2026年 第14周 微信公众号精选安全技术文章总览

    洞见网安 2026-4-6

    0x1 工程化实战思维在蓝队技战术中的应用 二

    蔚谛 2026-04-12T23:29:47 © 蔚永强

    Example Image


    红蓝对抗是一种模拟真实攻击者行为的网络安全演练，旨在检验蓝队的安全防御体系有效性，发现并修复安全漏洞。红蓝对抗分为准备、实施、复盘三个阶段。准备阶段明确目标、范围、评判标准和注意事项；实施阶段红队模拟攻击，蓝队实时监测、分析、响应和溯源；复盘阶段总结经验，定位问题，优化策略。红队目标是通过隐蔽、不可预测的方式突破蓝队防御，蓝队目标是以最小业务影响和最高阻断效率保护网络资产。红蓝对抗按范围可分为单点、局部和全域对抗；按周期可分为短期和长期对抗。典型场景包括金融行业的钓鱼攻击、能源行业的工控协议攻击和政务行业的云系统渗透。蓝队在网络安全防御中承担监测、分析、响应、溯源的核心职责，构建了威胁情报、漏洞管理、应急响应等核心技战术模块。蓝队技战术实施受技术、人员和流程三大因素制约。当前蓝队面临攻击手段智能化、隐蔽化带来的监测挑战，传统防御模式的碎片化问题影响响应效率，以及大规模网络环境下资源调配和协同难题。

    网络安全 红蓝对抗 蓝队技战术 网络安全防御 攻击手段 防御挑战 威胁情报 漏洞管理 应急响应

    0x2 信息安全体系之部署架构安全

    安全道 2026-04-12T22:54:19 © 我是刘庆华

    Example Image


    本文深入探讨了信息安全体系中的部署架构安全设计，从外部通信加密、网络层和应用层访问控制等方面展开。文章强调了通信加密的重要性，并详细介绍了TLS协议的版本选择、加密套件集和数字证书的使用。此外，文章还讨论了网络层（3层）和应用层（7层）的访问控制策略，包括IP白名单机制、账户网络层风险控制和API认证授权等。最后，文章提醒设计者和评审者注意系统设计中可能遗漏的风险点，并强调了熟悉业务场景、细心细致和多问多思考的重要性。

    部署架构安全 通信加密 网络层安全 应用层安全 安全设计原则 安全评审 安全意识 DDoS攻击防护

    0x3 红队快速扫描js文件检查工具——JSAPIscan

    风铃Sec 2026-04-12T22:23:15

    Example Image


    JSAPIscan是一款基于Go语言开发的JavaScript文件分析和接口扫描工具，专为从JavaScript文件中提取API接口信息而设计，适用于安全研究场景。其核心功能包括自动API提取、支持Webpack、Vue、React等主流前端框架的JS文件解析、多线程扫描、安全检测未授权访问漏洞、自动生成CSV格式的详细日志、灵活扫描（单URL、批量URL、自动探测）以及自动存储扫描结果到res/目录下。用户可以通过基础用法扫描单个或批量URL，并通过高级用法开启自动接口探测、携带参数进行测试、配合POC检测等。工具提供了多种参数供用户自定义扫描行为，如设置线程数、深度、代理、自定义匹配字段等。扫描结果会保存在res/目录下的时间戳文件夹中，包括目标URL文本文件、API扫描CSV报告、发现内容汇总、参数信息和漏洞URL文件。JSAPIscan的版本更新持续增加新功能，如v0.29.3新增代理设置和自定义匹配字段功能，v0.29增加了简单SQL注入检测和路径优化，v0.28添加了关键字查找和HTML输出格式，v0.27添加了图片hash、title显示和路径匹配优化，v0.6则优化了Webpack支持。

    Web安全 API安全 前端安全 安全工具 漏洞扫描 安全研究

    0x4 【工业控制系统网络安全系列课程】第2课-工业控制系统的网络安全风险-过程控制漏洞利用（四）真实案例分析

    老付话安全 2026-04-12T20:20:45 © 老付话安全

    Example Image


    本文详细分析了工业控制系统网络安全中的过程控制层漏洞类型、利用方式及实际影响。文章以四个著名的工控攻击事件为例，包括Stuxnet、Havex、Industroyer/CrashOverride和Triton/Trisis，阐述了这些攻击事件的技术细节、攻击过程、影响以及防御思路。文章还介绍了实验室环境中的模拟攻击案例，如通过Metasploit攻击模拟PLC、使用PLC-Blaster修改设备逻辑以及模拟传感器数据欺骗。此外，文章强调了供应链安全、OPC服务器暴露风险、变电站自动化系统安全以及功能安全与信息安全交织的重要性，并提出了相应的防御措施。

    工业控制系统安全 网络安全风险 漏洞利用 攻击案例 防御策略 实验室演示 Metasploit PLC攻击 传感器数据欺骗 安全培训

    0x5 浅析文件上传之配置文件利用

    正在思考ing 2026-04-12T14:35:07 浪漫土狗

    Example Image


    本文详细介绍了Apache服务器配置文件利用的相关知识，重点讲解了.htaccess和.user.ini文件的作用、原理及利用方法。文章首先介绍了.htaccess文件作为分布式配置文件的作用，包括URL重写、认证、访问控制等，并提到了SetHandler和AddType指令用于文件类型解析，以及文件包含、源码泄露等利用方式。接着，文章深入探讨了mod_rewrite模块的工作原理，包括规则匹配、条件判断、变量和函数的使用，以及条件表达式在CTF赛题中的应用。最后，文章介绍了.user.ini文件的作用和利用方法，如通过文件包含和日志文件写入实现代码执行。文章内容丰富，实例详实，对于网络安全学习者理解配置文件利用具有重要意义。

    Web安全 服务器配置 文件包含漏洞 .htaccess .user.ini Apache配置 mod_rewrite Webshell CTF 源码泄露

    0x6 一次针对\"固若金汤\"的 OAuth redirect_uri 的攻破之旅

    赛博知识驿站 2026-04-12T14:30:37 Voorivex

    Example Image


    本文详细介绍了Voorivex近期在一家知名大厂主站上发现的一键账户接管漏洞。文章首先介绍了OAuth认证流程和单点登录（SSO）的概念，随后深入分析了OAuth中redirect_uri的安全关键性。指出攻击者可以通过操控redirect_uri来截获授权码，进而获取访问权限和接管账户。文章重点描述了Voorivex如何通过URL解析器的策略转变和双重解码漏洞，成功绕过了严格的redirect_uri校验。同时，文章也指出了在服务端URL解码行为和安全校验函数之间存在的不一致性，导致双重编码攻击得以成功。最后，文章强调了安全系统不应被视为完全不可突破，而是需要深入探索和不断改进。

    OAuth 安全漏洞 身份认证系统 漏洞挖掘 安全测试 双解码漏洞 URL 解析攻击 跨站请求伪造（CSRF） 安全最佳实践

    0x7 CTF 选手必藏：ZipCracker 更新了，一次打通 ZIP 伪加密、字典爆破、CRC 碰撞与已知明文攻击

    Hx0极客圈 2026-04-12T11:50:10 © asaotomo

    Example Image


    本文介绍了开源的ZIP密码破解工具ZipCracker，该工具由Hx0战队开发，旨在简化ZIP文件破解过程。ZipCracker支持多种破解方式，包括伪加密识别与修复、字典攻击、掩码攻击、CRC32碰撞和已知明文攻击，并且内置了6000+常用密码字典。它能够自动调整线程数量以兼顾速度和稳定性，并支持对传统ZIP加密和AES ZIP进行解密尝试。ZipCracker通过识别ZIP题的不同特征，为用户提供了更合适的处理路径，从而减少破解过程中的繁琐操作。文章还介绍了ZipCracker的快速开始方法、常见用法、常见问题以及环境变量的设置，帮助用户更好地使用该工具。此外，ZipCracker已上线ClawHub技能中心，可通过自然语言在OpenClaw中调用，进一步提升CTF和安全自查的效率。

    ZIP 文件破解 CTF 比赛 密码破解 ZipCracker 工具 伪加密识别 字典攻击 掩码攻击 CRC32 碰撞 已知明文攻击 安全测试

    0x8 CPUID官网遭入侵,多款常用硬件工具被捆绑木马

    二进制空间安全 2026-04-12T08:16:04 © suntiger

    Example Image


    2026年4月9日至10日，CPUID官方网站遭到入侵，导致其提供的多款硬件工具下载受到影响。恶意软件包cpu-z_2.19-en.zip将合法的CPU-Z可执行文件与恶意CRYPTBASE.dll捆绑，利用Windows DLL搜索顺序漏洞进行DLL侧加载实现代码执行。攻击者通过软件重打包攻击，添加恶意DLL文件后重新打包进行分发。攻击可能通过Google Ads、钓鱼网站或仿冒门户网站传播。攻击流程涉及多阶段感染链，包括解码shellcode、加载加密的Payload、绕过DNS监控、下载后门、利用Powershell加载器和内存中C#编译等。恶意软件使用了Cloudflare的DNS解析器进行规避，并通过TLS证书加密通信。检测恶意程序的YARA规则也已提供，以帮助安全研究者识别该恶意软件。

    网站入侵 恶意软件捆绑 DLL侧加载 软件重打包攻击 恶意广告投放 SEO攻击 仿冒网站 多阶段感染链 shellcode 反射式PE加载 DNS绕过 C2通信 持久化攻击 Windows系统漏洞 YARA检测规则

    0x9 用于与 Velora 去中心化交易所 (DEX) 交互的Velora（原名 ParaSwap）SDK版本 9.4.1 已被入侵并安装恶意软件

    暗镜 2026-04-12T06:01:09 © cmalware

    Example Image


    Velora（原名 ParaSwap）的9.4.1版本SDK被发现了供应链攻击，恶意软件通过npm包安装时执行远程shell脚本，使攻击者能够在安装了该软件包的任何系统上执行任意代码。分析发现，只有9.4.1版本存在漏洞，而开发版本则未受影响。恶意代码从命令与控制服务器下载，并在系统上执行操作，如加密货币钱包被盗、私钥泄露、环境变量采集等。攻击者利用了构建流程的漏洞，并未入侵源代码库。Velora已发布修复版本9.4.2，并建议用户更新到该版本或更高版本，以避免安全风险。

    供应链攻击 恶意软件 Node.js npm包安全 加密货币安全 安全漏洞 安全响应 网络监控 代码审计

    0xa 【APK / IPA 安装包获取及静态分析实战】

    电子物证 2026-04-12T00:01:13 凌风

    Example Image


    本文详细介绍了Android应用程序包（APK）和iPhone应用程序包（IPA）的获取及静态分析实战。首先介绍了APK和IPA的基本概念和获取方式，包括通过二维码下载、浏览器开发者工具抓包获取下载链接等。接着，文章重点讲解了APK静态分析的方法和工具，如jadx、Visual Studio Code等，分析了如何获取基础信息、权限、网址IP、签名等关键信息。此外，还介绍了如何识别恶意应用程序，通过搜索关键函数和权限使用场景来判断程序的安全性。文章还涉及了APP打包公司的识别和调证，以及如何通过分析AndroidManifest.xml文件来获取应用的关键信息。最后，提醒读者在使用相关工具和方法时需遵守法律法规及道德准则。

    移动应用安全 Android安全 iOS安全 代码审计 逆向工程 网络安全工具 漏洞分析

    0xb Adobe正式官宣Reader漏洞已被在野利用，打开PDF可执行任意代码

    黑鸟 2026-04-11T23:30:39 © 已卸载Adobe的

    Example Image


    Adobe近期发布安全更新，修复了影响Windows和macOS平台的Adobe Acrobat和Reader的高危漏洞CVE-2026-34621。该漏洞允许攻击者在用户打开恶意PDF文档时执行任意代码，无需任何额外用户交互。Adobe Reader版本24.001.30356、26.001.21367及更早版本受影响。攻击者通过修改JavaScript对象原型属性（原型污染）的方式利用此漏洞，可能导致任意代码执行。Adobe已发布最高级别安全预警，要求所有用户在72小时内安装更新。此次漏洞利用表明，利用Adobe PDF文档发动攻击是网络安全威胁中的一种常见手段，特别是针对Adobe Reader的0day漏洞利用，已经从2025年12月开始被威胁行为者利用。

    漏洞利用 软件安全更新 零日漏洞 JavaScript漏洞 任意代码执行 社会工程学 操作系统安全 安全预警

    0xc LeakDetector：红队信息收集阶段的自动化利器

    泷羽Sec-Norsea 2026-04-11T21:31:00 © cbbzx12

    Example Image


    LeakDetector是一款专为红队渗透测试人员设计的信息泄露检测工具，它结合了Bing搜索引擎的高级Dork语法和Playwright浏览器自动化技术。该工具能够自动搜寻因配置错误、运维疏忽或系统漏洞而暴露的敏感信息。LeakDetector内置智能抗反爬机制和深度内容分析引擎，能够从海量搜索结果中筛选出高价值目标，如客户通讯录、身份证批量数据、API密钥、数据库配置等。它还能一键生成带截图和风险等级的可视化审计报告。工具具备多维度Dork侦察策略、智能浏览器引擎、深度内容分析与提取等功能，并支持高性能并发架构。LeakDetector适用于授权的安全测试、漏洞挖掘和企业内部安全审计，严禁用于非法入侵、数据窃取或未经授权的恶意攻击。

