猪猪

    Example Image


    这篇文章详细记录了一个基于Wordpress平台的网络安全渗透测试过程。首先，通过FOFA和Fscan进行端口扫描，发现9443端口运行Wordpress，13306端口运行Mysql。接着，扫描目录和备份文件，发现一个info.php限制了执行命令，以及一个需要密码的压缩包。使用John和字典进行哈希爆破，成功获取压缩包密码。然后，连接数据库，发现密码加密，通过hashcat wiki确定加密类型并爆破，成功获取数据库密码并登录后台。由于后台IP限制，使用XFF绕过IP限制进入后台。最后，通过插件上传webshell获取shell，并使用hashcat对加密的flag进行爆破解密。整个过程涉及端口扫描、信息收集、密码破解、权限提升、shell获取等多个网络安全技术点，展示了实战中的渗透测试思路和方法。

    端口扫描 信息收集 备份文件分析 密码破解 数据库攻击 命令执行/权限绕过 Webshell获取 加密算法分析 WordPress安全 渗透测试技巧

    0x8d 点赞漏洞

    山水SRC 2026-03-25T09:08:26 © 游山玩水

    Example Image


    本文探讨了点赞功能中存在的安全漏洞，包括参数置空、用户身份标识修改、并发拦截请求和干扰频率参数等方法来绕过点赞限制。文章强调，这些技术仅应用于合法的安全测试、学习交流与研究，并提醒读者遵守相关法律法规。文章详细描述了每种攻击方法的步骤和潜在危害，如刷赞可能导致文章作者封号、刷高排名骗取奖励、刷取消点赞使计数为负、电商刷虚假好评等。文章最后对漏洞的严重性进行了评估，指出这种漏洞可能被SRC收录，但也可能被忽略或低评级，属于中低风险业务逻辑漏洞。

    漏洞分析 安全测试 网络安全法 业务逻辑漏洞 参数篡改 并发攻击 身份伪造 漏洞利用

    0x8e PolyShell 警报：Magento REST API 严重漏洞面临大规模全球利用

    sec随谈 2026-03-25T08:52:22 sec随谈

    Example Image


    本文报道了Magento REST API中的一个严重安全漏洞，被命名为“PolyShell”。该漏洞允许未经身份验证的攻击者通过REST API上传可执行的PHP代码到目标商店，利用的是自Magento 2第一个版本就存在的不受限制的文件上传漏洞。攻击者将恶意代码伪装成图像文件，以绕过安全过滤器。这个漏洞可能导致远程代码执行（RCE），进而窃取客户数据、注入恶意脚本、或进行系统完全入侵。尽管Adobe在预发布版本中修复了该漏洞，但正式版尚无单独的补丁。商店所有者需要采取积极措施来加强安全防护，包括审核上传目录、验证Web服务器配置和监控REST API流量。

    Web应用安全 漏洞利用 PHP安全 电子商务安全 安全漏洞 恶意软件 安全补丁 防御策略

    0x8f 一键搞定！Frida脚本集助你轻松实现Android/iOS应用HTTPS流量拦截与去证书绑定

    柠檬赏金猎人 2026-03-25T08:41:38

    Example Image


    本文详细介绍了由HTTP Toolkit维护的Frida脚本项目，该项目的目的是为安全研究人员和开发者提供一套自动化工具，用于在已获取Root权限的Android设备或已越狱的iOS设备上拦截目标应用程序的HTTPS流量。项目脚本集功能全面，包括流量重定向、系统证书注入、绕过证书绑定、根检测/越狱检测绕过、HTTP/3连接阻止等功能。文章中详细描述了每个功能模块的作用和适用平台，并提供了在Android设备上拦截应用的示例流程，包括配置步骤、设备准备、Frida服务端运行、查找目标应用包名、注入脚本启动应用等步骤。同时，也提到了iOS平台的类似流程，以及使用该工具时需要注意的法律与道德规范、设备要求、证书格式、网络可达性等事项。

    中间人攻击（MITM） 证书绑定绕过 移动应用安全 Frida框架 Root/越狱检测 HTTPS流量分析 证书透明度 网络调试 自动化工具

    0x90 从目录删除到RCE：GCP Looker漏洞剖析

    云原生安全指北 2026-03-25T08:35:14 Dubito

    Example Image


    本文详细分析了一个存在于 Google Cloud Looker 产品中的远程命令执行漏洞。Looker 是 Google Cloud 的一部分，用于管理 Git 仓库和模型文件。该漏洞源于 Looker 在删除目录时的验证缺陷，允许攻击者删除包含仓库本身的目录。由于其他 Git 操作可以同时进行，攻击者可以在目录删除过程中触发 Git 相关操作。通过利用此条件竞争漏洞，攻击者可以在 Looker 服务器上执行任意命令。虽然各实例通过 Kubernetes 进行了隔离，但 Looker 服务账户权限配置不当，可能允许攻击者进行权限提升，从而访问同一 Kubernetes 集群内的其他实例。攻击者通过精心命名目录，控制删除顺序，制造时间窗口，在 .git 目录被删除后、整个仓库删除完成之前，触发 Git 操作，执行任意命令。Google Cloud 团队确认了该漏洞的影响，并修复了远程命令执行漏洞和权限提升漏洞。此漏洞凸显了正确进行输入验证的重要性，即使是微小的错误也可能导致严重的安全问题。

    远程命令执行 (Remote Command Execution) 竞争条件 (Race Condition) 输入验证缺陷 (Input Validation Vulnerability) 权限提升 (Privilege Escalation) Web 应用安全 (Web Application Security) Git 安全 (Git Security) Kubernetes 安全 (Kubernetes Security)

    0x91 CVE-2026-32051：OpenClaw授权绕过漏洞与复现

    乌雲安全 2026-03-25T08:03:21 © GhostShell

    Example Image


    本文详细分析了CVE-2026-32051漏洞，这是一个影响OpenClaw开源AI个人助手框架的高危授权绕过漏洞。该漏洞允许具备有限权限的攻击者通过模糊化授权边界，获得超出预期的控制平面访问能力。文章介绍了OpenClaw的架构和权限模型，并深入分析了漏洞的核心机制，即授权检查时序不一致问题。提供了漏洞复现的环境搭建步骤和具体复现过程，并分析了漏洞可能带来的攻击场景和影响。最后，文章提出了官方修复方案和临时缓解措施，以及入侵检测指标和应急响应步骤，为网络安全学习者提供了宝贵的参考信息。

    授权漏洞 权限提升 代码执行 中间件安全 漏洞复现 安全响应 网络安全

    0x92 【登录背后的秘密-第二章】深度分析｜基于密码的登录，为什么依然是现代Web最大的攻击面？

    升斗安全 2026-03-25T07:55:29 © 升斗安全XiuXiu

    Example Image


    本文深入探讨了基于密码的登录机制在现代网络安全中的脆弱性。尽管多因素认证和无密码登录技术正在普及，但传统的用户名和密码组合仍然是大多数Web应用的身份验证方式。文章从攻击者的角度分析了密码登录机制的潜在漏洞，包括暴力破解和用户名枚举等技术。文章指出，许多安全漏洞并非源于复杂的安全缺陷，而是由于一些简单的细节处理不当。文章还讨论了暴力破解的多种策略，如用户名猜测和密码猜测，以及用户名枚举漏洞如何降低破解难度。此外，文章还分析了防护机制的常见失效模式，如基于IP的速率限制、验证码的无效部署和账号锁定策略的滥用风险。最后，文章提到了HTTP基本认证的安全风险，强调了在Web开发中应重视这些安全问题。

    密码安全 身份验证 网络安全漏洞 攻击策略 防护机制 Web安全 多因素认证

    0x93 【SRC实战】一文玩转Minio存储桶漏洞挖掘

    渗透测试安全日记 2026-03-25T07:01:19 © 渗透测试安全日记

    Example Image


    本文详细介绍了如何进行Minio存储桶漏洞挖掘的实战过程。文章首先强调了Minio作为对象存储在业务中的重要性，以及安全漏洞可能带来的严重后果。接着，作者介绍了如何通过信息收集和工具使用来发现目标系统中的Minio存储桶。文章重点描述了如何利用特定方法阻断跳转到统一身份认证系统，并进入目标系统进行信息收集。随后，文章详细分析了几个常见的Minio漏洞，包括未授权列桶、任意文件上传/覆盖、任意文件删除、XSS攻击和敏感信息泄露等。最后，作者分享了一个用于检测敏感信息的工具，并展示了使用该工具的结果。整篇文章旨在帮助网络安全人员掌握Minio存储桶的漏洞挖掘技巧，以保障数据安全。

    网络安全 漏洞挖掘 Minio 实战案例 认证授权 传输加密 访问审计 权限管控 Web安全 渗透测试

    0x94 Upload Labs 第12关：利用 %00 截断修改保存路径实现上传绕过。

    武文学网安 2026-03-25T01:08:05 © 武文

    Example Image


    本文分析了Upload Labs第12关的网络安全挑战，该挑战通过利用%00截断修改保存路径来绕过文件上传的限制。文章首先介绍了%00截断的原理，包括它在不同层级（如URL编码、PHP字符串、C语言NULL）的表现形式和关键特性。接着，文章详细分析了第12关的源码，指出了关键漏洞点，即用户可控的保存路径参数没有过滤%00。通过%00截断，攻击者可以修改保存路径，例如将上传的图片文件shell.jpg的保存路径修改为shell.php%00.jpg，从而在服务器上生成shell.php文件。文章还讨论了实战操作步骤，包括准备一句话木马、修改保存路径和上传文件。最后，文章总结了该漏洞的关键原因和实际测试中的发现，强调了环境配置对漏洞利用的影响。

    文件上传漏洞 路径截断攻击 Web应用安全 安全编码实践 PHP安全 漏洞复现 环境配置影响

    0x95 【工具推荐】 - ZeroEye3.0自动化找白文件，提升免杀效率，实现降本增效

    零攻防 2026-03-24T23:03:37 © 生吃香菜

    Example Image


    ZeroEye3.0是一款用于自动化查找白文件的网络安全工具，主要用于扫描EXE文件的导入表，筛选出非系统DLL文件，并将符合条件的文件复制到特定的文件夹中，同时生成记录DLL信息的Infos.txt文件。该工具通过优化检测速度和减少对Python的依赖，提升了免杀效率。用户可以通过搭建虚拟机下载大量软件，使用ZeroEye3.0工具进行自动化扫描，以获取更多白文件。此外，该工具还提供了自定义Python脚本的功能，以便用户获取特定信息。ZeroEye3.0的更新包括抛弃Python脚本、使用C++遍历路径等，使其在免杀领域具有更高的实用价值。