    红队工具 信息收集 网络安全审计 自动化渗透测试 搜索引擎利用 数据泄露检测 Web安全 安全工具

    0xd windows rookit防护-Kernel Hook 1.5

    不止Sec 2026-04-11T21:27:07 © joe1sn

    Example Image


    本文详细介绍了Windows内核驱动加载的方法，包括使用服务控制管理器（SCM）加载驱动和手动映射SYS文件。首先，文章解释了使用SCM通过命令行加载驱动的步骤，以及手动加载驱动的过程，涉及PE文件格式解析和内核映射。接着，文章深入探讨了PatchGuard的作用和检测机制，以及KVAS（Kernel Virtual Address Shadow）保护的出现原因和实现方式，包括如何在Intel CPU上关闭/开启KVAS保护。随后，文章详细阐述了完整的SSDT（系统服务描述符表）Hook方法，包括寻找合适的内存位置编写trampoline跳转到新函数。最后，文章讨论了在不同CPU架构下如何枚举Shadow SSDT，包括从KiSystemCall64和KiSystemCall64Shadow开始，寻找KeServiceDescriptorTable或KeServiceDescriptorTableShadow，以及如何Hook NtOpenFile函数。整个过程涉及内核结构、内存管理、中断描述符表和全局描述符表的深入理解，以及汇编语言和逆向工程的技能。

    内核编程 驱动加载 SSDT Hook Shadow SSDT PatchGuard KVAS 内核安全 逆向工程

    0xe 【工业控制系统网络安全系列课程】第2课-工业控制系统的网络安全风险-过程控制漏洞利用（三）漏洞利用技术详解

    老付话安全 2026-04-11T20:26:32 © 老付话安全

    Example Image


    工控安全 协议攻击 漏洞分析 PLC 攻击 固件攻击 防御策略 安全风险

    0xf 谷歌推出设备绑定式 Chrome 会话，以防 Cookie 被盗

    安全圈的那点事儿 2026-04-11T19:16:00 © 网络安全9527

    Example Image


    谷歌在Chrome 146版本中推出了设备绑定式Chrome会话（DBSC），旨在防止会话劫持，这是攻击者入侵用户帐户的主要手段之一。该功能利用硬件安全模块，如Windows上的TPM或Apple设备上的安全隔离区，生成唯一的公钥/私钥对，私钥无法从设备中导出。DBSC要求网站使用有效期短的cookie，Chrome必须不断证明持有私钥才能刷新cookie。如果cookie被窃取，由于缺乏物理硬件密钥，凭据会迅速失效。该功能不仅提供了严格的安全控制，还确保了用户隐私，不会追踪用户在不同网站上的活动，且仅共享证明设备所有权的必要数据。谷歌与W3C合作，将其作为开放标准，并计划扩展DBSC以保护企业身份和单点登录环境。

    浏览器安全 会话劫持 身份验证 硬件安全 隐私保护 Web标准 企业安全

    0x10 瞻博网络默认凭据漏洞导致未授权完全访问

    网安百色 2026-04-11T18:31:11

    Example Image


    瞻博网络近日发布安全警告，指出其Support Insights（JSI）虚拟轻量级收集器（vLWC）存在高危漏洞CVE-2026-33784，CVSS评分9.8。该漏洞源于默认密码设置问题，攻击者无需身份验证即可完全控制受影响设备。受影响版本为所有3.0.94之前的vLWC软件版本。瞻博建议升级到3.0.94或更高版本，或通过JSI Shell手动修改默认密码。该漏洞易于利用，安全团队需高度重视。

    默认密码漏洞 未授权访问 高危漏洞 设备安全 安全升级 网络安全策略

    0x11 GitLab修复多个可导致拒绝服务和代码注入攻击的漏洞

    网安百色 2026-04-11T18:31:11

    Example Image


    GitLab近日发布了紧急安全更新，针对社区版（CE）和企业版（EE）的18.10.3、18.9.5和18.8.9版本，修复了可能导致拒绝服务（DoS）攻击和代码注入攻击的高危漏洞。这些更新修复了包括CVE-2026-5173、CVE-2026-1092和CVE-2025-12664在内的三个严重漏洞，其中CVE-2026-5173允许经过身份验证的攻击者通过WebSocket连接执行非预期的服务器端命令，CVE-2026-1092和CVE-2025-12664则可能导致服务器过载或拒绝服务。此外，还修复了多个中等严重性漏洞，如CVE-2026-1516可能导致代码质量报告中注入恶意代码，CVE-2026-1403可能导致文件导入过程中服务器崩溃等。GitLab建议所有自托管系统的管理员立即升级至最新版本，以确保安全。

    GitLab 漏洞 拒绝服务攻击 代码注入攻击 安全更新 Websocket 安全 Terraform 安全 GraphQL 安全 权限控制 信息泄露 系统稳定性

    0x12 AI路由漏洞可被利用注入恶意代码并窃取敏感数据

    FreeBuf 2026-04-11T18:03:49

    Example Image


    本文探讨了AI路由漏洞在网络安全中的严重性。AI Agent生态系统中的第三方API路由成为攻击者的新目标，他们可以悄无声息地劫持工具调用、清空加密货币钱包，并大规模窃取敏感凭证。研究发现，LLM API路由位于AI Agent客户端与上游模型供应商之间，存在危险且无防护的信任边界。攻击者可以通过恶意路由注入恶意代码，甚至清空以太坊私钥。研究团队通过购买和收集路由，发现多个路由存在注入恶意代码和窃取凭证的行为。此外，即使是表面良性的路由也可能被污染。文章还提出了三种缓解措施，包括故障关闭策略门、响应端异常筛查和只追加透明日志。研究团队建议，在供应商实施响应完整性机制前，开发者应将每个中介视为潜在对手，并实施分层客户端防御。

    AI安全 API安全 中间人攻击 恶意代码注入 数据泄露 加密完整性验证 供应链攻击 防御策略

    0x13 Polaris-Obfuscator中AliasAccess简要分析-反混淆

    看雪学苑 2026-04-11T18:00:10 Taardisaa

    Example Image


    AliasAccess pass 是一种数据流混淆技术，其核心思路是将函数中的局部变量（alloca）隐藏在随机生成的结构体中，并通过多跳间接指针链来访问这些变量，而非直接引用。该混淆过程分为七个阶段：收集对齐小于等于8的AllocaInst，构造TransST结构，随机分桶AllocaInst，构造Raw Node和Transit Node，形成有向无环图（DAG），改写use-site，最后清理原始Alloca Inst。混淆效果通过在结构体内混杂真假字段、字段位置随机以及多跳指针链实现，有效增加了逆向分析的难度。然而，在O2/O3优化级别下，AliasAccess的效果可能被削弱，需要配合其他反优化手段。反混淆方案分为定位、求解和Patch三个阶段，通过识别Getter函数、定位被混淆的数据访问点、Chain-walk求解最终rbp相对偏移，并对Getter call和deref指令进行Patch，最终恢复直接rbp相对寻址。文章还分析了AliasAccess在O1+优化级别下存在的bug，即被混淆的alloca作为PHI操作数时会导致崩溃，并提出了修复方案。总体而言，AliasAccess pass提供了一种有效的数据流混淆方法，但需要结合其他技术以增强混淆效果，并在实现时注意潜在的问题。

    代码混淆 数据流混淆 反混淆技术 LLVM 二进制分析 优化问题

    0x14 JWT认证漏洞实战解析

    洞悉安全团队 2026-04-11T17:21:04 © 洞悉安全团队

    Example Image


    本文详细介绍了JSON Web Token（JWT）的原理、常见漏洞及防御方法。JWT是一种常用的身份验证方式，由Header、Payload和Signature三部分组成，用于在服务器和客户端之间传递用户身份信息。然而，JWT的安全依赖于正确的配置和验证。常见的漏洞包括未验证签名、未验证JWT标头和密钥暴力破解。未验证签名时，攻击者可以修改Payload内容以获取更高权限；未验证JWT标头可能导致服务器跳过签名验证；密钥暴力破解则利用弱密钥伪造合法JWT。为了防御这些漏洞，服务器必须验证JWT的Signature，严格限制签名算法，使用复杂且定期更换的密钥，避免在Payload中存储敏感信息，并缩短JWT的有效期。理解JWT的原理和漏洞对于渗透测试者和开发者都至关重要，可以帮助测试者发现并利用漏洞，也可以帮助开发者避免配置错误带来的安全风险。

    JWT 身份验证 Web安全 安全漏洞 HMAC-SHA256 RSA 密钥管理 Base64编码 渗透测试 安全防御

    0x15 【红队】一款高度自动化的智能渗透测试系统

    贝雷帽SEC 2026-04-11T17:14:54 vegetableou

    Example Image


    本文介绍了一款高度自动化的智能渗透测试系统，该系统旨在实现对安卓设备的无人值守安全评估。系统集成了情报收集、智能决策与多向量攻击能力，能够自动对目标网络进行深度探测，并智能选择最优攻击路径。系统支持多种攻击链，包括智能决策引擎、钓鱼攻击、APK深度伪装、文件上传攻击、SQL注入等。文章详细介绍了系统的功能模块、使用方法、前置要求以及如何在Docker环境中部署和运行。此外，还提供了详细的步骤指南，包括初始化配置、目标扫描、钓鱼攻击、会话管理、文件上传攻击和SQL注入等操作。该系统适用于网络安全学习和研究，但需遵守法律法规，不得用于非法活动。

    渗透测试 红队工具 自动化安全测试 Android安全 社会工程学 Docker化部署 集成工具

    0x16 群友靶机之Gameshell4

    MS02423 2026-04-11T16:50:36 © MS02423

    Example Image


    这篇文章详细记录了Sublarge佬的Gameshell4靶机的渗透测试过程。首先通过信息收集阶段，使用nmap扫描发现靶机开放了22, 79, 80端口。其中79端口提供finger服务，用于获取远程用户信息；80端口是一个包含登录页面的sudoku游戏。通过gobuster工具扫描目录，发现了一个sudoku目录。接着，文章描述了如何通过查看网页源代码获取到加密的用户名admin，并使用john工具结合rockyou字典解密出密码babylove32。然后，尝试使用解密出的用户名和密码登录finger服务和sudoku游戏页面，发现finger服务可以成功登录并获取shell。在sudoku游戏页面，利用ai编写自动化脚本完成游戏，最终获得密码SUDOKUISMAGIC。使用hydra工具对用户名xcm进行密码爆破，成功获取用户名和密码。接着，发现sdk用户可以无密码执行特定命令，利用这一特性编写脚本以sdk用户身份执行命令。最后，通过执行/usr/local/bin/livescreen命令提权成功，获取root权限并获取root.txt文件，完成靶机渗透测试。整个过程涉及端口扫描、目录扫描、密码破解、服务利用、权限提升等多个网络安全技术点。

    信息收集 密码破解 SSH渗透 Web渗透 密码复用 权限提升 sudo提权 社会工程学

    0x17 Nginx曝新漏洞，特定配置下可实现任意文件读写

    微步在线研究响应中心 2026-04-11T16:45:57 © 微步情报局

    Example Image


    Nginx Web服务器近日曝出一个新的安全漏洞（CVE-2026-27654），该漏洞由ngx_http_dav_module模块的缓冲区溢出引起。该漏洞在特定配置下，如使用alias指令映射本地目录，并开启COPY/MOVE方法，可被攻击者利用进行任意文件读写。尽管该漏洞依赖特殊配置，可能影响范围有限，但由于相关利用脚本已公开，微步情报局建议用户自查Nginx配置，并采取官方发布的修复方案。受影响版本包括开源版和商业版的不同分支，官方已发布修复补丁。

    Web服务器漏洞 Nginx安全漏洞 缓冲区溢出 文件操作漏洞 WebDAV模块漏洞 远程攻击 漏洞利用条件复杂 风险等级：中风险

    0x18 【威胁情报】APT28 PRISMEX恶意软件零日利用样本深度分析（2026.4.9）

    Ots安全 2026-04-11T14:23:53

    Example Image


    本文详细分析了APT28组织近期使用的PRISMEX恶意软件套件。PRISMEX恶意软件最早可追溯至2025年9月，针对乌克兰及北约盟国关键机构实施定向攻击。该恶意软件利用了零日漏洞，并通过隐写术隐藏载荷，采用COM劫持持久化技术。攻击者通过钓鱼邮件投递恶意Excel文件，利用VBA宏触发攻击。PRISMEX恶意软件具备间谍和破坏双重属性，能够窃取敏感数据并擦除文件，可能导致供应链中断和关键基础设施可用性下降。文章提供了IOC（指标）汇总和防御建议，包括修补高危补丁、监控端点检测、网络层封锁可疑流量以及用户侧安全措施。

    APT攻击 恶意软件分析 零日漏洞 钓鱼攻击 隐写术 持久化技术 C2通信 供应链攻击 关键基础设施安全 威胁情报

    0x19 Claude 编写了一个完整的 FreeBSD 远程内核 RCE 漏洞，并利用了 Root Shell（CVE-2026-4747）

    Ots安全 2026-04-11T14:23:53

    Example Image


    本文详细介绍了网络安全学习者Claude成功编写并利用CVE-2026-4747漏洞的过程。Claude在2026年3月26日FreeBSD发布漏洞公告后，仅用时约8小时就开发出了漏洞利用程序，成功获取了root shell。文章中详细描述了Claude所面临的六个关键问题，包括实验环境搭建、多包传输策略、线程退出方式、偏移量调试、内核到用户空间转换以及硬件断点错误处理。此外，文章还强调了漏洞利用开发过程中对操作系统内部机制的理解、ROP链的编写、内存布局管理、调试技巧以及灵活应对问题的能力。

    FreeBSD 漏洞 远程代码执行 内核漏洞 Root Shell 漏洞利用开发 安全漏洞分析 网络安全工具 模糊测试 操作系统安全

    0x1a 一些提示词注入技巧

    Security for AI 2026-04-11T14:12:05 © 林寒

    Example Image


    本文详细介绍了多种提示词注入技巧，旨在帮助网络安全学习者了解如何通过不同的方法绕过安全机制。文章首先讨论了将文件名作为指令的方法，例如通过设置特定的文件名来执行命令。接着，介绍了通过修改文件扩展名来注入提示词的技术，以及如何通过图像注入来绕过安全检测。文章还涉及了HTTP请求日志分析和SSH登录来源地分析中的干扰技巧，以及如何利用DNS外带泄露信息。此外，介绍了Ascii走私和PDF注入的方法，并提供了相关工具和示例。最后，文章提供了一个关于如何使用豆包AI系统提示词的示例，以及如何通过文本生成、富文本注入和指令覆盖等技术进行注入攻击的详细说明。

    网络安全攻击 信息泄露 系统漏洞利用 恶意软件分析 防御策略 人工智能安全

    0x1b Linux 系统权限维持之 SSH 后门

    智榜样网络安全学习中心 2026-04-11T14:00:14 © 小智

    Example Image


    本文详细介绍了在红队实战中如何搭建、隐蔽化改造和加固SSH密钥后门，以及蓝队如何规避和检测这类后门。文章首先概述了SSH密钥认证的原理和实验环境，然后详细步骤地讲解了如何为SSH服务生成密钥对，并将公钥写入靶机的授权密钥文件中。接着，文章提出了优化技巧，如使用追加模式写入公钥和修改注释内容。为了提升隐蔽性和持久性，文章还介绍了如何锁定公钥文件防删除、植入非默认路径的授权密钥文件、批量给用户植入后门以及设置后门自动恢复机制。最后，文章分享了蓝队规避技巧和检测防御方案，如指定IP登录豁免日志记录、使用非标准SSH端口、公钥配置强制命令限制、跳板机转发登录等。文章强调了权限最小化、操作无痕化、多路径冗余、流量伪装和合规操作等核心心法，旨在帮助测试人员在合规范围内完成权限维持操作，并理解对应的防护逻辑。

    SSH 密钥后门 红队 蓝队 权限维持 隐蔽性 Linux 安全加固 攻防演练 文件权限

    0x1c 【高级持续威胁(APT)】BlackCat组织利用合法白程序侧加载投递Stealer分析

    深信服千里目安全技术中心 2026-04-11T13:33:20 深瞻情报实验室

    Example Image


    深信服深瞻情报实验室近期捕获了一起利用合法白程序M9OLUM4P.exe实施的恶意活动，攻击者“Black Cat”团伙采用DLL侧加载技术，将恶意侧加载模块伪装成合法的libcef.dll并放置在同级目录下，绕过安全产品检测。攻击者通过伪造Notepad++等常用软件的安装包，利用搜索引擎关键词广告散播污染压缩文件，实施水坑攻击和供应链攻击。恶意样本采用多层RC4加密混淆保护核心攻击载荷，并在内存中进行反射加载执行。攻击模块会执行键盘记录、窃取剪切板数据以及浏览器用户数据等窃密操作，并连接xumeno.com和sbido.com等恶意域名实施数据外发。攻击流程包括初始访问、载荷投递、恶意执行和持久化等阶段。恶意模块通过劫持合法程序的DLL加载机制，解密并反射加载核心载荷，实现隐蔽执行。样本采用多层级的持久化策略，包括注册表自启动项、环境变量劫持和Windows服务等方式，确保长期驻留。C2通信模块从注册表读取加密的C2地址，或直接连接恶意域名，发送窃取的敏感信息。该攻击活动归因于“黑猫”黑产团伙，该团伙以窃密远控为主要目标，近期通过搜索引擎SEO技术推广恶意程序，导致大量主机被控。防御建议包括加强系统白名单审查、隔离已知恶意网络C2等。

    恶意软件 侧加载攻击 供应链攻击 水坑攻击 反射加载 无文件攻击 窃密活动 持久化 C2 通信 加密与混淆 黑猫团伙

    0x1d 从公告到入侵不足十小时：Marimo Python Notebook 预授权 RCE 事件研判

    独眼情报 2026-04-11T13:23:01 © 🅼🅰🆈

    Example Image


    2026年4月8日，Marimo开源Python Notebook项目发布安全公告GHSA-2679-6mx9-h9xc，披露编号CVE-2026-39987的关键预授权远程代码执行（RCE）漏洞，CVSS v4.0评分9.3。该漏洞无需凭证或社会工程，仅一条WebSocket连接即可获得目标root shell。公告发布后9小时41分钟即被首次利用，从shell建立到凭证窃取耗时不足3分钟，攻击者高度聚焦于.env文件和SSH密钥。攻击者行为表现为脚本化PoC验证+人工跟进，初步判断为具备基本武器化能力和云凭据变现意识的个人或小型团队。该事件凸显漏洞武器化速度加速趋势，即使无PoC、无CVE编号、目标知名度低，武器化时间也压缩至不足10小时，暴露出安全公告设计本身可能成为攻击工具、WebSocket终端提供持久交互访问、Notebook类工具是凭证聚合点等结构性问题。与近期同类事件对比，攻击者已全面覆盖漏洞公告订阅源。防御建议包括立即升级、轮换凭证、检查访问日志，中期加固需盘点部署情况、实施流量监控，结构性改进则要将GitHub Security Advisory源纳入监控。

    漏洞分析 远程代码执行 (RCE) WebSocket 安全 事件溯源 威胁情报 防御建议 零日漏洞 凭证窃取 软件安全

    0x1e Burp-Labs靶场通关WP-(g0dxing)-第一章(预三章完结)

    Xudde-Sec 2026-04-11T11:23:36 © Xudde

    Example Image


    burp-labs靶场是一个用于学习使用burpsuite进行网络安全测试的教育项目，分为基础篇、中级篇、高级篇和专家篇，难度逐渐递增。基础篇主要教授使用burpsuite对登录框进行暴力破解登录账户，包括密码爆破、响应过滤、用户名枚举和高级过滤等技术。中级篇在此基础上增加了POST攻击、中文响应、重定向处理、Base64编码和MD5加密等挑战。高级篇则涉及更复杂的攻击场景，如双参数攻击、前缀处理、时间戳验证、JSON格式、Base64+JSON、JSON+MD5以及复杂编码等。靶场通过设置不同的登录成功和失败响应，要求学习者使用burpsuite的Intruder、Pitchfork、WebFuzzer等模块，结合各种过滤和编码技术，找出正确的用户名和密码。整个靶场旨在帮助学习者掌握burpsuite的基本操作和高级应用，提高网络安全测试技能，并强调仅用于教育目的和授权测试，不可用于非法用途。

    Burp Suite 暴力破解 Web安全 密码破解 网络渗透测试 Web安全靶场 参数注入 哈希攻击 编码技术 认证测试

    0x1f PHP入门完全指南：从零开始，一文搞定PHP基础！

    夜幕讲安全 2026-04-11T10:56:47 夜幕讲安全

    Example Image


    本文是一篇关于PHP入门学习的技术分享文章，详细介绍了PHP的基本概念、工作原理、环境搭建、基本语法、数据类型、运算符、流程控制、数组和函数等知识点。文章首先介绍了PHP作为一种广泛使用的开源服务器端脚本语言，特别适用于Web开发，并解释了其工作原理即在服务器端执行代码生成HTML内容后发送到客户端浏览器。接着，文章建议使用PHPStudy集成工具搭建开发环境，并推荐VSCode作为开发工具。在语法部分，文章详细讲解了PHP文件的创建、代码格式、注释、输出语句、变量、命名规范、数据类型（字符串、整数、浮点数、布尔型、对象、空值）、运算符（算术、赋值、递增递减、比较、逻辑）、流程控制语句（if/else、switch、for、while、do-while、foreach）以及数组（创建、读取、获取长度、遍历）和函数（定义、语法、要素、示例）。最后，文章介绍了PHP的文件管理功能，包括打开、写入、读取和删除文件等操作，并总结了全文的核心知识点。

    Web安全 编程语言安全 安全开发 Web开发基础 脚本语言安全

    0x20 【转载】免杀手法大总结(入门)

    隐雾安全 2026-04-11T10:01:58

    Example Image


    这篇文章主要介绍了如何进行免杀技术，内容涵盖了静态绕过和动态内存行为绕过两个方面。静态绕过部分详细讲解了添加图标、添加签名、降低熵值、敏感WinAPI替换、bin文件替换等方法，并提供了相应的代码示例。动态内存行为绕过部分则介绍了内存中的加解密、UUID内存加解密、远程分段加载shellcode、windows异常处理、内存权限的波动修改和syscall等技术，同样提供了代码示例。文章还讨论了反沙箱安全，包括延时执行、检测微信、传参检测和文件检测等方法。最后，文章介绍了shellcode注入技术，包括远程线程注入dll和突破Session 0隔离注入系统进程。整篇文章内容丰富，对于网络安全学习者来说是一个很好的学习资料。

    网络安全 免杀技术 静态查杀 动态查杀 反沙箱 shellcode注入 系统调用

    0x21 Linux应急响应脚本--Ashro_linux

    一个努力的学渣 2026-04-11T10:00:40 © 一个努力的学渣

    Example Image


    本文介绍了一个名为Ashro_linux的Linux应急响应综合工具，该工具用于网络安全学术研究和应急响应。该工具必须以root权限运行，并提供多种功能，包括收集IP地址信息、查看登录用户、检查系统账户和权限、检测系统进程、分析CPU和内存使用率、检查系统文件权限变更、收集历史命令、分析系统启动项和定时任务、检查文件变更、分析系统日志等。此外，该工具还具备检测后门、分析可疑内容、检测防火墙配置等功能。工具运行后，会生成多个结果文件，包括检查命令篡改的结果、高危结果、执行过程日志、可执行文件后门检查结果等。该工具还提供了一些常用命令和技巧，以及与Whoamifuck项目脚本的自定义命令配置检测参数。使用该工具可以帮助安全人员进行快速的系统安全评估和应急响应。

    应急响应 安全工具 系统安全 日志分析 后门检测 文件完整性 入侵检测 安全审计

    0x22 CVE-2026-4747：一个FreeBSD内核高危漏洞的利用复盘

    幻泉之洲 2026-04-11T10:00:00

    Example Image


    本文详细分析了CVE-2026-4747漏洞，这是一个FreeBSD内核中的高危漏洞，位于kgssapi.ko模块。该漏洞允许攻击者通过RPCSEC_GSS认证发送畸形数据包，远程执行内核代码并获取root权限。文章深入探讨了漏洞成因、绕过限制的难点，并复盘了从认证到代码执行的全过程。漏洞源于栈缓冲区溢出，攻击需要网络可达的NFS服务和有效的Kerberos票据。文章还介绍了漏洞修复方案、栈内存布局、溢出路径、攻击条件、利用挑战和核心技巧。此外，还讨论了如何通过ROP链执行任意代码、写入shellcode以及内核线程的变身之旅。文章强调了及时更新系统补丁的重要性，并提供了漏洞验证复现的步骤和关键配置信息。

    操作系统漏洞 内核安全 栈溢出 远程代码执行 Kerberos认证 安全研究 FreeBSD 安全补丁 逆向工程

    0x23 工具分享-Ligolo-MP-内网穿透、端口转发-169

    六边形攻防安全 2026-04-11T08:48:28 F0ne

    Example Image


    Ligolo-MP 是 Ligolo-ng 的高级版本，采用客户端-服务器架构，支持多人模式下的并发隧道操作，并提供简洁的 GUI 界面。该工具无需在命令行创建接口或添加路由，所有操作均可在图形化界面完成。Ligolo-MP 包括 Ligolo-mp-server、Ligolo-client 和 Agent 三部分，其中 server 用于生成 agent、添加路由、端口转发和用户管理，client 用于多人模式控制 server，agent 则用于建立隧道。工具支持单人模式和多人模式，多人模式下多个攻击者可共享一个 server，通过独立的 VPN 隧道连接 server。安装方面，用户需下载匹配系统架构的程序，并通过指定参数配置 server。功能上，Ligolo-MP 支持生成 agent、添加路由实现内网穿透和本地端口转发、添加端口转发实现反弹 shell 或文件传输等。文章还提供了典型案例演示，包括本地端口转发、内网穿透和端口转发获取反弹 shell，并测试了该工具在 Windows Defender、火绒终端安全和 360 安全卫士下的表现。