    网络安全工具 自动化工具 免杀技术 白文件扫描 脚本语言 逆向工程 系统安全

    0x96 【免杀工具】ZeroEye5.0重大更新，新增.net劫持扫描及模板

    零攻防 2026-03-24T23:03:37 © 零攻防

    Example Image


    ZeroEye5.0版本带来了重大更新，新增了对.NET程序的扫描与劫持支持，包括提供劫持的config和dll模板。此外，还增加了对sys系统的简单扫描，枚举系统上可利用的程序，并引入了C++类重建引擎来反推类函数符号。递归DLL依赖链解析功能也被增强，以提升扫描结果的准确性。参数系统重构改进了参数的使用，并优化了输出格式。ZeroEye5.0支持原生PE扫描、.NET程序扫描、内核驱动扫描等，并提供了一系列参数选项以适应不同的扫描需求。用户可以通过命令行参数来分析PE文件、生成劫持模板、扫描指定目录下的可疑程序等。该工具的输出目录结构清晰，对于.NET程序和内核驱动，还提供了具体的分析流程和命名规则。

    网络安全工具 免杀技术 漏洞扫描 驱动程序安全 代码分析 软件逆向工程 开源项目

    0x97 四款文件上传绕过工具

    进击的HACK 2026-03-24T22:05:23

    Example Image


    本文介绍了四款用于文件上传漏洞检测和绕过的工具。首先是Upload_Auto_Fuzz，一个基于Burpsuite的插件，提供自动化Fuzz测试和500多条payload。其次是UploadRanger，一款专业的文件上传漏洞检测工具，支持多种绕过技术和自动化扫描，包括智能扫描、代理抓包、Repeater重放请求、Intruder自动化爆破等。Upload_Super_Fuzz_Gui是一款具有多样化Payload生成、灵活代理支持、直观用户界面的工具，支持多种文件类型测试。最后是upload-fuzz-dic-builder，一个用于生成Fuzz字典的工具，提供多种生成结果参考。这些工具旨在帮助网络安全学习者更好地理解和应对文件上传漏洞的检测与绕过。

    网络安全工具 文件上传漏洞 漏洞检测 自动化测试 渗透测试 Web安全

    0x98 Langflow 远程代码执行漏洞(CVE-2026-33017) 复现

    H4ll0 H4ck3r 2026-03-24T20:39:08 老谢

    Example Image


    本文详细介绍了Langflow远程代码执行漏洞（CVE-2026-33017）的复现过程。Langflow是一个开源的用于构建多代理和RAG应用程序的可视化框架，但其1.9.0之前版本存在安全漏洞。该漏洞源于/api/v1/build_public_tmp/{flow_id}/flow端点，当该端点接受攻击者控制的流程数据并传递给exec函数时，可能导致未经验证的远程代码执行。文章提供了影响版本、漏洞描述、漏洞确认以及漏洞利用的POC（Proof of Concept）代码。同时，文章还展示了如何使用FOFA进行空间测绘和漏洞扫描，以及对漏洞的严重性和影响范围的详细说明。

    远程代码执行（RCE） 开源框架漏洞 API安全漏洞 代码注入 软件版本影响 漏洞复现

    0x99 泛微 E-cology 10 未授权远程代码执行漏洞分析与安全风险解读

    星络安全实验室 2026-03-24T20:30:23 © zz

    Example Image


    本文详细分析了泛微 E-cology 10 存在的远程代码执行（RCE）漏洞。该漏洞允许攻击者在无需身份认证的情况下，通过向特定接口发送恶意请求，在目标服务器上执行任意代码。文章指出，一旦漏洞被利用，可能导致服务器被完全控制、系统权限接管、企业敏感数据泄露或篡改、系统植入后门程序以及内网环境被横向渗透等严重安全风险。建议用户关注官方安全公告，及时修复漏洞并进行安全加固，同时加强访问控制和日志审计机制，以降低潜在风险。文章还提供了漏洞利用的详细步骤和示例数据包，以帮助安全研究人员和用户更好地理解该漏洞的威胁。

    远程代码执行漏洞 未授权访问 企业级应用安全 数据泄露风险 内网渗透 安全加固建议

    0x9a PHP代码审计Skill 【0day杀手】

    安全社 2026-03-24T19:23:07 © 0xShe

    Example Image


    PHP Code Audit Skill 是一套面向PHP Web的白盒代码安全审计工具集合，涵盖了从路由枚举到报告汇总的全流程。它包括证据契约驱动、全量路由与参数、可控性与分支证明、结论强度约束等特点，适用于PHP项目的安全评估、上线前审计、修复验证与回归辅助。该工具集经过实战测试，对WordPress等开源项目效果显著，曾发现多个0day漏洞。工具集包含路由建模与追踪、漏洞审计、供应链与框架检测等功能，并以php-audit-pipeline作为主流水线入口。该工具集仅用于合法合规的安全测试与代码安全审计，禁止用于未授权目标。

    代码审计 安全漏洞 白盒测试 PHP安全 安全工具 开源项目 漏洞利用

    0x9b 威胁行为者以 MS-SQL 服务器为目标，部署 ICE 云扫描器恶意软件

    安全圈的那点事儿 2026-03-24T19:11:00 © 网络安全9527

    Example Image


    2026年，网络安全威胁行为者针对Microsoft SQL（MS-SQL）服务器发起了新一轮攻击，部署了一种名为ICE Cloud Client的恶意软件。该恶意软件旨在扫描易受攻击的MS-SQL服务器，并使用批量复制程序（BCP）工具进行恶意载荷的部署。攻击者通过暴力破解或字典攻击获取访问权限，随后执行侦察命令以了解受感染环境。此次攻击与Larva-26002威胁组织有关，该组织此前曾传播过Trigona和Mimic勒索软件。攻击者使用Go语言编写的ICE Cloud Client具有扫描器和暴力破解工具的功能，并通过命令与控制（C2）服务器接收指令。此外，攻击者还使用了Teramind等远程监控工具，并持续改进攻击策略。为了防范此类攻击，建议组织使用强密码、限制外部访问、实施防火墙规则，并保持终端安全解决方案更新。

    SQL注入攻击 恶意软件分析 勒索软件 远程访问工具 数据泄露风险 安全情报 漏洞利用 防御策略

    0x9c APT-C-13（沙虫）RDP后门攻击活动

    360威胁情报中心 2026-03-24T17:27:05 © 高级威胁研究院

    Example Image


    APT-C-13（沙虫），又名APT44、Seashell Blizzard、Voodoo Bear，是一个高级持续威胁（APT）组织，长期针对全球关键基础设施、能源系统、重工业及政府核心部门实施网络渗透与破坏。该组织攻击活动最早可追溯至2009年，旨在通过网络手段实现地缘政治目标，涵盖从情报收集、间谍活动到系统破坏的全频谱作战。近年来，APT-C-13在面临多国政府起诉和安全行业曝光的情况下，非但未缩减行动规模，反而展现出更强的技术进化能力，从早期的“瞬间致瘫”式破坏，转向更隐蔽、专业化的战术策略。近期，该组织利用深度迭代的模块化渗透框架Tambur/Sumbur/Kalambur系列，针对国防工业、关键基础设施及政府职能部门开展定向攻击，通过特洛伊化激活工具及盗版软件精准切入目标内网，并依托隐蔽的反向加密隧道建立长效驻留。攻击链分析显示，初始阶段利用伪装的ISO镜像载体，通过社会工程学手段诱导用户下载执行；后续阶段则通过Tambur、Kalambur、Sumbur、DemiMur等模块实现持久化控制、信息收集、基础设施构建、权限维持和防御规避。该组织在命名上展现出独特的斯拉夫语系特征，并利用信任链篡改、目录排除等手段绕过安全防御。综合分析，该系列攻击活动以中等置信度归属于APT-C-13组织，其攻击逻辑已完成深度进化，从初期的‘瞬时破坏性打击’演进为依托加密隧道及匿名网络构建的‘持续性寄生’。建议相关机构强化内网行为审计，提升对合法管理协议异常活动的监测能力，防范核心工业情报及战略数据泄露风险。

    APT 网络间谍活动 模块化攻击框架 持久化 隐蔽通道 信息收集 防御规避 信任链篡改 Windows 内核利用 社会工程学

    0x9d 孚盟云 upload.ashx deletefile SQL注入漏洞

    Nday Poc 2026-03-24T17:09:25 Superhero

    Example Image


    本文详细介绍了孚盟云平台中的一个重要安全漏洞，即upload.ashx deletefile接口存在的SQL注入漏洞。该漏洞允许攻击者通过SQL注入获取数据库中的敏感信息，如管理员密码和用户个人信息。在特定权限下，攻击者甚至可以向服务器写入木马，进一步获取服务器系统权限。文章提供了漏洞的概述、复现方法、自查工具以及修复建议，并提醒用户使用漏洞信息时需自行承担后果。同时，文章还介绍了Nday Poc内部圈子，该圈子专注于公开1day/Nday漏洞复现，并提供了资源内容和更新计划等信息。

    SQL注入漏洞 漏洞复现 服务器安全 数据库安全 孚盟云安全 安全漏洞自查 安全修复建议

    0x9e MAAD攻击框架：对M365和Azure AD进行简单、快速、高效的安全测试

    TtTeam 2026-03-24T16:54:36

    Example Image


    MAAD-AF是一款开源的云攻击工具，专门用于测试Microsoft 365和Azure AD环境的安全性。该工具通过模拟攻击者的行为，帮助安全从业人员识别M365/AzureAD云工具和服务中的配置漏洞。MAAD-AF提供了多种攻击模块，包括Azure AD、Exchange、团队、SharePoint和电子取证等模块，以及外部侦察和内部侦察模块。此外，还包括后门账户设置、可信网络修改、邮箱审核禁用、反钓鱼功能禁用、邮箱删除规则设置、数据泄露获取、用户邮箱访问权限、外部团队访问设置、电子发现利用、暴力破解MFA、操纵用户帐户删除和SharePoint利用等高级功能。MAAD-AF的交互式使用简单，几乎无需任何设置，适合进行快速、高效的安全测试。

    开源安全工具 云安全测试 Microsoft 365 安全 Azure AD 安全 配置漏洞利用 交互式攻击 攻击模块化 自动化测试 电子取证 内部侦察与外部侦察

    0x9f 红队作战规约：隐匿生存与攻防兵器库构建

    异空间安全 2026-03-24T16:23:37 异空间安全

    Example Image


    本文详细阐述了红队作战的规约，包括隐匿生存和攻防兵器库的构建。文章强调了在红蓝对抗中，红队成员需要如同APT威胁的影子，保持隐匿以实现目标。文章分为多个部分，包括环境隔离、社交与网络指纹切断、反蜜罐与浏览器指纹防护、跳板机/VPS安全与反制防御、身份信息全链路脱敏等。同时，文章介绍了红队核心武器全景图，包括命令与控制（C2）框架、资产测绘与内网穿透工具、凭据获取与域渗透工具等。此外，还讨论了链路隐匿、战术进化、善后清理以及免杀弹药等策略。最后，文章提供了一个战备工具箱清单，以帮助红队进行有效的网络安全攻击和防御。

    红队攻击 网络安全实战 攻防对抗 隐匿生存 攻击终端构建 攻防工具库 环境隔离 身份脱敏 蜜罐防御 免杀技术

    0xa0 记录一次edusrc某证书大学漏洞挖掘

    略懂安全的三秋 2026-03-24T16:23:20 © sakuya

    Example Image


    本文记录了作者sakuya在一次edusrc某证书大学漏洞挖掘的过程。作者首先尝试注册账号并成功注册职工账户，随后开始测试各个功能点，发现大部分功能点都无法使用，因为需要进行鉴权操作。在测试过程中，作者发现了一个未授权的路由'user/all'，这个路由没有进行鉴权操作，导致全站用户信息泄露。通过这个漏洞，作者成功获取了用户手机号和密码hash，并尝试爆破密码，成功登录系统。作者还发现了一个巨大的问题，即站内所有用户的手机号都可以登录系统，但密码实际上形同虚设。此外，作者还发现了几个越权点，例如编辑用户信息和同意/拒绝他人审核等接口可以通过修改参数中的user_id值进行越权操作。最后，作者指出，在进行网络安全测试时，需要时刻查看数据包的历史情况，以发现类似未授权访问和用户信息泄露这样的严重问题。

    漏洞挖掘 网络安全漏洞 身份认证 数据泄露 越权访问 鉴权机制 安全测试

    0xa1 Tasting the Exploit: CVE-2025-59287 WSUS

    Ots安全 2026-03-24T14:49:23

    Example Image


    本文详细分析了CVE-2025-59287漏洞，该漏洞影响Windows Server Update Services（WSUS）。文章首先介绍了WSUS的背景和作用，随后深入探讨了CVE-2025-59287的具体细节，包括漏洞的成因、影响范围和潜在的攻击向量。作者通过实际案例分析，展示了如何利用该漏洞进行远程代码执行攻击。文章还提供了漏洞的修复建议和预防措施，旨在帮助网络安全学习者更好地理解和防范此类漏洞。

    CVE Exploit WSUS Software Vulnerability Windows Security Update Management

    0xa2 【病毒分析】深度剖析粉丝投稿：海莲花APT超级间谍组织最新免杀样本（从白加黑落地到定制化RUST远控）

    solar应急响应团队 2026-03-24T14:45:39 © solarsec

    Example Image


    Solar安全运营响应团队分享了关于海莲花组织（APT32/Canvas Assassin）的攻击事件分析。海莲花是一个具有政治和经济情报收集意图的国家级APT组织，长期针对东亚地区，特别是中国的政府部门、国防军工、外交机构等。该组织擅长利用社会工程学结合“白加黑”技术进行攻击，将恶意代码隐匿于合法软件中，并配合多重反调试手段。本次分析的核心样本是一套由CloudAdapter.exe（伪装的Bandizip.exe）、ark.x64.dll（负责反调试和解密）和bdzsfx.x64.sfx（加密的二进制数据）组成的攻击组件。ark.x64.dll利用DLL搜索顺序劫持机制加载恶意代码，并包含复杂的反调试和反分析检测逻辑。解密后的核心Shellcode由Rust语言编写，使用KCP协议进行隐蔽通信。Solar团队建议企业加强终端行为监控、流量基线审计、内部白文件防滥用，并采取应急响应措施。文章还提到了Solar团队处理的其他勒索病毒案例，并强调了定期基线加固、补丁更新及数据备份的重要性。

    APT攻击 恶意软件分析 免杀技术 勒索病毒 应急响应 安全加固

    0xa3 Lua作为攻击载体的技术分析

    白帽子安全笔记2.0 2026-03-24T14:38:34 © 陆安予

    Example Image


    文章分析了近期网络安全领域中LUA脚本的使用频率增加的现象，指出攻击者正利用合法SaaS平台进行隐蔽通信，并将攻击方式从中心化部署转向去中心化。文章重点讨论了LuaJIT工具在恶意软件中的使用，包括其如何被用于加载和执行恶意载荷，以及如何通过伪装成合法程序和静态文件来规避传统杀毒软件的检测。文章还介绍了如何使用LuaJIT进行系统命令执行和GUI转换，并提到了Lua脚本的混淆技术及其反混淆方法。最后，文章提出了针对此类攻击的防御建议，如数据和工具分离，以及在虚拟机中运行操作以保护本地数据。文章强调，所涉及的技术仅限于合法授权的安全研究和渗透测试用途，并遵守相关法律法规。

    网络安全攻击 恶意软件分析 攻击技术 供应链攻击 去中心化C2 防御策略 LuaJIT

    0xa4 GeoServer WMS GetMap XML 外部实体注入漏洞（CVE-2025-58360）

    Ots安全 2026-03-24T14:33:11

    Example Image


    本文详细分析了GeoServer WMS GetMap XML外部实体注入漏洞（CVE-2025-58360）。GeoServer是一个开源地理空间服务器，用于发布和共享空间数据和地图服务。该漏洞存在于GeoServer的WMS GetMap端点，攻击者可以发送包含恶意XML和<!ENTITY>声明的POST请求，导致XML解析器访问本地文件系统路径或内部网络资源。漏洞无需身份验证即可利用，可能导致任意文件泄露或SSRF攻击。受影响的版本包括geoserver [2.26.0, 2.26.2)和[*, 2.25.6)。文章提供了漏洞详情、代码分析以及修复方法，并附带了概念验证（PoC）测试用例，帮助安全研究者理解和防范此漏洞。

    XXE漏洞 地理空间服务器 开源软件漏洞 文件泄露风险 远程代码执行 安全漏洞修复

    0xa5 在 Google Cloud 中执行远程命令并删除单个目录

    Ots安全 2026-03-24T14:33:11

    Example Image


    本文详细介绍了在Google Cloud VRP bugSWAT活动中发现的一个涉及Google Cloud Looker产品的远程命令执行漏洞。该漏洞源于Looker在删除目录时对目标目录验证的缺陷，导致攻击者可能误删包含代码仓库本身的目录。利用竞争条件，攻击者可以在Looker服务器上执行任意命令。文章深入分析了Looker的Git集成机制，特别是其使用原生Git命令行工具处理SSH配置的远程仓库时存在的安全问题。通过精心设计目录结构和利用FileUtils.rm_rf方法的内部机制，攻击者可以控制删除顺序，在.git目录被删除前执行Git命令，从而实现远程命令执行。此外，文章还揭示了Looker服务帐户权限配置错误可能导致权限提升，访问同一Kubernetes集群中的其他实例。谷歌云团队已修复了该远程命令执行漏洞和权限提升漏洞，强调了正确输入验证的重要性。

    远程命令执行 (Remote Command Execution) 竞争条件 (Race Condition) 输入验证缺陷 (Input Validation Defect) 权限提升 (Privilege Escalation) Web 应用安全 (Web Application Security) 漏洞分析 (Vulnerability Analysis) 恶意软件 (Malware) 云安全 (Cloud Security)

    0xa6 ComfyUI-Manager远程代码执行分析及概念验证

    Ots安全 2026-03-24T14:33:11

    Example Image


    ComfyUI 是一个开源的 AI 图像生成框架，其配套的扩展管理器 ComfyUI-Manager 存在安全漏洞，可能影响整个 ComfyUI 实例。受影响版本为 comfyui-manager [*, 3.38)。攻击前提是 ComfyUI 启动时需显式启用远程访问，且系统用户保护 API 在 ComfyUI < v0.3.76 版本中默认禁用。攻击者可通过 /userdata/{file} 端点上传并覆盖 /app/user/default/ComfyUI-Manager/config.ini 文件，降低 security_level 并启用 Manager API，最终通过 core.gitclone_install(url) 执行远程代码（RCE）。修复方案是引入系统用户保护 API 并将管理器数据目录移动到受保护的路径。概念验证攻击链包括覆盖 config.ini、降低安全级别、绕过权限检查、执行恶意 install.py 文件，最终实现 RCE。

    漏洞分析 恶意软件 远程代码执行 (RCE) 配置管理 身份验证机制缺失 不安全文件上传 开源软件安全 Web安全 攻击链

    0xa7 微软警告美国国税局网络钓鱼攻击29,000名用户，部署RMM恶意软件

    HackSee安全生活 2026-03-24T14:27:36

    Example Image


    微软近日警告称，美国国税局（IRS）遭遇了针对29,000名用户的网络钓鱼攻击，攻击者利用网络钓鱼即服务（PhaaS）平台部署了远程监控和管理工具（RMM）恶意软件。攻击者通过伪装成退款通知、工资单、归档提醒和税务专业人员请求等邮件，诱骗用户打开恶意附件、扫描二维码或点击可疑链接。微软指出，攻击者利用合法的远程监控工具如ConnectWise ScreenConnect、Datto和SimpleHelp等，以获取对受损设备的持久访问。攻击活动主要针对会计师和有权访问财务数据的专业人士，并涉及多个行业。微软建议组织实施双重身份验证、有条件的访问策略，并监控电子邮件和网站访问，以防止类似攻击。此外，攻击者还通过滥用Azure Monitor警报、伪造Google Meet和Zoom页面等方式进行攻击，并利用多个合法URL重写服务来隐藏恶意链接。

    网络钓鱼攻击 远程监控与管理工具攻击 财务数据窃取 税务信息滥用 凭证窃取 恶意软件部署 社会工程学 云服务滥用 多供应商链重定向 针对特定行业攻击

    0xa8 新型网络攻击InstallFix曝光：伪装CLI工具安装指令，诱导执行恶意命令

    嘶吼专业版 2026-03-24T14:03:16 胡金鱼

    Example Image


    新型网络攻击InstallFix被曝光，这是一种利用合法命令行工具（CLI）安装指令伪装的社工攻击手法。该攻击手段以安装合法命令行工具为名，诱导用户执行恶意指令。研究人员发现，攻击者通过克隆主流CLI工具的官方页面，投放恶意安装命令。由于安全模型仍然停留在‘信任域名’阶段，以及非技术人员开始使用面向开发者的工具，InstallFix可能演变为更大规模的安全威胁。攻击者通过谷歌广告推广这些伪造页面，诱导用户执行恶意命令，并投递Amatera窃密木马，窃取敏感数据。攻击具有较强的隐蔽性，因为恶意站点托管于正规平台，如Cloudflare Pages、Squarespace等。用户应从官方网站获取安装指令，避免点击谷歌搜索中的推广结果。