    网络安全工具 端口转发 网络隧道 渗透测试 代理 免杀 VPN

    0x24 真实环境-顽固挖矿病毒如何处理(从应急-溯源-反打)

    只会看监控的实习生 2026-04-11T08:02:19 B10SS0MS

    Example Image


    该文章详细描述了一个网络安全学习者因在公网部署了空口令的Redis靶场而被攻击的应急响应过程。攻击者利用Redis未授权访问漏洞入侵机器，并修改了crontab任务来执行恶意脚本。恶意脚本首先会暂停相关进程，删除相关文件，并重启服务器。接着，它会通过修改/etc/ld.so.preload文件来隐藏恶意进程，使top命令无法正常显示CPU使用情况。通过分析恶意脚本，发现它会在系统中添加计划任务，下载并执行挖矿程序，并修改相关文件权限以防止被删除。此外，恶意脚本还会写入公钥，进行横向扫描，并清理相关日志。应急响应过程中，学习者在确定攻击类型后，通过重启服务器、修改文件属性、删除恶意脚本和计划任务、清除公钥和日志等方式，成功遏制了攻击。最后，通过分析恶意脚本中的特征，定位到攻击者所属的组织，并发现该组织可能来自德国。

    网络安全应急响应 挖矿病毒 恶意软件分析 Linux 安全配置 攻击溯源 Redis 安全 进程隐藏

    0x25 一键提取 API 与敏感信息：隐藏接口挖掘利器

    0x八月 2026-04-10T23:11:21 © 0x八月

    Example Image


    本文介绍了一款名为LoveJS的浏览器安全插件，该插件支持Chrome、Firefox和Edge三大平台，旨在帮助前端安全研究员和渗透测试工程师提高接口测试和漏洞挖掘的效率。LoveJS能够自动提取页面和JavaScript文件中的API接口和敏感信息，如邮箱、手机号、云Key等。它提供批量URL打开、基础目录自定义、本地记事本等辅助功能。插件的核心能力包括自动提取接口、敏感信息识别、批量打开URL、基础目录自定义和本地记事本。此外，LoveJS还支持前后端接口自动发现、敏感信息智能识别和渗透测试工作流整合。文章提醒读者，该工具和内容仅用于学习和记录，不得用于非法渗透测试，且作者不为此承担任何责任。

    网络安全工具 API安全 敏感信息泄露 渗透测试 浏览器插件 JavaScript分析 自动化测试 漏洞挖掘

    0x26 【工业控制系统网络安全系列课程】第2课-工业控制系统的网络安全风险-过程控制漏洞利用（二）典型漏洞利用路径-物理过程影响攻击

    老付话安全 2026-04-10T20:34:39 © 老付话安全

    Example Image


    本文深入探讨了工业控制系统（ICS）中的网络安全风险，特别是针对过程控制层的漏洞利用。文章详细介绍了四种典型的物理过程影响攻击：传感器欺骗、执行器攻击、逻辑篡改和拒绝服务。通过具体案例，阐述了这些攻击如何通过篡改传感器信号、直接控制执行器、修改PLC逻辑或耗尽控制器资源来直接破坏物理过程，如导致管道爆裂、电机烧毁或反应堆失控。文章还提供了防御这些攻击的策略，包括多传感器交叉校验、操作权限控制、程序完整性校验和网络限速等。总结部分强调了工控安全需要采用纵深防御策略来应对物理过程影响攻击。

    工业控制系统安全 漏洞利用 物理过程影响攻击 安全防御策略 网络安全培训 网络安全意识

    0x27 每周高级威胁情报解读(2026.04.03~04.09)

    奇安信威胁情报中心 2026-04-10T20:34:22 威胁情报中心

    Example Image


    本文涵盖了多个网络安全攻击和威胁情报，涉及多个攻击团伙和恶意软件。CyberAv3ngers组织利用美国关键基础设施中的可编程逻辑控制器（PLC）进行攻击，导致运营中断和财务损失。APT28（Forest Blizzard）利用SOHO路由器进行DNS劫持和中间人攻击，监视目标并拦截云端内容。Kimsuky组织改变了恶意LNK文件的分发方式，采用更复杂的执行结构。SideWinder APT组织针对南亚国防进行PaaS跳槽攻击，利用双重密码收获技术。此外，@fairwords npm包受到凭证蠕虫病毒攻击，窃取凭证并自我传播。黑客针对中东和北非地区的公民社会发起网络钓鱼攻击，使用仿冒服务和间谍软件。LucidRook新型恶意软件针对台湾组织，具有地理定向反分析功能。某虚拟手机服务商官网安装包被供应链攻击，植入恶意Dropper分发远控木马。Hims & Hers客户数据因支持平台遭到入侵而泄露。Storm-1175利用漏洞实施高速Medusa勒索软件攻击，重点攻击医疗、教育等行业。武器化SaaS通知管道成为网络犯罪的特洛伊木马，绕过邮件安全过滤器。新型Chaos恶意软件变种利用云端配置错误进行攻击。Masjesu僵尸网络专为隐蔽攻击、DDoS攻击和物联网规避而构建。Qilin EDR killer感染链通过恶意msimg32.dll实施多阶段感染，规避EDR检测。BlueHammer Windows零日漏洞泄露，可提取NTLM哈希并重置管理员密码。Anthropic推出Claude Mythos Preview语言模型，专注于零日漏洞发现。黑客使用复杂0day漏洞攻击Adobe Reader用户，窃取本地数据并进行高级系统指纹识别。

    APT攻击 供应链攻击 勒索软件 恶意软件 钓鱼攻击 漏洞利用 数据泄露 社会工程学 物联网(IoT)安全 零日漏洞 云安全 防御与检测

    0x28 内网渗透实战靶场lab18｜从Web打点到域控提权，解锁ATT&CK全链路

    红蓝公鸡队 2026-04-10T20:23:19 cslab

    Example Image


    本文介绍了一个高度仿真的内网渗透实战靶场——lab18，旨在帮助网络安全学习者提升内网实战能力。靶场模拟真实企业内网环境，涵盖从Web打点、RCE执行、WebShell控制、数据库提权到权限维持的整个渗透过程。学习者在靶场中可以亲手操作SQL注入、文件上传、XXE、SSRF等多入口突破，进行资产识别、服务探测、权限提升等实战训练。靶场支持UDF提权专训，并映射ATT&CK框架战术，提供安全沙盒环境，新手有提示，高手可自由挑战。适合渗透测试工程师、红队成员、安全专业学生、CTF选手和企业蓝队进行内网攻防演练和技能提升。

    内网渗透 靶场安全 漏洞利用 权限提升 红队攻击 网络安全教育 ATT&CK框架 实战演练

    0x29 常见Web漏洞攻击分析

    AI+网络安全笔记 2026-04-10T19:43:23 © Yang

    Example Image


    本文全面分析了Web应用面临的网络安全威胁，从漏洞类型、攻击手法、防御策略和实际案例四个维度进行系统剖析。文章首先介绍了常见的Web漏洞类型，包括注入类（如SQL注入、命令注入）、身份验证与会话管理漏洞（如失效的身份验证、会话固定）、跨站漏洞（如XSS、CSRF）、访问控制漏洞（如越权、SSRF、文件包含）以及安全配置与供应链漏洞。接着，文章深入分析了典型漏洞的攻击手法与危害，如SQL注入的高级绕过技术、XSS的执行方式、SSRF与API漏洞的攻击路径以及容器逃逸的攻击技术。最后，文章提出了多层次防御策略与最佳实践，涵盖数据库安全、应用层防御、网络层防御、安全开发生命周期（SDL）以及零信任架构等方面，并通过Capital One数据泄露事件、Cal.com认证绕过漏洞、FortiClient EMS API漏洞和Kubernetes容器逃逸案例，展示了漏洞的实际危害与防御措施。这些内容为企业构建多层次防御体系提供了专业指导，有助于提高Web应用的安全性。

    Web安全 漏洞分析 攻击手法 防御策略 安全配置 实际案例 OWASP 云安全 容器安全 零信任架构

    0x2a React 服务器组件新漏洞可能使攻击者触发拒绝服务攻击

    安全圈的那点事儿 2026-04-10T19:10:00 © 网络安全9527

    Example Image


    React服务器组件近日被披露了一个高危漏洞（CVE-2026-23869），该漏洞可能导致未经身份验证的攻击者通过发送特制的HTTP请求触发拒绝服务（DoS）攻击。此漏洞影响使用特定服务器端渲染包的Web应用程序，攻击无需特权且复杂度低，可能对业务运营造成严重影响。漏洞与不受控制的资源消耗（CWE-400）和不安全的反序列化实践（CWE-502）有关。受影响的npm包包括react-server-dom-parcel、react-server-dom-turbopack和react-server-dom-webpack，具体版本为19.0.0至19.0.4、19.1.0至19.1.5和19.2.0至19.2.4。React开发团队已发布修复程序，建议管理员立即升级到已修补的版本以保护其基础设施。需要注意的是，只有运行React服务器组件的环境才会受到此漏洞的影响，客户端运行的React应用或未使用相关框架和工具的应用不受影响。

    Web应用安全 服务器端渲染 拒绝服务攻击 漏洞披露 代码审计 版本管理 安全修复

    0x2b TP-Link 设备面临风险，多个安全漏洞可能导致设备被恶意控制

    安全圈的那点事儿 2026-04-10T19:03:00 © 网络安全9527

    Example Image


    网络安全研究人员近日发现TP-Link Archer AX53 v1.0路由器存在五个严重安全漏洞，这些漏洞可能导致攻击者完全控制设备，窃取敏感数据，并破坏连接的系统。漏洞存在于路由器的多个核心组件中，包括服务器功能、域名系统和虚拟专用网络模块。其中，操作系统命令注入漏洞（CVE-2026-30815）和内存溢出漏洞（CVE-2026-30814）被评定为高危漏洞，而CVE-2026-30816和CVE-2026-30817则可能导致数据泄露。受影响的设备固件版本低于1.7.1 Build 20260213。TP-Link建议用户立即从官方支持门户网站下载并安装最新的固件更新以修复这些漏洞。

    路由器安全漏洞 设备被恶意控制风险 固件更新重要性 家庭和企业网络安全 操作系统漏洞 数据泄露风险 全球网络安全影响

    0x2c RDP密码喷洒到全网沦陷：RansomHub勒索软件六日入侵全链路

    Desync InfoSec 2026-04-10T18:40:21 bitbot

    Example Image


    本文详细描述了一次成功的密码喷洒攻击演变为全网 RansomHub 勒索软件部署的案例。攻击始于 2024 年 11 月，攻击者针对暴露的 RDP 服务器发起密码喷洒攻击，成功使用其中一个账户登录并运行发现命令。攻击者使用 Mimikatz 和 Nirsoft CredentialsFileView 窃取凭据，并通过横向移动到域控制器、备份服务器、文件服务器等，确认域管理员账户的存在。随后，攻击者使用 Rclone 通过 SFTP 外传数据，配置了特定文件类型筛选。第六天，攻击者部署了 RansomHub 勒索软件，通过 SMB 协议传播到远程主机并使用远程服务执行，最终导致全网加密。攻击者在数据外传后删除了相关文件以消除痕迹。本文还提供了 IoC 情报指标和检测建议，包括监控外部 IP 通过 RDP 的登录尝试、Event ID 4624、Sysmon Event ID 10、11 等。整个过程从入侵到勒索软件部署的总时间（TTR）约为 118 小时。

    密码喷洒 RDP 攻击 凭据窃取 横向移动 网络发现 持久化 数据外传 勒索软件 SMB 攻击 防御规避 攻击链

    0x2d 掘影—白加黑自动挖掘工具&DLL侧加载

    Heri76安全 2026-04-10T18:04:24 © 脸红ฅฅ的思春期

    Example Image


    本文详细介绍了DLL侧加载技术在免杀对抗中的应用，特别是针对白加黑技术。文章首先区分了静态加载和动态加载两种DLL加载方式，指出白加黑技术多利用动态加载中检查应用当前目录是否存在DLL的特性。接着，文章探讨了DLL劫持中的常见技术点，包括DLLmain死锁问题、链式转发、手动转发和通过汇编转发等。链式转发通过#pragmacomment指令实现函数转发，但需手动指定每个函数；手动转发可以劫持导出函数并动态加载真实DLL，无需上传额外文件；汇编转发则通过直接跳转到原DLL函数地址实现。文章还提到了竞态条件问题及其解决方案，并介绍了一个自动挖掘工具，该工具可以扫描指定路径下的白exe，并生成相应的DLL劫持代码，从而实现高效的白加黑制作。最后，文章总结了DLL侧加载技术的应用场景和局限性，并鼓励读者进一步学习和交流。