    网络钓鱼 恶意软件 社会工程学 点击劫持 代码执行漏洞 安全意识教育 恶意网站检测 云安全

    0xa9 Dell Wyse 管理套件：从业务逻辑缺陷到未授权远程代码执行

    幻泉之洲 2026-03-24T13:58:00

    Example Image


    本文详细分析了 Dell Wyse Management Suite (WMS) 私有云版本中的一条高风险漏洞链。攻击链从利用设备注册接口的空令牌默认接受漏洞开始，攻击者可以注册设备并获得合法的设备身份。随后，攻击者利用了隐藏在标准版代码中的 AD 导入接口（importADUsers、importADUserGroups、addRoleToADGroup），通过属性验证缺陷创建了一个拥有管理权限但密码未知的账户。为绕过登录壁垒，攻击者利用了密码重置功能的 AD 检查漏洞，或是在 Pro 版环境中绑定已入侵的域账户，从而获得实际的管理员登录权限。最后，攻击者利用管理员权限修改了文件仓库根路径，绕过路径过滤，上传 JSP WebShell 到 Tomcat 的 Web 根目录，实现了远程命令执行。整个攻击链展示了多个看似微小的漏洞如何被串联起来，最终导致无需身份验证即可获得系统级命令执行权限。该案例强调了在安全设计和研究中，不能轻视任何微小的异常或“不太可能”的场景，因为它们可能成为攻击者利用的“缺失拼图”，决定系统的最终强度。

    漏洞分析 权限提升 身份验证绕过 远程代码执行 (RCE) 逻辑漏洞 Web安全 配置弱点 软件供应链安全

    0xaa SCOM 征服行动：攻击 System Center Operations Manager（第 1 部分）

    securitainment 2026-03-24T13:37:37 Garrett Foster

    Example Image


    本文详细分析了 System Center Operations Manager (SCOM) 的安全漏洞，揭示了其存在的不安全默认配置，以及攻击者如何利用这些配置进行提权、窃取凭据，并最终全面接管整个管理组及其监控的基础设施。文章首先介绍了 SCOM 的基本概念和功能，接着详细阐述了攻击 SCOM 的多种路径，包括 Active Directory 侦察、客户端侦察、Web 管理控制台代码执行、管理组接管等。攻击者可以通过枚举 SCOM 环境中的角色、资源和账户，利用服务账户、RunAs 凭据、Web 管理控制台等功能进行攻击。文章还提供了一些防御建议，例如监控关键对象的访问、限制 RunAs 账户的作用范围、启用扩展身份验证保护等。最后，作者开源了 SCOMHound 和 SCOMHunter 工具，并呼吁防御者加强对 SCOM 的安全关注。

    SCOM Active Directory Privilege Escalation Credential Theft lateral movement Web Application Security Microsoft Products Defense in Depth Reverse Engineering Tooling

    0xab SCOM 命令与征服：攻击 System Center Operations Manager（第 2 部分）

    securitainment 2026-03-24T13:37:37 Matt Johnson

    Example Image


    本文详细分析了针对 System Center Operations Manager (SCOM) 的攻击方法，特别是如何获取和恢复 SCOM RunAs 凭据。作者首先介绍了 SCOM RunAs 凭据的概念及其在监控任务中的作用，说明这些凭据可能存储在 SCOM 管理服务器数据库和受管主机上。文章深入探讨了两种从受管主机恢复 RunAs 凭据的方法：通过注册表使用 DPAPI 解密和从 agent 策略文件中解密。此外，作者还介绍了如何从未注册到 SCOM 的主机上恢复 RunAs 凭据，包括通过证书注册和 Kerberos 认证两种方式。文章详细描述了注册流程、认证方式以及凭据分发过程，并提供了 SharpSCOM 工具用于自动化恢复 RunAs 凭据。最后，作者提出了针对这些攻击的缓解措施，如启用手动批准和仅通过更安全的设置分发 RunAs 凭据。

    SCOM 网络安全 凭证管理 攻击手法 防御措施 MITM Kerberos C# 逆向工程

    0xac 修改libflutter.so绕过flutter进行抓包

    柠檬赏金猎人 2026-03-24T12:18:31 © 柠檬赏金猎人

    Example Image


    本文提供了一份关于使用逆向工具Ghidra和Apktool对Android应用程序（APK）进行反编译、修改和重签名的详细步骤。首先，需要下载并启动Ghidra，该工具用于逆向分析。接着，使用Apktool反编译APK文件，以便访问其内部资源。在反编译后的文件中，找到名为libflutter.so的库文件，并使用Ghidra打开它。通过搜索字符串“ssl_x509”，定位到相关的逻辑代码，并修改其中的特定值以改变程序行为。修改完成后，将新的so文件替换到原APK的反编译目录中，或使用ADB命令直接替换设备上的原始文件。然后，使用Apktool重新打包APK，并使用uber-apk-signer工具进行签名。最后，可以使用Reqable或ProxyDroid等抓包工具进行网络请求的拦截和分析。需要注意的是，这些操作仅限于学习和交流目的，任何非法行为需自行承担后果。

    逆向工程 二进制分析 APK修改 代码注入/修改 签名伪造 抓包调试 移动安全 工具使用

    0xad Chamilo存在SQL注入漏洞（CNVD-2026-13257，CVE-2025-50190）

    网站安全说 2026-03-24T11:57:02 © 技术部

    Example Image


    Chamilo是一款广泛使用的开源学习管理系统，存在一个严重的SQL注入漏洞，编号为CNVD-2026-13257和CVE-2025-50190。该漏洞存在于index.php文件中，攻击者可以利用此漏洞执行非法SQL命令，从而窃取数据库中的敏感数据。该漏洞被评为高危级别，于2026年3月10日被国家信息安全漏洞共享平台公布。为了解决此漏洞，Chamilo的厂商已经发布了修复程序，建议用户及时更新。同时，文章还推荐了使用【护卫神·防入侵系统】的“注入防护”模块来增强安全性，该模块不仅能防护SQL注入漏洞，还能防护XSS跨站脚本攻击。文章详细介绍了如何配置该防护模块，包括开启防护、设置关键词和白名单等，以增强Chamilo系统的安全性。

    SQL注入漏洞 开源软件安全 教育机构安全 数据库安全 漏洞修复 网络安全防护

    0xae 第105天-Java安全 | Fastjson 不出网利用？三大利器在手，内网横行无忧！

    AlphaNet 2026-03-24T11:52:15 © Сяо Яо

    Example Image


    本文深入探讨了Fastjson在不出网环境下的安全利用问题。文章首先解释了不出网利用的概念，即在漏洞利用过程中不依赖目标服务器向攻击者控制的恶意服务器发起网络请求。接着，文章分析了Fastjson反序列化机制及其在不出网场景下的利用方式，强调了利用目标应用自身环境中的类和方法构造Gadget链的重要性。文章详细介绍了三种主流的不出网Gadget链：BCEL-Tomcat & Spring链、TemplatesImpl链和C3P0链，并提供了相应的Payload示例。最后，文章总结了不出网利用的核心要点，并鼓励读者在评论区分享自己的见解和知识。

    Java安全 Fastjson漏洞 内网渗透 Gadget链 反序列化攻击 漏洞利用技巧 网络安全研究 代码执行 漏洞防御

    0xaf langflow 命令执行 无回显小思路

    e0m安全屋 2026-03-24T11:23:57 © e0mlja

    Example Image


    本文主要探讨了一个在特定环境下利用langflow进行命令执行的技巧。文章指出，在Docker环境中，由于curl、wget、dis等命令不可用，且无法直接写文件到静态目录下，以及直接反弹shell会卡死进程，作者提出了一种通过Python的http服务进行命令执行的方法。该方法利用Python的urllib.request模块打开一个特定的HTTP请求，将命令执行的结果通过base64编码后发送到外部服务器。文章还提供了一段示例代码，展示了如何通过POST请求执行命令，并通过日志输出结果。此外，文章还附带了请求和响应的截图，展示了命令执行的细节和结果。

    命令执行漏洞 Docker安全 绕过安全限制 HTTP服务利用 内存马 API利用

    0xb0 DoIP (基于 IP 的诊断通信协议)分析与理解

    Sec朝阳 2026-03-24T10:41:49 © 朝阳

    Example Image


    DoIP（Diagnostic Communication over Internet Protocol）是一种基于IP网络的汽车诊断通信协议，旨在解决传统CAN总线在带宽、灵活性和远程访问方面的限制。DoIP通过将UDS报文封装在TCP/IP中，实现远程诊断操作，如故障排查和软件更新。其特点包括高带宽、灵活性（支持节点自动发现和多种设备交互）、安全性（支持加密和身份验证）以及自定义的诊断会话管理。DoIP不取代CAN，而是与其共存，通常用于车载信息娱乐和自动驾驶系统，而传统ECU可能仍使用CAN总线进行诊断。在OSI模型中，DoIP位于网络层和传输层。DoIP实体通过TCP套接字处理多个诊断设备连接，支持n+1个并发连接，其中n是并发会话数，+1用于监听新连接。外部诊断仪作为客户端，主动发起TCP连接至车辆上的TCP_DATA端口（通常为13400）。DoIP报文格式包括协议版本、反向协议版本、负载类型和负载长度等字段。负载类型涵盖首部否定响应码（如NACK）、车辆声明报文（识别车辆）、路由激活报文（通过网关路由报文）以及在线检测请求报文等。物理层可通过标准以太网或OBD接口连接，后者额外包含激活线用于远程唤醒。DoIP通过路由激活机制确保安全，并支持多种物理层选项。

    网络安全协议 远程访问安全 协议分析 安全机制 网络层协议 传输层协议 协议共存

    0xb1 泛微E-cology10存在远程代码执行漏洞 附POC

    北风漏洞复现文库 2026-03-24T09:58:06 © 安服仔

    Example Image


    本文介绍了泛微E-cology10存在的一个远程代码执行漏洞，该漏洞编号为QVD-2026-14149。泛微E-cology10是一款面向中大型组织的数智化协同运营平台，该漏洞允许攻击者无需认证即可通过特定接口发送恶意请求，从而在目标服务器上执行任意代码，可能导致敏感数据泄露或系统完全沦陷。文章中提供了漏洞的详细信息，包括影响版本、漏洞简介、漏洞复现的POC（Proof of Concept）以及修复建议。同时，文章也提醒读者不要利用文中提供的信息进行非法测试，并强调文章仅供学习用途。