    DLL劫持 动态链接库 免杀技术 Windows安全 代码转发 竞态条件 安全研究 恶意软件技术

    0x2e OpenClaw机制与安全风险分析

    联想全球安全实验室 2026-04-10T17:46:08 © r0

    Example Image


    OpenClaw 是一个自托管的多渠道 AI 智能体网关，允许用户通过熟悉的聊天应用与 AI 编程智能体交互，并掌控自己的数据。其核心组件包括登录认证、Channels 和文件系统隔离。登录认证支持 Token、password、none 和 trusted-proxy 四种模式，并通过 WebSocket 和 HTTP 进行连接认证。Channels 功能将常用聊天应用的消息格式统一转化为标准事件，并构建了 DM/Group 策略、白名单、指令网关和 Webhook 签名等安全体系。文件系统隔离采用 Docker 容器隔离和应用层校验双重机制，包括容器隔离、路径防护、符号链接/硬链接防护、原子写入与校验、沙箱文件系统桥接等。尽管 OpenClaw 采取了多种安全措施，但仍存在认证绕过、路径穿越、命令执行和容器隔离等风险。文章分析了这些风险，并指出 AI Agent 的安全建设需要在安全治理与功能迭代之间找到平衡，坚持最小特权原则，并引入人工确认机制和严格的插件审查制度。

    AI安全 身份认证 权限控制 输入验证 隔离机制 文件系统安全 命令执行 漏洞分析 Webhook安全 供应链安全

    0x2f 【高危漏洞预警】OpenAM远程代码执行漏洞(CVE-2026-33439)

    飓风网络安全 2026-04-10T17:30:23 cexlife

    Example Image


    本文报道了OpenAM访问管理解决方案中的一个高危漏洞（CVE-2026-33439），该漏洞存在于16.0.6版本之前的版本中。漏洞源于对jato.clientSession HTTP参数的不安全Java反序列化，这允许未经身份验证的攻击者通过发送特制的Java对象作为jato.clientSession GET/POST参数，在服务器上执行任意命令。攻击者可以利用未授权的预身份验证接口对系统进行攻击，特别是在包含标签的JATO ViewBean端点。官方已发布补丁，建议受影响用户升级至最新版本16.0.6或更高版本。同时，提供了网络隔离、访问控制、输入验证、监控与检测等缓解措施。

    高危漏洞 远程代码执行 OpenAM 身份验证漏洞 Java反序列化 软件升级 网络攻击

    0x30 【高危漏洞预警】Fortinet FortiClient EMS 访问控制不当漏洞(CVE-2026-35616)

    飓风网络安全 2026-04-10T17:30:23 jufeng

    Example Image


    Fortinet FortiClient EMS软件版本7.4.5至7.4.6存在访问控制不当的安全漏洞（CVE-2026-35616）。未经身份验证的攻击者可利用此漏洞通过构造特定HTTP POST请求，绕过SSL双向认证机制，直接访问受保护的管理API，执行未授权的配置修改或命令执行。该漏洞可能被用于系统管理接口的未授权访问。建议用户尽快升级到FortiClient EMS的最新版本7.4.7或更高版本，并采取包括部署热修补丁、配置网络边界设备策略、进行网络隔离、流量监控与审计以及重置管理员账户密码等措施来缓解风险。

    高危漏洞 访问控制漏洞 FortiClient EMS 代码执行 SSL认证绕过 Fortinet 紧急修复

    0x31 我写了个小工具，导出EDU漏洞报告存到本地

    小帅安全 2026-04-10T17:13:27 © 小帅安全

    Example Image


    本文介绍了作者开发的一个Python小工具，用于导出EDU漏洞报告并存储到本地。该工具旨在解决在挖掘学校SRC时，由于报告数量过多，难以查找和复习历史漏洞的问题。工具通过模拟浏览器请求，自动获取报告列表，逐页提取报告内容，并处理图片链接、删除页头大header、修复附件下载链接等，最终保存为本地HTML文件。文章详细说明了工具的使用方法，包括环境搭建、代码下载、运行步骤等，并提供了必要的截图和代码示例。同时，作者也讨论了工具的技术实现细节，如分页总页数的获取、过期检测以及文件保存等。文章最后强调了使用该工具时需要注意的频率问题，以避免对服务器造成不必要的压力。

    漏洞挖掘 网络安全工具 Python脚本 数据存储 自动化脚本 源代码分享 免责声明

    0x32 烽火狼烟丨暗网数据及攻击威胁情报分析周报（04/06-04/10）

    盛邦安全应急响应中心 2026-04-10T17:11:27

    Example Image


    WebRAY安全服务团队监测到本周暗网数据贩卖事件激增至953起，同比增长40.98%，贩卖数据总量达418418.8万条，涉及9个地区和8种数据分类。主要泄露数据类型包括金融、服务、政府等。近期主要威胁来自恶意软件、僵尸网络及木马攻击，其中ChurchCRM QueryView SQL注入漏洞危害较大。重点数据泄露事件包括PowerLab数据库、美国车主驾驶执照和身份证数据集、哥伦比亚两大银行数据、Alinto邮件系统通信记录以及欧盟委员会云平台数据。热点资讯方面，Kubernetes成为云攻击新焦点，AI普及推动API安全风险上升，关键基础设施设备因Modbus暴露公网存在重大风险，微软暂停安全软件维护者账户引发更新中断，法国网络攻击造成数据泄露已引发现实安全风险。热点技术方面，AWS Bedrock沙箱隔离被绕过，SparkCat伪装成正常应用窃取移动端加密资产，GPUBreach借助GPU Rowhammer实现攻击，Chaos木马新变种瞄准配置错误的云环境，Masjesu僵尸网络提供DDoS攻击租赁服务。热点漏洞包括Botan TLS 1.3客户端认证绕过漏洞、OpenAM反序列化远程代码执行漏洞、Plane认证流程敏感信息泄露漏洞、WWBN AVideo SSRF响应泄露漏洞以及ChurchCRM QueryView SQL注入漏洞。

    数据泄露 漏洞分析 威胁情报 热点技术 恶意软件 僵尸网络 安全运维 云安全

    0x33 Fortify规则库更新26.2

    华克斯 2026-04-10T16:57:24 苏州华克斯

    Example Image


    OpenText公司最新发布了Fortify规则库的26.2版本更新，该更新包含了多项安全内容的升级和增强。OpenText SAST应用安全内容和OpenText DAST SecureBase均得到了更新，Fortify Premium Content也进行了升级。此次更新支持了1763个漏洞类别，覆盖了45多种语言和超过一百万个独立API。更新中引入了AI驱动的弱点检测功能，支持对Fortran、COBOL和AI代理指令文件的安全分析。此外，还扩展了对Python版FastAPI-MCP和FastMCP的支持，以及对网络韧性法案（CRA）的合规报告模板。OpenText DAST SecureBase也进行了更新，包括对Nginx UI漏洞的检测和提示注入攻击的改进。同时，对PHP、ASP.NET、Azure Terraform配置等多种技术进行了漏洞扫描和检测的改进。

    安全更新 应用安全 静态应用安全测试 动态应用安全测试 漏洞检测 人工智能安全 编程语言安全 合规性 误报减少 软件安全研究

    0x34 【漏洞通告】Progress ShareFile 远程代码执行漏洞(CVE-2026-2701)

    启明星辰安全简讯 2026-04-10T16:10:11

    Example Image


    本文介绍了Progress ShareFile平台的一个严重漏洞CVE-2026-2701，该漏洞可能导致远程代码执行。Progress ShareFile是一款企业级安全文件传输与协作平台，其Storage Zone Controller组件存在安全缺陷，攻击者可以利用该漏洞绕过身份验证，在Web目录中写入恶意文件，实现远程代码执行。该漏洞的利用难度低，且已公开在野利用。启明星辰安全应急响应中心已监测到该漏洞，并指出该漏洞与另一个身份认证绕过漏洞CVE-2026-2699结合使用时，可形成未授权远程代码执行攻击链。影响范围包括Storage Zone Controller 5.x <= 5.12.3版本。建议用户升级到官方发布的修复补丁，并采取一系列安全措施，如定期更新系统补丁、加强访问控制、使用安全产品等，以降低安全风险。

    远程代码执行 文件传输安全 身份认证漏洞 企业级安全平台 安全补丁管理 网络渗透测试 安全应急响应 网络安全合规

    0x35 【漏洞通告】CUPS 本地令牌泄露漏洞(CVE-2026-34990)

    启明星辰安全简讯 2026-04-10T16:10:11

    Example Image


    本文报道了CUPS（Common Unix Printing System）的一个本地令牌泄露漏洞（CVE-2026-34990），该漏洞可能导致权限提升。CUPS是一个广泛使用的开源打印服务系统，漏洞源于cupsd在处理本地IPP请求时泄露可复用的认证令牌。攻击者可以利用这个令牌伪造管理员身份，创建恶意打印队列，并绕过安全限制实现任意文件写入，从而覆盖关键系统文件，提升至root权限。该漏洞等级为中危，攻击难度低，无需用户交互。目前尚未发布最终修复版本，建议用户关注官方更新。同时，文章还提供了安全措施，包括升级版本、临时措施和通用建议，以减少系统漏洞和提高安全性。

    漏洞分析 安全漏洞 权限提升 Linux安全 代码执行 认证令牌泄露 系统安全 应急响应

    0x36 一文搞懂内网渗透核心：PTH 哈希传递攻击从原理到攻防

    河北镌远网络科技有限公司 2026-04-10T16:00:37 镌远科技

    Example Image


    本文深入解析了Windows内网渗透中常见的攻击技术——PTH（Pass-the-Hash，哈希传递）。通过分析NTLM身份认证协议的设计缺陷，阐述了攻击者如何利用NTLM哈希值而非用户密码明文，冒充目标用户身份进行内网横向移动和权限提升。文章详细介绍了PTH攻击的原理、不同网络环境下的攻击差异、本地账号与域账号的攻击规则，以及UAC机制和关键注册表配置对攻击的影响。同时，文章还讨论了如何通过修改注册表项来防御PTH攻击，为红队攻防演练、HW行动及内网渗透提供了理论和实战指导。

    内网渗透 哈希传递攻击 NTLM认证 身份伪造 权限提升 红队攻防 Windows系统安全 UAC机制 注册表配置

    0x37 OpenCode部署安全边界的思考

    YMs0ra的安全漫路 2026-04-10T15:32:06 © YMsora

    Example Image


    本文探讨了OpenCode部署中存在的安全边界问题。文章指出，由于应用模式导致的边界问题，许多服务默认开启了方便本地用户的功能，如省略鉴权等，这在服务配置边界不明确的情况下，对于鉴权非常宽松。作者在审计OpenCode的边界时，发现了一些安全问题，如默认绑定到4096端口的Web服务可能导致SSRF攻击。文章详细分析了两个高危接口的代码实现，指出query参数未经过充分验证，可能导致RCE（远程代码执行）漏洞。此外，文章还讨论了XSS攻击如何通过SSRF过渡到RCE，强调了在本地运行的项目如果暴露在公网或局域网中时，这种边界跳板的重要性。

    默认配置安全风险 服务端配置不明确 SSRF漏洞 RCE漏洞 XSS到SSRF攻击链 代码审计 文件操作安全 边界控制

    0x38 Progress ShareFile曝新漏洞 可组合实现未认证远程代码执行

    嘶吼专业版 2026-04-10T14:02:17 胡金鱼

    Example Image


    近期，安全研究人员发现企业级安全文件传输解决方案Progress ShareFile存在两处漏洞，攻击者可以组合利用这些漏洞在无需身份认证的情况下窃取文件。Progress ShareFile是一款广泛应用于大中型企业的文档共享与协作产品，一直是勒索软件团伙的攻击目标。研究人员在ShareFile 5.x分支的Storage Zones Controller组件中发现了一处认证绕过漏洞（CVE-2026-2699）和一处远程代码执行漏洞（CVE-2026-2701）。攻击者可以利用这些漏洞修改存储区域配置，并在服务器上实现远程代码执行。Progress公司已发布更新修复了这些问题，但受影响的系统应立即安装补丁。漏洞影响范围广泛，包括约3万个存储区域控制器实例和约700个可公网访问的Progress ShareFile实例。

    漏洞披露 远程代码执行 文件传输安全 企业级安全 勒索软件 安全更新 网络安全事件 漏洞利用

    0x39 Citrix NetScaler 正在积极排查 CVE-2026-3055 (CVSS 9.3) 内存过度读取漏洞

    TtTeam 2026-04-10T13:28:33

    Example Image


    本文报道了Citrix NetScaler ADC/Gateway中发现的CVE-2026-3055漏洞，该漏洞因输入验证不足导致内存过度读取，CVSS评分为9.3，表明其严重性。攻击者可利用此漏洞泄露敏感信息，已观察到针对NetScaler身份验证方法的指纹识别活动。该漏洞影响多个NetScaler版本，包括14.1至13.1系列。攻击者通过发送精心构造的SAMLRequest有效载荷来利用该漏洞，省略AssertionConsumerServiceURL字段，导致通过NSC_TASS cookie泄露内存内容。尽管截至2026年3月27日攻击主要来自已知攻击者IP地址，但组织应立即停止使用受影响的版本并应用补丁，以防攻击升级为主动攻击。

    漏洞披露 内存安全 身份验证安全 攻击检测 补丁管理 网络设备安全 蜜罐技术 攻击者行为分析

    0x3a 全AI分析DexH*lper Anti-Frida深度检测机制

    小白技术社 2026-04-10T13:19:43 © 吾爱小白

    Example Image


    libDexH*lper.so 实现了多层安全检测机制，通过五个关键 patch 点来检测 Frida 的注入和运行。其中，0x5f388 (sub_5ED80) 是唯一一个能够直接导致 Frida 进程退出的检测点，它通过监控 TracerPid 字段并匹配 Frida 特征来执行 kill 操作。文章详细分析了每个检测点的逻辑和作用，包括 TracerPid 检测、内存映射扫描、代码完整性校验、线程枚举检测和 APK 签名校验。文章还介绍了各种反检测技巧，如栈上构造字符串、直接系统调用、多线程并行检测、线程创建重试、栈保护和 NEON 向量运算等。最后，文章提出了绕过这些检测的建议，强调仅 patch 0x5f388 可以阻止 Frida 被检测杀死，但完整绕过所有检测需要处理其他检测点。

    反调试 运行时检测 Frida 安全架构 逆向工程 防篡改 APK 安全 内核调用

    0x3b 现在谁说了算？接管Azure身份访问权限的三种手法

    幻泉之洲 2026-04-10T13:00:00

    Example Image


    本文详细分析了Azure云环境中三种IAM权限——角色分配写入（RoleAssignment/Write）、角色定义写入（RoleDefinition/Write）和联合身份凭证写入（FederatedIdentityCredentials/Write）——的潜在风险，它们可能被攻击者利用以获取上帝权限。文章通过实际攻防演练和HackTricks的Azure红队专家课程经验，展示了这些权限如何被滥用来提升权限、访问敏感信息（如密钥保管库的秘密）。文章提供了实验环境搭建步骤，并演示了三种权限的具体攻击方法：1）利用RoleAssignment/Write为用户分配高权限角色；2）结合RoleDefinition/Write和RoleAssignment/Write创建或修改角色，赋予过度权限；3）使用FederatedIdentityCredentials/Write为托管身份添加联合身份凭证，实现隐蔽攻击。文章强调理解权限的重要性，并提出了防御建议，包括遵循最小权限原则、定期审计角色分配、监控异常行为以及实施流程化变更，以平衡云环境的便捷性和安全性。

    Azure Security IAM (Identity and Access Management) Privilege Escalation Azure RBAC (Role-Based Access Control) Red Team Security Best Practices Cloud Security

    0x3c ClickFix 新广告系列利用 macOS 脚本编辑器投放原子窃取器

    安全圈的那点事儿 2026-04-10T12:25:29 © 网络安全9527

    Example Image


    近期，网络安全研究者发现了ClickFix攻击活动的新变种，该活动利用了macOS的脚本编辑器作为攻击媒介，以投放Atomic Stealer信息窃取程序。攻击者不再依赖终端执行恶意命令，而是转而使用脚本编辑器，这是内置的macOS应用程序，支持AppleScript自动化。研究人员通过行为检测机制发现，攻击者利用AppleScript URL方案从浏览器中调用脚本编辑器，绕过了终端的新防护措施。攻击始于一个伪装成苹果主题网页的伪造网页，诱导用户点击“执行”按钮，随后在浏览器中静默触发AppleScript URL方案。脚本编辑器打开后，用户会被诱导运行一个看似可信的脚本，该脚本最终下载并执行Atomic Stealer，从受感染的计算机中窃取敏感数据。攻击者使用了一系列技巧来隐藏恶意活动，包括字符转换混淆和禁用TLS证书验证。这一攻击活动反映了攻击者对安全措施变化的快速适应能力。

    macOS 安全漏洞 社会工程学攻击 恶意软件分析 信息窃取程序 AppleScript 利用 终端安全 安全控制措施规避

    0x3d 我发现的5种个人身份信息泄露案例：真实案例研究

    安全狗的自我修养 2026-04-10T12:15:22 haidragon

    Example Image


    这篇文章深入探讨了在漏洞赏金领域，个人身份信息（PII）泄露往往被低估的问题。文章通过五个案例研究，展示了多种攻击面和发现方法，包括API模糊测试、静态文件搜索、服务器端脚本文件、网络存档挖掘以及浏览器好奇心与模式识别。案例1揭示了未经验证的API端点暴露了员工目录，包括电子邮件地址和内部绩效评价；案例2发现了公开存放在Web服务器上的PDF文件，泄露了外交联系人名单和内部安全审计报告；案例3通过针对特定扩展名的模糊测试，找到了未经验证的服务器端脚本文件，暴露了个人和实体的记录；案例4利用网络存档挖掘，发现了存档URL中隐藏的访问令牌和个人数据，以及可能存在的身份解析（IDOR）漏洞；案例5则通过浏览器好奇心和模式识别，发现了一所大学隐藏的学生数据API。文章强调了敏感数据泄露的严重性，并提出了相应的缓解措施，如对API端点进行身份验证、避免在公共Web服务器上存储敏感文件、阻止直接访问服务器端脚本、避免在URL中嵌入令牌和ID，以及实施针对每个资源的授权检查。

    漏洞赏金 个人身份信息（PII）泄露 跨站脚本（XSS） 远程代码执行（RCE） API模糊测试 静态文件搜索 服务器端脚本 网络存档挖掘 浏览器好奇心与模式识别 身份验证与授权 安全配置

    0x3e Adobe 偷改 hosts 文件事件

    独眼情报 2026-04-10T12:07:16 © 🅼🅰🆈

    Example Image


    2026年3月，Adobe Creative Cloud用户发现hosts文件被修改，添加了指向Adobe服务器的条目。这一行为在用户不知情的情况下进行，引发了安全担忧。分析显示，Adobe此举是为了绕过Chrome浏览器对本地网络访问的新权限限制，通过hosts文件检测用户是否安装了Creative Cloud客户端。这一行为违反了操作系统文件完整性监控和EDR产品的安全规则，引发了信任问题。Adobe的动机在于在不触发浏览器权限弹窗的情况下，恢复网页识别客户端安装状态的信号通道。事件揭示了大型软件在浏览器权限收紧后，向系统底层迁移探测能力的新趋势，对端点安全、合规团队和个人用户均产生重要影响。

    网络监控 安全漏洞 浏览器安全 操作系统安全 用户隐私 软件许可 应用安全性 事件响应

    0x3f WordPress Ditty SSRF漏洞(CVE-2025-8085)

    Nday Poc 2026-04-10T10:46:07 Superhero

    Example Image


    本文详细介绍了WordPress Ditty插件中的一个SSRF漏洞（CVE-2025-8085）。该漏洞允许攻击者在未经身份验证的情况下访问某些受限资源，从而获取内部服务器信息，使系统处于极不安全状态。文章首先概述了漏洞的基本情况，包括漏洞概述、影响范围和潜在风险。接着，提供了漏洞的复现步骤，以及如何使用搜索引擎和自查工具来发现潜在的漏洞。最后，文章提出了修复建议，包括关闭互联网暴露面或接口设置访问权限，以及升级至安全版本。此外，还介绍了相关的内部圈子【Nday漏洞实战圈】，提供漏洞复现、工具链适配支持等信息，并强调了合法授权测试的重要性。

    WordPress 安全漏洞 服务器请求伪造（SSRF） 漏洞复现 漏洞自查工具 漏洞修复建议 网络安全教育

    0x40 一次完整的Full Read SSRF挖掘之旅：OAuth DCR、开放重定向与路径规范化的三重奏

    赛博知识驿站 2026-04-10T10:10:50 voorivex

    Example Image


    这篇文章详细记录了安全研究员Eib如何通过串联多个"小玩意儿（gadget）"，在目标系统上实现一次完整的Full Read SSRF。首先，Eib利用MCP服务器上开放的动态客户端注册（DCR）功能，伪造一个OAuth客户端，创建了一个开放重定向的跳板。接着，他借助路径规范化漏洞，绕过服务端对白名单路径的严格校验。由于服务端只放行特定格式的URL，Eib通过路径规范化技术，将不符合白名单的URL重定向到可利用的端点。在寻找开放重定向线索时，Eib一度陷入困境，但后来通过阅读AmirMohammad Safari的研究文章《Shaking the Mcp Tree》，发现了MCP服务器上的DCR开放重定向特性。最终，Eib利用DCR创建的开放重定向跳板，结合路径规范化技术，成功实现了Full Read SSRF，读取了内部Istio Envoy Admin接口的配置信息。文章总结了三条经验：深入理解功能特性、记录"有趣行为"、阅读他人的研究成果。

    SSRF 路径规范化 开放重定向 OAuth DCR 文件上传 白名单绕过 Web 应用安全 漏洞挖掘 内网穿透

    0x41 紧急预警！Apache ActiveMQ 爆出高危 RCE 漏洞 (CVE-2026-34197)

    Web安全工具库 2026-04-10T10:07:36

    Example Image


    本文详细介绍了Apache ActiveMQ中的一个高危漏洞CVE-2026-34197，该漏洞允许认证后的攻击者通过Web控制台执行任意代码。漏洞由输入验证不当和代码注入导致，攻击者可以利用Spring XML动态加载机制在安全校验之前执行恶意代码。文章分析了漏洞的原理、影响范围、攻击步骤，并提供了升级版本和临时缓解措施的建议，以帮助用户及时修复漏洞并加强系统安全性。

    Apache ActiveMQ 漏洞 远程代码执行（RCE） 代码注入 输入验证不当 Java 应用安全 Spring 框架安全 中间件安全 漏洞利用 安全补丁和升级 网络安全预警

    0x42 深入解析：EngageLab SDK意图重定向漏洞如何击穿安卓沙箱？

    安全圈动向 2026-04-10T09:17:13 © Kit Chung

    Example Image


    本文深入解析了EngageLab SDK意图重定向漏洞，该漏洞被微软Defender安全研究团队曝光。EngageLab SDK是一款广泛使用的消息推送服务开发包，但其在4.5.4版本中存在意图重定向漏洞，允许恶意应用绕过安卓沙箱机制，未经授权访问受害者App的私有数据。微软已发布安全版本5.2.1以修复此漏洞。文章详细解释了漏洞的原理，包括恶意应用如何利用该漏洞进行攻击，以及如何通过最小权限原则、严格校验调用方来源、安全使用PendingIntent等方式来防范此类漏洞。同时，文章强调了供应链安全的重要性，提醒开发者在使用第三方SDK时要注意安全风险。

    安卓安全 沙箱机制漏洞 SDK安全 移动应用安全 隐私泄露 恶意软件攻击 软件供应链安全 漏洞分析 安全开发实践

    0x43 别再一个个查端口了！这个脚本让你秒出结果

    运维星火燎原 2026-04-10T09:03:55 © 刘军军

    Example Image


    本文介绍了一个端口检测脚本的详细功能和使用方法。该脚本支持单个、多个、范围以及混合格式的端口输入，能够检测端口是否开启，并以表格形式输出结果。脚本使用了多种方法来检测端口状态，包括使用ss命令、netstat命令以及Bash原生的/dev/tcp方法，以确保兼容性。对于常见端口，脚本还能自动识别服务名称。输出结果采用表格格式，并用颜色区分端口状态，便于阅读。此外，脚本还对无效输入进行了错误提示，并提供了保存、添加执行权限和运行脚本的步骤。

    端口扫描 网络安全工具 脚本开发 系统信息收集 颜色编码 兼容性

    0x44 Infiniti Stealer 黑客利用ClickFix社交工程攻击瞄准Mac用户

    军哥网络安全读报 2026-04-10T09:00:22 会杀毒的单反狗

    Example Image


    Infiniti Stealer 是一种针对 Mac 用户的新型恶意软件，它通过ClickFix社交工程攻击手段，而非系统漏洞来入侵用户设备。安全公司Malwarebytes揭露了这一攻击方式，它通过伪装成可信安全检查的虚假页面，诱骗用户在不经意间运行恶意软件。这种恶意软件安装后，会窃取用户的登录凭证、浏览历史和屏幕截图等敏感信息，并将其发送到黑客控制的远程服务器。Infiniti Stealer 使用Python编写，但通过Nuitka编译成独立的可执行文件，从而降低安全软件的检测能力。攻击者不再依赖技术漏洞或恶意附件，而是通过操纵用户行为来实现攻击，这要求用户警惕任何要求在终端中输入命令的指示，并在发现感染迹象时立即采取措施保护自己的设备。

    Mac恶意软件 社会工程学攻击 用户行为操纵 信息窃取 远程服务器 安全防护绕过 Python恶意代码 网络安全意识

    0x45 注意！中间件IIS是这个版本存在该漏洞

    建哥聊安全 2026-04-10T08:44:51 © 建哥聊安全

    Example Image


    本文介绍了IIS6.0文件解析漏洞的实验过程和利用方法。文章首先强调了网络安全的重要性，提醒读者禁止未经授权的系统扫描、攻击或入侵。实验目的是掌握利用IIS6.0文件解析漏洞绕过白名单限制解析脚本文件的方法。实验环境包括Win10操作系统和Windows Server 2003下的IIS6.0靶机。实验原理是通过上传特殊格式的图片文件，利用IIS6.0对特定符号的解析特性来执行脚本文件。文章详细描述了实验步骤，包括登录操作机、创建ASP脚本文件、上传文件以及访问成功解析的脚本。最后，文章总结了实验结果，强调了掌握此类漏洞利用方法的重要性，并提示读者注意其他相关的网络安全漏洞。