    远程代码执行漏洞 企业级应用安全 漏洞利用 安全漏洞分析 安全修复建议

    0xb2 美国限制外国产路由器进口强化网络安全管控

    赛欧思安全研究实验室 2026-03-24T09:30:57 SOC

    Example Image


    本文报道了近期一系列网络安全事件和措施。首先，恶意软件VoidStealer利用Chrome调试器漏洞窃取主密钥，北卡罗来纳州音乐人承认通过流媒体平台进行欺诈，CrackArmor漏洞使1260万台Linux服务器面临风险，QNAP QVR Pro漏洞可能被远程攻击者利用，以及Worm劫持npm发布者账户进行攻击。此外，Crunchyroll数据泄露事件导致大量用户信息泄露，Oracle修复了Identity Manager中的一个关键漏洞。同时，美国联邦通信委员会禁止进口外国产消费级路由器，以应对潜在的网络安全风险。文章最后指出，这些事件反映出美国对网络基础设施安全的重视，并呼吁我国加强核心网络设备自主可控能力建设，以应对日益增强的技术和政策壁垒。

    恶意软件攻击 信息泄露 供应链攻击 漏洞利用 网络设备安全 政府政策 安全漏洞 数据安全

    0xb3 0140.隐藏的武器：我如何将批量任务转化为赏金

    Rsec 2026-03-24T09:13:04 © @0xuserm9

    Example Image


    本文详细介绍了网络安全领域中的一种重要漏洞——大规模赋值漏洞，该漏洞已被列入 OWASP API 安全 Top 10。文章指出，现代漏洞赏金领域已从简单的反射型 XSS 或 SQL 注入转向复杂的 API 后端业务逻辑。大规模赋值漏洞通常发生在开发者未明确过滤可更新字段的情况下，攻击者可以通过在请求体中传递恶意数据（如修改用户角色为管理员）来利用此漏洞。文章提供了一个 Node.js/Express 的示例代码，展示了如何因未使用允许列表而引入漏洞。作者分享了自己寻找隐藏参数的模糊测试方法，包括使用 GAP-Burp-Extension 构建自定义词表，并通过 Param Miner 对端点进行模糊测试。文章通过两个实际案例说明了该方法的有效性：第一个案例中，作者通过查找隐藏参数，成功泄露了百万用户的个人身份信息；第二个案例中，作者利用批量赋值漏洞结合 HTML 注入，成功修改了受 OAuth 保护的用户名，从而执行了 HTML 注入攻击。这些案例强调了深入挖掘和模糊测试对于发现和利用此类漏洞的重要性。

    批量赋值漏洞 API安全 Web安全 漏洞挖掘 直接对象引用 (IDOR) HTML注入 安全开发 渗透测试

    0xb4 一次意外的接口测试

    赤弋安全团队 2026-03-24T08:56:46 pippybear

    Example Image


    本文记录了一次授权渗透测试的经历。测试开始时发现目标网站的默认页面是404错误，但随后通过dirsearch工具发现了可访问的SOAP接口服务。作者使用SoapUI和APIKit插件来分析请求报文，并发现了一个注入漏洞。由于后端没有进行充分的过滤，作者直接使用了sqlmap工具进行SQL注入攻击，成功获取了敏感数据。文章中还提到了未授权访问的问题，并通过人肉搜索发现了多个可访问的接口，其中部分接口泄露了敏感数据。作者在文章的最后提醒读者不要利用这些技术从事非法测试，并强调了安全测试的合法性和责任问题。

    渗透测试 漏洞挖掘 SQL注入 信息泄露 安全漏洞 安全工具 安全分析 安全意识

    0xb5 云攻击检测：以TeamPCP攻击链为例

    云原生安全指北 2026-03-24T08:35:34 Dubito

    Example Image


    本文详细分析了 TeamPCP 云原生勒索软件攻击行动中的容器入侵与传播阶段，通过 Elastic Security Labs 的研究记录，模拟了攻击在实际 Kubernetes 环境中的推进方式，并展示了 Defend for Containers (D4C) 如何通过其遥测数据和预置检测规则处理入侵的各个阶段。文章涵盖了攻击的十个阶段，从通过 Shell 管道下载并执行脚本的初始访问，到利用 Kubernetes API 进行横向移动，再到通过 systemd 建立持久化，以及最终部署矿机程序进行获利。每个阶段都对应着 D4C 的特定检测规则，例如检测到通过 Shell 管道执行 Payload、服务账户命名空间读取、文件创建与执行等。文章强调 D4C 能够在容器与编排上下文中提供深度运行时可见性，帮助检测工程师识别结构化的攻击链。同时，文章也指出了检测工程的边界，即某些权限提升步骤需要结合 Kubernetes 审计日志遥测数据才能获得完整的可见性。最后，文章介绍了 Elastic 的 Attack Discovery 功能，该功能能够将分散的告警关联成连贯的攻击叙事，帮助分析师快速理解攻击者的行为和目标。

    容器安全 云原生安全 勒索软件 攻击链分析 检测工程 Kubernetes 审计 Attack Discovery 防御策略

    0xb6 进程操作技术（下）——进程注入与线程劫持

    安全分析与研究 2026-03-24T08:30:35 © pandazhengzheng

    Example Image


    本文深入探讨了进程操作技术，特别是进程注入、线程劫持和EarlyBird APC注入等关键技术。首先，文章介绍了进程注入的基本原理，即通过将恶意代码注入到正在运行的合法进程中，利用其权限和信誉来隐藏恶意行为。接着，详细描述了经典DLL注入的流程，包括打开目标进程、分配内存、写入DLL路径、获取LoadLibrary地址、创建远程线程和等待线程完成等步骤。文章还介绍了线程劫持技术，包括暂停目标线程、保存线程上下文、修改指令指针指向恶意代码以及恢复线程执行。此外，EarlyBird APC注入技术也被介绍，其原理是在进程的主线程中插入APC，使APC先于主程序执行。最后，文章通过一个实战案例分析，展示了经典DLL注入到explorer.exe的过程。

    进程注入 线程劫持 APC注入 恶意软件分析 红队工具 操作系统安全 安全漏洞利用

    0xb7 OpenClaw 在发布 npm 包时遗漏了 dist/control-ui/ 目录，导致升级后没有控制台了

    网安守护 2026-03-24T06:44:03 © 老兵

    Example Image


    本文讨论了开源项目OpenClaw在发布npm包时出现的一个严重错误，即遗漏了dist/control-ui/目录，这导致用户在升级后无法访问控制台。文章提供了临时修复方法，包括克隆源码仓库、安装依赖、构建UI、复制缺失目录到npm安装目录以及重启gateway。此外，文章还记录了最近24小时内对OpenClaw项目的恶意攻击情况，包括攻击次数和Top15的黑名单IP地址，并建议使用Fail2Ban来拦截IP攻击，以保护项目免受进一步的攻击。

    软件漏洞 依赖管理 系统安全 应急响应 安全最佳实践

    0xb8 武装你的浏览器器-Webpack_extract

    锐鉴安全 2026-03-24T06:30:40

    Example Image


    本文首先介绍了一个高校人脸采集系统的安全漏洞案例，指出该系统存储敏感信息，如身份证和人脸数据，存在潜在的安全风险。作者通过fuzz测试发现了一个注册账号的漏洞，并成功登录系统。接着，文章介绍了一款名为Webpack_extract的工具，该工具旨在帮助红队人员进行快速的信息收集，能够自动加载和分析Webpack异步加载的js文件，提取敏感信息，如身份证号、手机号、URL、token和邮箱等。工具支持Chrome浏览器，并在攻防、SRC挖掘场景中表现出色。文章还提供了工具的下载方式和一些使用技巧，以及如何通过扩展程序加载和使用该工具。最后，文章推荐了一些相关的资源和工具，以帮助网络安全学习者提高技能。

    Web安全 漏洞挖掘 信息收集 渗透测试 JavaScript安全 Webpack安全 红队工具 安全工具

    0xb9 SolarWinds Serv-U 的关键漏洞可导致服务器获得 root 访问权限

    犀牛安全 2026-03-24T06:22:57 Rhinoer

    Example Image


    SolarWinds公司近日发布了Serv-U软件的安全更新，修复了四个严重的远程代码执行漏洞。这些漏洞可能导致攻击者获得对未打补丁服务器的root访问权限。Serv-U是一款文件传输软件，支持FTP、FTPS、SFTP和HTTP/S等协议。其中，CVE-2025-40538是最严重的漏洞，允许攻击者以root或admin权限执行任意代码。尽管这些漏洞需要攻击者已拥有目标服务器的高级权限，但它们仍然构成了严重的安全风险。Shodan追踪到超过12,000台Serv-U服务器暴露在互联网上，这表明潜在的安全威胁不容忽视。SolarWinds Serv-U曾受到多个网络犯罪组织和国家支持的黑客组织的攻击，包括Clop团伙和微软追踪的DEV-0322组织。美国网络安全和基础设施安全局（CISA）正在追踪这些漏洞，并提醒用户尽快打补丁以防止潜在的数据泄露和勒索软件攻击。

    软件漏洞 远程代码执行 Root 访问 安全更新 FTP 软件 数据窃取 勒索软件 网络犯罪 国家安全

    0xba Laravel局部渗透的多重链追溯

    YMs0ra的安全漫路 2026-03-24T00:41:53 © YMsora

    Example Image


    本文分析了Laravel框架的潜在安全漏洞，重点关注了app目录和route目录下的代码。审计发现，许多接口需要进行权限验证，但并未进行严格的admin分离鉴权。在分析中，特别关注了updateAvatar函数，该函数虽然对文件路径进行了过滤，但将路径数据直接写入了user->avatar属性，存在路径穿越风险。getAvatar函数在每次请求时都返回相同的path，使得攻击者可以通过路径穿越读取文件。此外，create函数存在反序列化链，攻击者可以利用该漏洞伪造请求，执行任意命令。具体的攻击步骤包括：通过路径穿越读取.env文件获取APP_KEY，构建反序列化链并加密为Laravel token，通过vouchers/redeem接口触发漏洞，最终写入flag到可读目录。整个攻击过程展示了Laravel框架中反序列化和路径穿越漏洞的利用方法，提醒开发者注意相关安全措施。

    Laravel Framework Audit Authentication and Authorization File Upload Vulnerability Path Traversal Deserialization Vulnerability Remote Code Execution (RCE) LFI (Local File Inclusion) Insecure Deserialization Cryptographic Weakness Exploit Development