    IIS漏洞 文件解析漏洞 中间件安全 白名单绕过 脚本文件解析 实验教程 网络安全实验

    0x46 【视频】藏在收款机里的“特洛伊木马”：CVE-2026-4583 漏洞如何反向接管你的电脑？

    黑白之道 2026-04-10T08:24:24 ExtremeHack

    Example Image


    本文揭示了M6Plus移动支付终端存在的CVE-2026-4583漏洞，该漏洞允许攻击者通过蓝牙协议的严重缺陷，反向控制与之配对的电脑或手机。文章详细分析了M6Plus的工作原理和漏洞的细节，包括缺乏加密、缺少重放保护以及脆弱的校验和等问题。文章指出，攻击者可以利用这些缺陷发送恶意数据包，通过缓冲区溢出漏洞在目标电脑上执行恶意代码，从而获得最高权限。文章还强调了物联网设备协议的脆弱性，并提出了防范措施，如升级固件、启用安全连接和引入认证机制等，以减少此类攻击的风险。

    蓝牙安全 协议漏洞 逆向工程 缓冲区溢出 恶意软件 物联网安全 安全意识 漏洞修复

    0x47 【登录背后的秘密-第五章第三节】一次真实的赏金狩猎：利用验证码生成与校验分离的漏洞拿下账户

    升斗安全 2026-04-10T07:55:41 © 升斗安全XiuXiu

    Example Image


    本文详细介绍了如何利用Burp Suite工具对双因素认证（2FA）进行攻击，以实现未经授权的账户访问。文章首先强调了网络安全技术研究和教育的目的，并重申了严禁将知识用于非法活动的红线。接着，文章通过一个具体的实操步骤，演示了如何利用2FA的漏洞来攻击目标账户。步骤包括：观察正常的登录请求，修改参数以生成目标用户的验证码，故意输错验证码以获取响应信息，使用Intruder工具进行验证码爆破，最后通过成功的请求获取目标账户的访问权限。文章指出这种漏洞利用逻辑在实际中较为常见，且通过巧妙利用中间2FA的漏洞，可以在不知道密码和验证码的情况下，直接通过爆破验证码的方式实现账号突破。文章最后鼓励读者关注更多网络安全技巧，并在实验过程中遇到问题时寻求帮助。

    0x48 漏洞预警 | 孚盟云SQL注入漏洞

    浅安安全 2026-04-10T07:50:55 浅安

    Example Image


    本文报道了一起针对孚盟云平台的高危SQL注入漏洞。孚盟云是一款为企业提供数字化管理和运营解决方案的云计算和物联网技术平台。该漏洞存在于/m/Dingding/Ajax/AjaxTrackInfo.ashx接口，未经验证的攻击者可以利用此漏洞窃取数据库中的敏感信息。漏洞已被官方确认，并已发布修复版本，建议用户及时升级以避免安全风险。文章中提供了漏洞编号、危险等级、漏洞概述、影响版本、POC状态和修复建议等信息。

    SQL注入 云计算安全 企业服务平台安全 数据泄露风险 漏洞修复

    0x49 漏洞预警 | Vite任意文件读取漏洞

    浅安安全 2026-04-10T07:50:55 浅安

    Example Image


    本文报道了Vite前端构建工具的一个高危漏洞CVE-2026-3936，该漏洞允许攻击者通过WebSocket连接读取服务器上的任意文件，导致敏感信息泄露。漏洞影响Vite的多个版本，包括8.0.0到8.0.47，7.3.16，6.4.1以及0.1.15等。幸运的是，Vite官方已经发布了修复版本，建议用户尽快升级以避免安全风险。漏洞的详细描述包括漏洞类型、影响、简述以及受影响的版本信息。同时，本文还提到了漏洞的POC状态和修复建议，包括官方修复版本的链接。

    Web应用安全 漏洞挖掘 文件读取漏洞 WebSocket安全 软件升级与维护

    0x4a 密码喷洒攻击深度技术解析：伊朗关联组织针对中东云环境的定向入侵战术与防御对抗

    暗镜 2026-04-10T06:00:30 © ZM

    Example Image


    近期，伊朗关联的威胁组织针对中东地区云环境，特别是以色列和阿联酋的云平台，发动了大规模的密码喷洒攻击。该攻击以Microsoft 365等主流云平台为主要目标，影响了以色列300多个组织和阿联酋25多个组织。攻击者利用匿名网络、代理资源、低频次试探和身份协议滥用等技术手段，形成了一套隐蔽且对抗性极高的入侵链路。文章深入分析了这次攻击的技术细节，包括攻击原理、流量特征、身份协议利用、基础设施部署和入侵链路实现等方面。同时，文章提出了可实施的技术防御体系，以应对此类攻击。攻击流程包括前期侦察、用户名清单构建、攻击基础设施初始化、低频次密码喷洒、身份认证协议滥用、有效凭证验证、二次验证与环境伪装、内网情报收集、横向移动与持久化以及数据外发和行动收尾等多个阶段。文章还对比了密码喷洒与暴力破解的技术差异，并分析了传统防御策略失效的原因。最后，提出了基于行为模型的密码喷洒检测、身份协议层防护、强制MFA、密码策略技术增强、日志集中化与威胁狩猎等深度技术防御方案。

    密码攻击 云安全 定向入侵 网络安全策略 威胁情报 用户枚举 身份验证 恶意软件防御 网络监控

    0x4b Windows Server 2019日志审计配置操作规程

    祺印说信安 2026-04-10T00:01:12 何威风

    Example Image


    本文详细介绍了Windows Server 2019日志审计的配置操作规程。规程旨在规范系统日志的开启、配置、留存与审计管理，确保关键安全事件可记录、可追溯。文章首先明确了日志审计的目的和适用范围，随后详细阐述了日志审计的总体要求，包括全面开启审计、统一时间、日志留存、集中存储和防篡改。接着，文章提供了审计策略配置的步骤，包括必须开启的审计项和关键增强配置。此外，还介绍了日志存储配置、日志集中与传输、安全加固要求以及日常运维与审计等方面的内容。最后，文章强调了日志审计的合规性说明和总结，并提供了WEF启用的前置条件和操作步骤。

    操作系统安全 日志管理 安全审计 网络事件监控 策略配置 合规性 风险管理

    0x4c 渗透测试人员必备：浏览器 JWT 利用工具

    0x八月 2026-04-09T23:58:15 © 0x八月

    Example Image


    本文介绍了一款名为JWTAuditor的JWT安全测试平台，它是一款100%客户端运行的工具，专为渗透测试人员和安全工程师设计。JWTAuditor具备15种自动漏洞检测、7种专业攻击模块以及密钥爆破和Token编辑功能。该工具的核心优势在于其隐私优先的本地审计特性，所有的计算都在浏览器本地完成，避免了Token数据上传至任何服务器，从而降低了敏感信息泄露的风险。此外，它还提供了自动化漏洞检测体系，包括多种安全检测规则，覆盖常见的JWT漏洞。JWTAuditor还提供七种专项攻击模块，包括null Algorithm绕过、算法混淆等。文章还详细介绍了JWTAuditor的技术优势和使用指南，以及如何在本地部署和运行该工具。

    渗透测试 JWT安全 浏览器工具 安全审计 漏洞检测 密钥管理 安全培训 前端安全

    0x4d GZCTF的搭建和CTF题目的出题

    三社院信息Sec 2026-04-09T19:26:31 三社院信息Sec

    Example Image


    GZCTF是一个基于Docker搭建的CTF平台，提供了详细的平台配置和题目制作方法。平台配置涉及Docker环境搭建、配置文件appsettings.json的设置、compose.yml文件的编写以及镜像构建等步骤。其中，appsettings.json文件包含了数据库连接字符串、邮件配置、加密私钥、容器提供者配置、验证码配置等关键信息。compose.yml文件定义了gzctf服务和数据库服务的配置，包括镜像、环境变量、端口映射、卷挂载等。题目制作方面，文章介绍了Web签到题和Pwn题的制作方法。Web签到题通过在页面源码中预留占位符，并在启动容器时由脚本动态替换为真实的flag。Pwn题则通过编译C源码并使用socat绑定到80端口实现，同时关闭I/O缓冲以防止网络截断。文章还提供了Docker命令的详细说明，包括镜像构建与管理、容器运行、常用基础服务启动、调试与排错、Docker Compose以及环境清理与离线迁移等方面的内容。

    网络安全 CTF Docker Web安全 Pwn安全 安全配置 环境变量 容器安全

    0x4e Chrome浏览器存在严重漏洞，攻击者可利用这些漏洞执行任意代码

    安全圈的那点事儿 2026-04-09T19:15:00 © 网络安全9527

    Example Image


    谷歌近期发布了针对Chrome浏览器的紧急安全更新，修复了多个高危漏洞。此次更新修复了可能允许攻击者执行任意代码并完全控制受影响系统的漏洞，其中最严重的两个漏洞编号分别为CVE-2026-5858和CVE-2026-5859，涉及堆缓冲区溢出和整数溢出。这些漏洞可以通过诱骗用户访问特制网页来利用。除了这两个关键漏洞，Chrome 147版本还修复了V8 JavaScript引擎、WebRTC、Media、Blink和Skia等多个组件中的多个安全问题。谷歌对发现这些漏洞的安全研究人员发放了高达43,000美元的赏金，并强烈建议用户和企业管理员立即更新浏览器以保护系统安全。

    浏览器安全 漏洞利用 代码执行 安全更新 漏洞赏金 安全研究 漏洞披露 操作系统安全 网络攻击 安全策略

    0x4f 【已复现】OpenPrinting CUPS 多个高危漏洞安全风险通告

    奇安信 CERT 2026-04-09T17:15:06

    Example Image


    本文报道了OpenPrinting CUPS打印系统存在的多个高危漏洞，包括CVE-2026-34980和CVE-2026-34990。这两个漏洞均可能导致远程代码执行，CVE-2026-34980通过共享的PostScript队列执行任意代码，而CVE-2026-34990则允许攻击者在本地主机上执行任意文件覆盖。奇安信CERT已经成功复现了这两个漏洞，并提供了详细的复现步骤和利用条件。由于漏洞影响范围广泛，建议用户尽快采取安全更新措施，包括不通过共享队列暴露CUPS，对提交到队列的作业进行身份验证，并确保CUPS系统运行在安全策略下。目前官方尚未提供补丁，但建议用户密切关注官方更新。

    开源漏洞 远程代码执行 认证绕过 高危漏洞 Linux/Unix 安全 打印服务漏洞 代码执行漏洞 安全补丁

    0x50 【已复现】OpenAM 远程代码执行漏洞(CVE-2026-33439)安全风险通告

    奇安信 CERT 2026-04-09T17:15:06

    Example Image


    本文详细介绍了OpenAM远程代码执行漏洞（CVE-2026-33439）的安全风险。该漏洞由奇安信CERT发布，影响OpenAM 16.0.5及之前版本。漏洞存在于OpenAM处理特定HTTP参数时未实施有效的类白名单限制，导致攻击者可通过发送恶意序列化数据实现远程代码执行。漏洞已公开，且具有高利用可能性。奇安信建议受影响用户升级至最新版本OpenAM >= 16.0.6，并提供了升级下载地址。同时，奇安信网神网络数据传感器系统、天眼检测方案和开源卫士等产品已具备该漏洞的检测能力，并提供了相应的升级方法。

    漏洞通告 远程代码执行 OpenAM CVE编号 开源软件 企业级安全 安全更新 安全响应

    0x51 领英“浏览器门”事件：一个隐蔽情报系统的完整剖析

    猫头鹰OSINT 2026-04-09T17:06:27 © Owllntel

    Example Image


    本月，安全研究人员揭露了领英（LinkedIn）一项大规模秘密监视行动，该行动涉及对用户浏览器的扫描，以检测和收集超过6000种扩展程序的数据，影响超过4亿用户。LinkedIn被指控收集敏感信息，如宗教信仰、政治观点、健康状况和求职活动，并与以色列情报部门有关的美以网络安全公司HUMAN Security共享数据。调查发现，LinkedIn使用隐藏代码扫描用户电脑上的软件和工具，并通过三个阶段的检测架构来识别扩展程序。此外，LinkedIn还收集了48个数据点的设备指纹，包括硬件和网络特性，并将其与扩展扫描结果合并。数据被加密后发送到LinkedIn服务器，并与第三方公司共享。LinkedIn否认指控，称其机制旨在识别违反服务条款的工具，而非收集用户敏感信息。这一事件引发了关于互联网平台数据获取能力和用户隐私保护的广泛讨论。

    数据泄露 秘密监控 隐私侵犯 网络安全公司 设备指纹识别 浏览器扩展 跨国合作 监管挑战

    0x52 EDU攻防实战：从山东某高校的线下打点到CNVD证书复盘u200c④

    星宇Sec 2026-04-09T16:41:00 © Thanatos

    Example Image


    本文记录了一次针对山东某高校内网的网络安全测试活动。测试团队在获得学校授权的情况下，进行了合规的渗透测试。报告详细分析了测试过程中发现的多项高危安全问题，包括路由绕过、接口未授权访问、敏感信息泄露、弱口令以及明文存储敏感信息等。这些问题可以串联利用，导致敏感数据泄露。报告提供了详细的漏洞分类、风险评级、漏洞详情以及攻击路径。同时，还提出了针对这些问题的修复建议，包括加强路由控制、接口鉴权、停用弱口令、加密存储敏感信息等。最后，报告强调了该漏洞的严重性，并建议立即进行处置和全网同类资产排查。