    0xbb Upload Labs 第11关：双写后缀绕过文件上传限制

    武文学网安 2026-03-23T23:56:36 © 武文学网安

    Example Image


    本文分析了网络安全学习平台Upload Labs中的第11关，该关卡涉及到一种名为“双写后缀绕过文件上传限制”的漏洞。文章首先介绍了该关卡的核心源码，并分析了开发者如何通过str_ireplace函数删除文件名中的危险字符串。接着，文章深入探讨了str_ireplace函数的“非递归替换”特性，以及如何利用这一特性通过构造特定的文件名来绕过文件上传限制。文章详细描述了漏洞产生的过程，包括文件名的替换过程和最终文件名的生成。最后，文章提供了一种最稳定的利用方式和实战操作步骤，并总结了这一关的核心利用思路。

    文件上传漏洞 过滤绕过 双写后缀攻击 Web安全 PHP安全 编码与解码

    0xbc 首个武器化HDMI-CEC协议的安卓电视盒僵尸网络

    黑鸟 2026-03-23T23:43:35

    Example Image


    本文详细介绍了名为CECbot的新型DDoS僵尸网络，该网络针对安卓电视盒进行攻击。CECbot由与Mirai僵尸网络同一运营者旗下运作，但两者基础设施共享且无代码重叠。CECbot使用原生安卓应用而非传统Mirai类ELF二进制文件构建，并采用高级加密技术保护其通信。该恶意软件能够武器化HDMI-CEC协议，让攻击者完全控制HDMI总线，包括控制电视的休眠功能。CECbot还具备内网测绘和侦察能力，可以通过自动化子网扫描和ARP关联映射来识别受害设备。此外，它内置了11种DDoS攻击方式，并支持HTTP/2和动态TLS。CECbot的传播依赖于暴露在公网的安卓设备ADB调试端口，并通过非认证AOSP设备预装的代理SDK来投放恶意程序。

    僵尸网络 安卓安全 HDMI-CEC协议 DDoS攻击 内网安全 加密通信 恶意软件分析 设备控制 固件安全 智能家居安全

    0xbd 一次基于Struts框架项目的代码审计

    sec0nd安全 2026-03-23T23:41:26 进击的HACK

    Example Image


    本文详细记录了一次针对基于Struts框架项目的代码审计过程。审计员在客户提供的纯内网环境中，利用社区版本的IDEA、Burpsuite和Yakit工具进行了黑盒与白盒审计。审计过程中，首先进行了漏洞扫描，尽管未发现历史漏洞，但发现了一个打印JSP源码的低危漏洞，并将其提升为中危。随后，通过IDEA社区版进行代码审计，发现项目依赖XML配置文件，并通过Yakit Fuzzing测试未授权漏洞，记录敏感数据。审计中还发现了任意文件下载漏洞，以及历史遗留问题，如登录接口绕过验证码、任意文件上传等。文章强调了古法代码审计的挑战和收获，并总结了项目中的安全问题。

    代码审计 Struts漏洞 漏洞扫描 未授权访问 历史遗留问题 安全审计 信息收集 安全测试

    0xbe 一次针对电商的钓鱼事件

    sec0nd安全 2026-03-23T23:41:26 Secu的矛与盾

    Example Image


    本文描述了一起针对电商平台的钓鱼攻击事件。一名电商店主在收到顾客发送的加密压缩包后，打开并执行了其中的文件，导致木马程序被安装并写入系统自启动项。攻击者随后利用店主的不在，通过控制其电脑在网店后台操作退款，导致店主损失大量资金。文章详细分析了攻击样本，包括SHA256哈希值、释放关联文件、主要逻辑流程等。样本通过复杂的文件释放和伪装自启动项来躲避安全软件的检测。文章还提供了使用安恒云沙箱进行样本分析的方法，并建议用户增强系统防护，如开启启动目录防护，以防类似攻击。

    钓鱼攻击 恶意软件分析 电商安全 沙箱分析 免杀技术 用户安全意识

    0xbf 【高危漏洞预警】PyTorch反序列化漏洞 (CVE-2026-4538)

    飓风网络安全 2026-03-23T23:12:04 jufeng

    Example Image


    本文报道了PyTorch 2.10.0版本中的一个高危漏洞（CVE-2026-4538），该漏洞存在于pt2 Loading Handler组件的未知函数中，可能导致反序列化攻击。攻击者需要获取本地访问权限，并使用低权限账户即可利用此漏洞。攻击路径通常涉及构造恶意的序列化数据，诱导系统使用存在漏洞的加载器进行处理。官方已发布修复版本，建议受影响用户立即升级至最新版本。此外，文章还提供了其他安全建议，包括限制文件来源、启用沙箱机制、加强输入验证和最小权限原则，以减少漏洞被利用的风险。

    漏洞预警 软件漏洞 反序列化漏洞 本地攻击 Python库安全 软件升级建议 安全最佳实践

    0xc0 泛微E-cology10存在远程代码执行漏洞(QVD-2026-14149) 附POC

    南风漏洞复现文库 2026-03-23T23:09:33 2026-3-23更新

    Example Image


    本文介绍了泛微E-cology10（简称E10）存在的一个远程代码执行漏洞（QVD-2026-14149）。E10是一个面向中大型组织的数智化协同运营平台，具备协同办公、流程管理、业务集成、知识管理、低代码开发等功能。该漏洞允许未经身份验证的远程攻击者通过特定接口发送恶意请求，从而在目标服务器上执行任意代码，进而获取服务器权限。文章中提供了CVE编号、影响版本、FOFA查询语句等信息。此外，文章还包含漏洞复现的POC及EXP，并提醒读者不要利用这些技术进行非法测试。文章最后提供了整改意见和往期漏洞回顾，旨在帮助网络安全学习者了解和防范此类漏洞。

    远程代码执行漏洞 企业级应用安全 漏洞复现 安全漏洞披露 安全工具 网络安全意识

    0xc1 JNDI注入-ldap篇

    梦想变成大黑客的小猫咪 2026-03-23T22:58:22 小猫咪

    Example Image


    本文详细分析了JNDI RMI注入的防御机制和攻击向量。核心防御逻辑位于RegistryContext的trustURLCodebase参数检查中，该参数默认为false。当Reference对象包含远程工厂类加载地址且trustURLCodebase未开启时，系统会抛出ConfigurationException异常以阻止潜在攻击。现代JDK版本默认关闭此信任，使得JNDI RMI注入payload失效。文章还展示了JNDI-LDAP服务器的搭建过程，包括服务器端使用InitialContext和Reference对象进行LDAP绑定，以及客户端通过RMI查找远程对象。深入分析了LdapCtx类的c_lookup方法，该方法在查找过程中通过decodeObject方法处理不同类型的对象，包括序列化对象、引用对象和动态对象构建。其中，序列化对象和引用对象涉及工厂类加载，存在安全风险。文章总结了不同对象类型的安全风险和典型用途，指出序列化对象和引用对象可能引发反序列化漏洞和JNDI注入。整个分析揭示了JNDI RMI和LDAP结合时可能存在的安全风险，以及现代JDK版本对默认信任行为的改进，为网络安全学习者提供了深入理解JNDI安全性的视角。

    JNDI注入 反序列化 远程代码执行 安全配置 LDAP服务器 RMI客户端 类加载器 安全防御

    0xc2 CSP绕过工具：cspbypass

    漏洞集萃 2026-03-23T22:25:40 © Pwn1

    Example Image


    本文介绍了一个名为cspbypass的CSP绕过工具，该工具旨在帮助网络安全学习者测试和绕过网站的Content Security Policy（CSP）。cspbypass工具具有智能解析功能，可以分析目标网站的CSP策略并识别潜在风险点。它还支持域名检索，允许用户输入特定域名来查看是否存在可绕过的接口。工具能够快速返回可用于绕过CSP策略的gadget、payload或endpoint，包括JSONP、callback和trusted-types等常见绕过路径。文章详细介绍了cspbypass的使用场景，如发现XSS漏洞但页面启用了严格的CSP策略时，如何使用该工具进行攻击。此外，文章还通过一个案例演示了如何利用Google的受信任接口绕过CSP限制。然而，文章也指出了cspbypass的局限性，如遇到Strict CSP时无法绕过，以及互联网巨头修复漏洞可能导致工具中的payload失效。

    CSP绕过 网络安全工具 XSS攻击 漏洞赏金计划 安全测试 Web安全

    0xc3 超实用Ai 智能分析 Web 指纹识别工具！NFinger 溯纹快速上手指南，一键识别 CMS / 框架 / 中间件！

    渗透测试 2026-03-23T21:47:24 © 渗透测试

    Example Image


    本文介绍了NFinger（溯纹），一款基于AI智能分析的Web应用指纹识别工具。NFinger具备高效性和可扩展性，支持多维度特征分析和AI智能解读，适用于网络安全审计、资产梳理和漏洞排查。它支持Windows、Linux、macOS全平台，操作便捷，新手也能快速上手。文章详细介绍了NFinger的核心亮点，包括AI智能加持、双端操作便捷、功能全覆盖、扫描效率高、结果灵活导出和数据安全可靠。此外，还提供了快速上手指南，包括获取工具、基础使用和AI分析功能。文章还解答了常见问题，并展示了项目结构，强调了NFinger在提高Web资产识别效率方面的优势。

    网络安全工具 AI技术 Web指纹识别 漏洞排查 资产梳理 跨平台兼容 报告生成 数据安全

    0xc4 逆向新思路：共生而非对抗，巧破libmsaoaidsec.so检测机制

    柠檬赏金猎人 2026-03-23T21:41:41

    Example Image


    本文介绍了一种创新的Android应用逆向与安全分析方法，用于绕过libmsaoaidsec.so库的检测机制。传统的绕过方法涉及复杂的底层函数Hook，而本文提出的方法通过改变对抗策略，从动态拦截转变为静态破坏。具体操作包括移除原始的libmsaoaidsec.so文件，触发运行时库生成，然后清空运行时库内容，而不是删除文件。这种方法避免了复杂的底层操作，同时保持了文件的存在，以满足App或系统的完整性检查。文章详细描述了在具备ADB调试权限的Android设备上执行的具体操作步骤，并强调了需要Root权限、文件清空而非删除的重要性，以及不同设备上目录路径可能存在的差异。此外，文章还提醒了法律与道德规范，强调技术仅限安全研究、学习及授权下的渗透测试使用。

    Android安全 逆向工程 Hook技术 动态分析 Root权限 安全研究 渗透测试

    0xc5 一次针对电商的钓鱼事件

    Secu的矛与盾 2026-03-23T20:08:27 © Secu的矛与盾

    Example Image


    本文记录了一起针对电商平台的钓鱼攻击事件。事件起因是一位电商店主在收到顾客发送的加密压缩包后，打开并执行了其中的文件，导致木马程序被植入电脑。该木马通过一系列复杂的操作，最终使店主在不知情的情况下同意了顾客的退款请求，导致店主损失了大量资金。文章详细分析了该样本的文件结构、行为特征以及沙箱分析结果，并提供了相应的防护建议。样本文件名为‘子欣设计0310刘总1.exe’，SHA256为‘c0713532a5e8457c04dd8d3c57fd5c62b6da2f119d4d6c7cfa72bef44c2024821’。文章强调了用户不应随意打开不明来源的文件，并建议使用安全软件的防护功能来防止类似攻击。

    钓鱼攻击 木马传播 电商安全 沙箱分析 恶意软件分析 安全防护建议

    0xc6 一次基于Struts框架项目的代码审计

    进击的HACK 2026-03-23T19:47:01 © 进击的HACK

    Example Image


    本文详细记录了一次针对基于Struts框架项目的代码审计过程。审计者在一个纯内网环境下，使用社区版本的IDEA、Burpsuite和Yakit工具进行黑盒和白盒测试。审计过程中，发现了一些历史漏洞，如未授权访问和任意文件下载等。此外，还揭示了项目中的历史遗留问题，如登录接口的验证码绕过、任意文件上传和废弃的SSO接口等。文章强调了古法代码审计的挑战和重要性，并分享了审计过程中的一些发现和经验。

    代码审计 漏洞挖掘 Struts框架 Web应用安全 安全测试 古法代码审计 安全漏洞 信息泄露 安全遗留问题

    0xc7 EDUSRC--985证书站从接口FUZZ到满分漏洞

    狗窝集团 2026-03-23T19:33:16 狗窝集团

    Example Image


    本文详细记录了一次针对985证书站点的漏洞挖掘过程。首先通过常规信息收集，发现登录界面存在两种方式：统一登录和手机号登录。作者尝试使用自己的手机号获取验证码，但提示账号未开通，因此放弃手机号字典攻击。通过观察登录界面和请求包，作者推测之前存在账号登录功能，但被统一登录接口替代。经过路径猜测和参数fuzz，最终找到账号密码登录接口，并发现存在弱口令，成功以超级管理员权限进入后台。在后台功能探索中，发现文件上传功能并确认其存储在云存储桶中，成功利用文件覆盖漏洞。此外，作者还发现了越权漏洞：通过修改applyerId参数，可以获取全站用户信息；利用普通用户权限调用管理员升级接口，实现垂直越权。最终，该站点被认定为存在管理员权限、存储桶未授权、多处越权和高危信息泄露漏洞，总分数值足以获得满分。作者将报告拆分提交，并分享了学习经验。

    Web漏洞挖掘 路径猜测与Fuzzing 弱口令攻击 文件上传漏洞 越权漏洞 信息泄露 权限提升 云存储安全 安全测试 移动应用安全（可能）

    0xc8 CISA警告：Craft CMS代码注入漏洞已被用于活跃的攻击中

    安全圈的那点事儿 2026-03-23T19:30:00 © 网络安全9527

    Example Image


    美国网络安全和基础设施安全局（CISA）警告称，Craft CMS存在一个严重代码注入漏洞（CVE-2025-32432），该漏洞已被用于活跃的攻击中。该漏洞允许未经身份验证的远程攻击者在受影响的服务器上执行任意代码，影响Craft CMS的3.x、4.x和5.x版本。CISA将其列为严重威胁，CVSS评分最高为10.0。漏洞的根本原因是对不受信任的输入处理不当。攻击者可以通过构造的URL请求注入恶意PHP有效载荷，利用Yii框架的行为小工具链攻击PhpManager组件。CISA已将此漏洞列入已知利用漏洞目录，并设定了补救期限。受影响的组织应立即升级到已修补的版本，并采取缓解措施。

    漏洞利用 代码注入 内容管理系统（CMS）安全 事件响应 CVSS评分 远程代码执行（RCE） 软件更新 勒索软件 后渗透活动 联邦民事行政部门

    0xc9 新品发布：无代理・0干扰，护IoT全域安全

    青藤云安全 2026-03-23T19:24:55

    Example Image


    本文介绍了以色列黑客利用伊朗交通摄像头漏洞的事件，并以此为例，指出工业控制系统（IoT）安全的重要性。文章分析了工业现场中PLC设备和IoT设备的漏洞可能引发的严重后果，如产线停摆、生产事故和安全追责。接着，文章提出了工业现场面临的四个核心安全难题，包括设备无代理、资产底数不清、OT特性难以兼顾和小设备成跳板。为了解决这些问题，文章介绍了深睿IOT安全探针盒子，该产品能够无代理、0干扰地实现全量工控IoT设备的全面防护。文章详细阐述了深睿IOT安全探针盒子的核心技术，如数据获取、资产画像、威胁判定和响应阻断，以及其核心功能，包括全域资产测绘、脆弱性与风险体检、高级威胁检测、自动化响应与管控以及等保合规与报表。最后，文章提到深睿IOT安全探针盒子适用于多个行业，并提供了产品试用计划。

    IoT安全 工控安全 漏洞利用 安全防护 网络安全意识 安全产品 威胁检测 安全合规

    0xca 致命分身 | FakeGit 伪造开源生态投毒活动追踪

    腾讯安全威胁情报中心 2026-03-23T18:22:44 © 腾讯安全威胁情报

    Example Image


    本文详细分析了腾讯安全科恩实验室发现的FakeGit攻击事件，揭示了攻击者为AI Agent时代量身定制的猎杀逻辑。攻击者利用GitHub平台，批量伪造了针对数据采集、AI应用开发、SaaS编排等领域的开源仓库矩阵，诱骗开发者下载并运行恶意代码。文章深入剖析了攻击链的各个环节，包括使用LuaJIT解释器进行混淆和加密，通过GitHub作为载荷中转站，以及利用Polygon主网的区块链技术隐藏C2通信。FakeGit攻击的核心在于利用了开发者对开源工具的信任以及AI Agent的自主搜索、安装、执行能力，从而绕过了人工审计这道最后的防线。文章还提到了攻击者针对不同开发者的不同攻击策略，以及腾讯公司针对OpenClaw安全风险推出的多场景安全防护矩阵。FakeGit攻击事件反映了AI时代网络安全面临的新的挑战，需要开发者提高警惕，加强安全意识，并采取相应的安全措施来保护自己的系统和数据安全。

    开源软件安全 AI Agent 安全 恶意软件即服务 (MaaS) GitHub 攻击 Process Hollowing 区块链 C2 LuaJIT 混淆 数据窃取

    0xcb 黑客在 Windows 系统下提权的主要手法

    泷羽Sec 2026-03-23T17:25:55 小智

    Example Image


    本文详细介绍了 Windows 系统下的提权逻辑和防御方法。文章首先阐述了 Windows 系统的权限分级，包括 Guest/普通用户、管理员、SYSTEM 和 TrustedInstaller，并定义了提权的本质是突破权限边界获取更高权限。接着，文章将提权手法分为两大类：内核级提权和本地错误配置提权。内核级提权包括缓冲区溢出、内核逻辑漏洞和第三方驱动漏洞，具有高风险和高威力的特点，通过利用系统或驱动漏洞直接获取 SYSTEM 权限。本地错误配置提权则占入侵提权的 90%，包括服务权限配置错误、注册表权限配置错误、计划任务权限配置错误、DLL 劫持、令牌窃取与进程注入以及第三方软件漏洞，这些手法利用系统或软件的配置缺陷实现提权。文章最后提出了通用的防御体系，强调遵循最小权限原则、及时修复漏洞、严谨的权限管控和审计、启用系统安全防护措施以及常态化安全监控，以从根源上抵御提权攻击。

    Windows提权 网络安全 漏洞利用 内核安全 本地安全配置 权限管理 攻击与防御 Windows系统安全 安全审计

    0xcc 攻防视角下的OpenClaw恶意插件生态深度复盘与防御

    补天平台 2026-03-23T16:41:22 © 熊未泯

    Example Image


    OpenClaw插件生态因大模型技术的应用而迅速发展，但其灵活的插件机制也带来了严重的安全隐患。官方插件市场ClawHub早期缺乏严格的代码审计和签名机制，导致恶意代码泛滥。ClawHavoc供应链攻击事件中，超过1200个恶意插件潜伏在成千上万个Agent实例中，窃取凭据、篡改记忆，甚至用于内网渗透。攻击链分为伪装潜入、静默窃取、记忆篡改和持久化控制四个阶段。恶意插件主要利用手法包括凭据窃取、远程控制、上下文持久化注入、环境投毒和社会工程学攻击。为防御此类攻击，应遵循最小权限原则，对sudo权限进行严格限制，通过Wrapper Script控制高危命令，在容器中隔离执行，监控关键文件变动，并强制人工审核敏感操作。

    AI安全 供应链攻击 插件安全 凭证窃取 远程控制 上下文注入 环境投毒 社会工程学 Typosquatting 安全防御

    0xcd 绕过 Tomcat 证书吊销：CVE-2026-24734 详解（含实战 PoC）

    安全狗的自我修养 2026-03-23T12:18:32 haidragon

    Example Image


    本文详细介绍了 Apache Tomcat Native 和 Apache Tomcat 中存在的 CVE-2026-24734 漏洞，该漏洞与 OCSP（在线证书状态协议）响应验证不完整有关。在双向 TLS（mTLS）场景中，Tomcat 本应对客户端证书进行 OCSP 检查，但存在未完整验证 OCSP 响应或未检查响应新鲜度的问题，导致攻击者可以绕过证书吊销检测。漏洞仅在使用 Tomcat Native（APR）和 OpenSSL TLS 时存在，默认 Java TLS（JSSE）不受影响。文章还提供了漏洞触发条件、PoC 演示、OCSP 实验环境搭建以及验证方法。通过 OpenSSL 生成服务器和客户端证书，配置 OCSP 地址，并启动 OCSP 服务器进行测试。正常请求时证书验证成功，而吊销证书后再次请求仍可能成功，从而验证漏洞存在。该漏洞属于典型的证书吊销绕过问题，在 mTLS 场景下风险较高。

    漏洞分析 证书安全 Tomcat OCSP mTLS 吊销绕过 OpenSSL 实战复现

    0xce 第103天-Java安全攻防：JNDI注入高版本JDK绕过Bypass深度解析

    AlphaNet 2026-03-23T11:43:51 © Сяо Яо

    Example Image


    本文深入探讨了Java安全领域中的经典漏洞JNDI注入在高版本JDK下的绕过方法。随着JDK版本的升级，远程类加载被严格限制，但JNDI注入并未消失，反而变得更加隐蔽和危险。文章首先分析了高版本JDK对RMI和LDAP的限制，指出远程类加载被禁用，但本地类利用仍然可能。接着，文章详细介绍了三种主要的Bypass姿势：远程Reference结合本地Gadget、本地Reference攻击以及LDAP结合反序列化链。此外，文章还推荐了相关的实战工具链和反序列化工具，并对防御建议进行了总结，包括禁用高危类、升级组件、关闭信任URL码基设置以及输入过滤等。最后，文章提出了进阶思考题，鼓励读者探索其他“天然存在于CLASSPATH的武器级Gadget”。

    Java安全 JNDI注入 远程代码执行 安全漏洞 Bypass技术 代码审计 中间件安全 反序列化漏洞 安全工具

    0xcf 孚盟云 upload.ashx showImgss SQL注入漏洞

    Nday Poc 2026-03-23T10:36:00 Superhero

    Example Image


    本文详细分析了孚盟云upload.ashx showImgss接口存在的SQL注入漏洞。该漏洞允许攻击者通过SQL注入获取数据库信息，如管理员密码和用户个人信息，甚至在高权限情况下向服务器写入木马，获取系统权限。文章提供了漏洞概述、复现步骤、自查工具以及修复建议。同时，介绍了Nday Poc内部圈子，该圈子专注于公开1day/Nday漏洞复现和工具链适配支持，提供了丰富的资源内容，包括POC详情、检测脚本和更新计划。文章强调了合法授权测试的重要性，并提醒用户在使用过程中注意风险。

    SQL注入漏洞 网络安全漏洞 数据库安全 漏洞复现 安全工具 安全修复 安全运维 安全测试 IIS漏洞

    0xd0 皮皮宋渗透日记 13｜RCE 远程命令 / 代码执行漏洞

    皮皮宋渗透笔记 2026-03-23T10:29:36 © 皮皮宋

    Example Image


    本文深入探讨了RCE（远程命令/代码执行）漏洞，这是Web应用中最致命的漏洞之一。文章首先介绍了RCE的基本概念，包括远程命令执行和远程代码执行两种类型，并详细阐述了其常见场景和本质。接着，文章分析了RCE漏洞的原理和危害，包括获取服务器权限、窃取敏感数据、写入恶意文件和破坏系统等。文章还列举了多个经典的真实RCE漏洞案例，如CVE-2021-3177、CVE-2021-21972等。随后，文章重点介绍了PHP中的RCE危险函数，并提供了靶场实战案例，如Pikachu RCE练习。此外，文章还讨论了RCE漏洞的挖掘方法，包括黑盒测试和白盒测试，以及经典Struts2 RCE漏洞的触发点和PoC。最后，文章提出了RCE漏洞的防护措施，包括禁用危险函数、严格输入过滤、参数化调用和最小权限运行等，旨在帮助读者全面了解RCE漏洞及其防护策略。

    Web安全 漏洞挖掘 代码执行 渗透测试 防御策略 安全漏洞 PHP安全 Java安全 安全框架

    0xd1 Docker Remote API未授权访问与逃逸RCE 分析

    晨星安全团队 2026-03-23T10:22:08 © 晨星安全团队

    Example Image


    本文分析了Docker Remote API未授权访问漏洞及其逃逸方式。Docker Remote API允许远程管理Docker容器、镜像等资源，但若未启用适当身份验证，攻击者可未经授权访问API并执行docker命令。该漏洞可能导致远程代码执行、数据窃取和主机系统完全控制。文章详细介绍了漏洞检测方法，包括访问Docker API版本信息，以及如何通过挂载宿主机目录、写入SSH公钥、利用crontab反弹shell、通过容器下载镜像文件等方式进行提权和逃逸。文章还提供了具体的操作步骤和示例代码，以及晨星安全团队的相关介绍和团队目标。

    容器安全 API安全 远程代码执行 权限提升 漏洞分析 安全漏洞 漏洞利用 防御措施

    0xd2 施耐德M580固件加密被破解，电力石化工控系统密钥硬编码暗门洞开

    数据安全合规交流部落 2026-03-23T10:15:09 数据安全研究组

    Example Image


    本文报道了施耐德M580工业控制器固件加密被破解的安全事件，揭示了密钥硬编码和协议漏洞等严重缺陷，对电力、石油、制造等关键基础设施构成威胁。同时，文章还分析了Langflow高危漏洞CVE-2026-33017，指出其披露后20小时即被武器化的情况。此外，文章还提到了针对开发者的招聘钓鱼攻击、PyTorch加载模型触发RCE、AI系统漏洞等问题，强调了网络安全面临的复杂性和多维度威胁。文章还涉及了酒店偷拍事件、虚假OpenClaw安装程序传播恶意软件、Windows提权漏洞RegPwn、PyTorch反序列化RCE漏洞等多个安全事件，并提供了相应的安全建议。

    固件安全 工业控制系统安全 密钥管理 协议漏洞 漏洞利用 关键基础设施保护 招聘安全 恶意软件 AI安全 漏洞披露 合规与监管 AI漏洞 网络安全态势

    0xd3 漏洞预警 | 深信服运维安全管理系统远程代码执行漏洞

    浅安安全 2026-03-23T07:50:52 浅安

    Example Image


    本文报道了深信服运维安全管理系统的一个高危漏洞，该漏洞类型为远程代码执行，攻击者可以通过未经身份验证的方式执行任意系统命令，从而获取服务器控制权限。该漏洞存在于深信服运维安全管理系统（OSM）版本低于3.0.12的系统中。目前，深信服已经发布了修复版本，建议用户及时升级以避免安全风险。深信服运维安全管理系统是一款集账号管理、身份认证、单点登录、资源授权、访问控制和操作审计为一体的运维安全审计产品，该漏洞的发现和公开对于网络安全领域是一个重要的预警。

    远程代码执行漏洞 安全管理系统漏洞 身份验证漏洞 高危漏洞 漏洞修复 运维安全 软件安全

    0xd4 漏洞预警 | TOTOLINK A7000R命令注入漏洞

    浅安安全 2026-03-23T07:50:52 浅安

    Example Image


    本文报道了TOTOLINK A7000R无线路由器存在的高危命令注入漏洞（CVE-2026-1623）。该漏洞存在于/cgi-bin/cstecgi.cgi接口，由于参数FileName未进行检验，攻击者可以远程执行任意命令。该漏洞影响了TOTOLINK A7000R 4.1cu.4154版本。目前，厂商已发布修复版本，建议用户升级至安全版本以避免安全风险。漏洞的详细信息和修复建议可在文章中找到。

    命令注入漏洞 路由器安全 CVE编号 远程代码执行 安全修复 无线路由器

    0xd5 【WebSocket漏洞漫谈-第五章】实战｜WebSocket-CSRF劫持漏洞从发现到利用，手把手教你复现

    升斗安全 2026-03-23T07:50:17 © 升斗安全XiuXiu

    Example Image


    本文详细描述了一次利用WebSocket缺少CSRF校验的漏洞挖掘实验。作者以一个带实时聊天功能的网站为目标，通过观察发现WebSocket握手请求没有CSRF Token，意味着连接请求可以被任意第三方网站伪造，形成跨站WebSocket劫持漏洞。作者构造了一个恶意HTML页面，自动向目标服务器发起WebSocket连接并发送READY命令拉取聊天记录，并通过fetch将记录发送到自己的服务器。实验成功验证了攻击逻辑后，作者将恶意链接发送给可能的受害者，成功“劫持”了受害者的聊天数据，甚至包括明文传输的登录凭证，从而直接登录了受害者的账户。文章总结了该漏洞的本质：WebSocket握手请求没有CSRF保护，且敏感操作无需二次验证。作者指出这种漏洞在实际中并不少见，开发人员往往忽略对WebSocket连接的身份校验，提醒读者注意WebSocket的安全性。

    WebSocket CSRF (跨站请求伪造) 漏洞挖掘 安全测试 Web安全 实时通信 权限提升 安全意识

    0xd6 【数据库】MongoDB等保核查命令大全｜亲测有效 + 持续更新

    汤池杂货铺 2026-03-23T04:21:36 © Fuyuanzi

    Example Image


    本文针对MongoDB数据库安全，从身份鉴别、访问控制、安全审计、入侵防范、可信验证和数据备份恢复六个方面进行了详细的检查方法和命令分析。在身份鉴别方面，检查了账号管理和密码复杂度，指出社区版MongoDB不支持密码复杂度策略，并建议通过访谈确认是否存在外部认证系统和双因素认证。访问控制部分分析了基于角色的访问控制（RBAC）模型，检查了默认账户、共享账户和最小权限原则，并详细解释了不同角色的权限配置。安全审计部分介绍了审计功能的配置和日志查看方法，并强调了审计记录的保护。入侵防范方面，建议限制终端接入并检查补丁更新。可信验证部分详细描述了数据传输和存储过程中的保密性与完整性措施，包括TLS传输加密、静态加密（WiredTiger）和客户端字段级加密（CSFLE）。数据备份恢复部分分析了本地备份的实现方式，并建议通过访谈确认异地备份和冗余配置的情况。本文提供了丰富的检查命令和配置文件路径，旨在帮助读者全面评估MongoDB数据库的安全性。

    MongoDB安全配置 身份鉴别 访问控制 安全审计 入侵防范 可信验证 数据备份恢复 安全最佳实践 MongoDB版本管理

    0xd7 攻击路径(12)：夜鹰APT窃密攻击

    OneMoreThink 2026-03-23T00:06:34 © 罗锦海

    Example Image


    本文详细复盘了名为“夜鹰”的APT组织的窃密攻击活动。攻击者利用Exchange服务器的零日漏洞，获取服务器权限和邮件数据，并通过内存木马远程读取邮件数据，持续窃取近一年。为了防止此类攻击，建议部署WAF、RASP、HIDS、EDR等安全产品，收敛内网访问权限，投放蜜罐，以及区分内外邮件服务。此外，攻击者通过伪装成NAS服务商群晖的域名进行DNS解析请求，建立后门木马计划任务，实现内网穿透。文章还指出，攻击者使用的木马为Chisel家族木马，经过修改后用于建立Scoks连接和内网穿透。尽管未发现横向移动的痕迹，但攻击活动的复杂性表明可能存在其他未被发现的入侵行为。

    APT攻击 零日漏洞 邮件服务器安全 内存木马 内网安全 威胁情报 主机入侵检测 应用安全 蜜罐技术 横向移动

    本站文章为人工采集，目的是为了方便更好的提供免费聚合服务，如有侵权请告知。具体请在留言告知，我们将清除对此公众号的监控，并清空相关文章。所有内容，均摘自于互联网，不得以任何方式将其用于商业目的。由于传播，利用此文所提供的信息而造成的任何直接或间接的后果和损失，均由使用者本人负责，本站以及文章作者不承担任何责任。