    内网渗透 授权测试 漏洞分析 安全漏洞 网络设备安全 安全事件复盘 CNVD漏洞 Web应用安全 系统安全配置 安全加固

    0x53 新型CrystalRAT恶意软件新增远程控制、数据窃取等功能

    嘶吼专业版 2026-04-09T14:01:26 胡金鱼

    Example Image


    一款名为CrystalRAT的新型远程控制木马在Telegram上以恶意软件即服务（MaaS）模式推广，具备远程控制、数据窃取、键盘记录和剪贴板劫持等核心功能。该恶意软件自今年1月起活跃，采用分级订阅模式运营，同时在YouTube上通过演示视频进行营销。CrystalRAT与WebRAT（Salat窃密木马）相似，二者使用相同的控制面板设计和Go语言编写。该木马具有丰富的恶作剧功能，如修改壁纸、旋转屏幕、强制关机等，旨在吸引初级攻击者。此外，CrystalRAT具备强大的数据窃取能力，支持多种自定义配置和反分析防护措施。木马通过WebSocket连接指挥控制服务器，上传主机信息进行追踪。其窃密模块针对基于Chromium内核的浏览器和其他桌面应用，远程控制模块则支持命令执行、文件上传下载等功能。

    恶意软件 远程控制木马 数据窃取 键盘记录 剪贴板劫持 MaaS模式 Go语言 Telegram YouTube WebRAT 反分析防护 Chromium内核浏览器 Steam Discord Telegram应用 恶作剧功能 用户迷惑 网络安全威胁

    0x54 2026 年高危漏洞 TOP10 盘点与修复实战指南

    君说安全 2026-04-09T12:24:41 浅望26

    Example Image


    本文盘点了2026年第一季度披露的十大高危漏洞，并提供了详细的修复实战指南。文章首先概述了漏洞统计、受影响产品分布和攻击类型分布，接着深入解析了Apache Log4j变种漏洞（CVE-2026-1001）、MySQL认证绕过漏洞（CVE-2026-1002）和Linux Kernel权限提升漏洞（CVE-2026-1003）的技术细节、POC复现步骤和修复方案。此外，文章还介绍了企业级漏洞管理实战，包括漏洞扫描方案、修复优先级矩阵和修复验证清单。最后，文章提出了避坑指南和安全加固最佳实践，并对2026年的漏洞趋势进行了展望，建议企业建立快速响应机制、利用自动化工具提升效率、实施纵深防御和持续监控，以应对不断变化的安全威胁。

    漏洞管理 高危漏洞 安全运维 日志安全 数据库安全 内核安全 纵深防御 补丁管理 安全加固 威胁情报

    0x55 Rapid7一线实录：CVE-2025-59718 FortiGate 防火墙入侵事件深度剖析

    Desync InfoSec 2026-04-09T12:07:49 bitbot

    Example Image


    本文详细分析了Rapid7事件响应团队针对CVE-2025-59718漏洞的深度技术分析报告。该漏洞影响FortiGate防火墙设备，攻击者可利用其绕过SSO单点登录认证。文章从攻击链的初始访问、持久化、凭据窃取到横向移动的全过程进行了还原，并提供了检测与防御思路。报告揭示了攻击者利用CVE-2025-59718进行认证绕过，下载配置文件，创建管理员账户，修改VPN配置等步骤。同时，文章还提供了基于MITRE ATT&CK框架的技术映射，以及IoC情报指标和防御建议。

    CVE-2025-59718 FortiGate 防火墙安全 入侵事件 事件响应 漏洞利用 安全漏洞 网络安全策略 攻击链分析 MITRE ATT&CK

    0x56 KongTuke FileFix 攻击链：新型 PHP 版 Interlock RAT 深度剖析

    Desync InfoSec 2026-04-09T12:07:49 bitbot

    Example Image


    本文详细剖析了KongTuke FileFix攻击链，该攻击链使用Interlock勒索软件组织的远程访问木马（RAT）变种。Interlock RAT从JavaScript转向PHP架构，用于大规模攻击活动。攻击始于被入侵网站注入的隐藏脚本，通过一系列步骤最终部署Interlock RAT。攻击者使用PowerShell和PHP结合的方式，自动化侦察系统信息，并通过Cloudflare Tunnel建立C2通道。文章还提供了IoC情报配置文件哈希、C2域名和备用C2 IP，以及检测建议，强调安全团队应关注PHP运行时和Cloudflare Tunnel的滥用。

    勒索软件 远程访问木马 Web 注入攻击 PowerShell 攻击 PHP 攻击 恶意软件分析 威胁情报 防御策略

    0x57 Linux和Unix打印系统曝出漏洞链，远程攻击者最终可拿root权限

    汇能云安全 2026-04-09T11:46:02

    Example Image


    本文报道了近期多个网络安全事件，包括新一代安全模型Mythos的发布，预示着AI在网络安全领域的应用日益增强；开源AI工作流平台Flowise存在高危漏洞，可能导致整机控制；恶意npm包gemini-ai-checker针对AI编程生态中的开发者进行攻击；Node.js远控木马通过ClickFix攻击手段进行传播；黑客利用远程管理工具入侵企业系统；恶意软件安装包同时携带远控木马和挖矿程序；Strapi插件供应链攻击对加密货币支付平台构成威胁；Common Unix Printing System（CUPS）曝出漏洞，攻击者可获取root权限；DeFi平台Drift Protocol遭受2.86亿美元盗窃；Next.js的“React2Shell”漏洞导致大规模服务器被攻破。这些事件表明，网络安全形势严峻，AI技术的应用和安全漏洞的利用成为新的攻击手段，企业和个人需要加强安全意识。

    漏洞披露 安全模型 AI攻击 供应链攻击 远程攻击 远程管理工具 恶意软件 DeFi安全 开源安全 网络安全意识

    0x58 为知笔记 login 弱口令漏洞

    Nday Poc 2026-04-09T10:09:01 Superhero

    Example Image


    本文介绍了为知笔记登录接口存在的一个弱口令漏洞。该漏洞位于为知笔记的login路径，未授权的攻击者可以利用这个漏洞直接进入后台管理页面，获取敏感信息，甚至控制整个服务器。文章中提到了如何使用搜索引擎fofa进行漏洞搜索，并提供了漏洞复现的步骤和自查工具。同时，还给出了一些建议的修复措施，包括关闭互联网暴露面或接口设置访问权限，以及升级至安全版本。文章最后简要介绍了内部圈子【Nday漏洞实战圈】，该圈子专注于公开1day/Nday漏洞复现和工具链适配支持。

    弱口令漏洞 后台管理页面安全 敏感信息泄露 服务器控制 网络安全漏洞复现 安全工具 安全修复建议 漏洞披露责任

    0x59 未授权访问漏洞扫描器 -- Unauthorized-vulnerability-tools（4月5日更新）

    Web安全工具库 2026-04-09T09:55:22 Yuelo0

    Example Image


    本文介绍了一款名为'Unauthorized-vulnerability-tools'的未授权访问漏洞扫描器。该工具由Python和PyQt5编写，图形化界面，支持检测40多种常见服务的未授权漏洞。文章强调了使用此工具进行测试应在合规合法的范围内进行，并警告读者不要利用文章中的技术进行非法测试。文章还提供了工具的安装与使用方法，包括运行界面和目标输入方式，并列出了支持扫描的服务列表。此外，文章提醒用户在虚拟机中运行该工具，并提供了下载链接和二维码。

    漏洞扫描 网络安全 Python开发 图形界面工具 虚拟机安全 合规性测试 开源社区

    0x5a 10分钟，让Claude挖出一个隐藏13年的ActiveMQ严重漏洞（CVE-2026-34197）

    幻泉之洲 2026-04-09T09:02:52

    Example Image


    Apache ActiveMQ Classic中的CVE-2026-34197是一个存在了13年的远程代码执行漏洞，攻击者可通过Jolokia管理接口，诱导消息代理加载并执行远程的恶意Spring XML配置文件。该漏洞源于一个为求方便而引入的糟糕设计，即允许对ActiveMQ自家的所有MBeans进行任何操作。漏洞利用了addNetworkConnector方法，结合vm://传输功能，使ActiveMQ创建一个远程配置的代理，从而执行任意代码。对于ActiveMQ 6.0.0到6.1.1版本，由于另一个漏洞CVE-2024-32114的存在，Jolokia接口无需认证即可访问，使该漏洞成为无认证远程代码执行漏洞。ActiveMQ Classic的5.19.4和6.2.3版本已修复此漏洞，建议升级并检查默认密码。监控日志中包含brokerConfig=xbean:http的vm://URI活动，以及异常的出站HTTP请求和子进程生成，有助于检测该漏洞。该漏洞的发现过程展示了大语言模型在安全研究中的应用，能够高效地分析复杂攻击路径，提示安全研究和代码审计的范式正在改变。

    远程代码执行 (RCE) JMX / Jolokia 配置错误 / 不安全配置 Spring框架漏洞 Deserialization (反序列化) 逻辑漏洞 认证绕过 默认凭证 Web安全 MBean安全

    0x5b 拿捏1.8万台设备！从CVE-2023-50224看APT组织如何玩转边缘设备渗透

    安全圈动向 2026-04-09T08:04:59 © Kit Chung

    Example Image


    本文详细解析了一起APT28组织利用CVE-2023-50224漏洞对SOHO路由器进行渗透攻击的事件。APT28通过该漏洞获取TP-Link和MikroTik路由器的管理员权限，进而实施DNS劫持，将受害者流量导向恶意DNS服务器。随后，通过中间人攻击（AitM）截获受害者登录凭证，包括密码和OAuth Token。文章揭示了APT28如何利用自动化过滤漏斗筛选高价值目标，并强调了边缘设备安全配置的重要性。文章还提出了一系列防御建议，包括更改弱口令、定期更新固件和实施零信任策略。

    APT攻击 边缘设备安全 CVE漏洞利用 DNS劫持 中间人攻击 网络安全意识 防御策略

    0x5c w字解析内网环境与域内信息收集全流程

    智榜样网络安全学习中心 2026-04-09T07:55:54 © 小智

    Example Image


    本文详细介绍了内网渗透测试的信息收集阶段，强调了合规操作和隐蔽性原则。文章首先阐述了内网与Web渗透的核心区别，即内网攻击面的隐蔽性，以及新手在信息收集阶段容易犯的错误。接着，文章提出了内网信息收集的三大核心原则：合规准则、隐蔽性和信息闭环。随后，文章分阶段详细讲解了内网信息收集的全流程，包括本机零流量信息收集、内网网络环境低流量轻量探测、域内基础信息收集、高价值目标与攻击面深度收集，以及信息整理与渗透路径规划。每个阶段都提供了具体的Windows和Linux命令，并标注了其在实战渗透中的核心作用。此外，文章还介绍了特殊场景的适配方案，如低权限域用户场景、EDR免杀绕过场景和跨域或域林环境场景。最后，文章总结了本集内容，并预告了下集将讲解Windows凭证获取技术。

    内网渗透 信息收集 域渗透 Windows安全 Linux安全 凭证收集 隐蔽渗透 安全评估 工具使用 合规安全

    0x5d XXE\\SSRF\\XSS全家桶实战案例

    锐鉴安全 2026-04-09T07:02:07 © 锐鉴安全

    Example Image


    本文详细介绍了XXE、SSRF、XSS等网络安全漏洞的实战案例。作者通过某高校人脸采集系统和证书站点的案例，展示了如何通过信息收集、漏洞挖掘和利用等步骤来发现并利用这些安全漏洞。文章中提到了利用fuzz技术发现任意用户注册账号漏洞、通过抓包修改数据包实现注册账号、利用XXE漏洞进行SSRF攻击、以及通过XSS漏洞进行攻击等技巧。同时，作者还分享了一些工具和插件的使用方法，如Wappalyzer、Webpack映射提取器等，以及如何通过这些工具辅助进行安全测试。文章强调，在进行安全测试时，应遵循法律法规，不得利用文中提供的技术进行非法测试。

    XXE漏洞 SSRF漏洞 XSS漏洞 未授权访问 信息收集 渗透测试 漏洞利用 实战案例 安全工具

    0x5e 水坑攻击分析、案例、及防护

    暗镜 2026-04-09T06:00:49 © Picus

    Example Image


    水坑攻击是一种利用合法网站进行网络攻击的策略，攻击者通过入侵目标用户常访问的网站，植入恶意代码，等待用户访问时被感染。这种攻击方式隐蔽性强，难以被传统防御措施检测。攻击过程分为侦察、网站入侵、恶意载荷投放和感染后活动四个阶段。水坑攻击已成为APT组织等高级威胁行为者的常用手段，攻击目标包括政府机构、金融、国防和关键基础设施等。防御水坑攻击需要多层次的安全策略，包括持续打补丁、部署EDR工具、使用安全Web网关、零信任模型和用户培训等。

    水坑攻击 网络安全策略 恶意软件传播 攻击模式 APT攻击 用户教育 安全工具 漏洞利用 网络钓鱼

    0x5f 工具推荐 | 支持内网级联、内存加载、动态执行的全能ASPX/ASHX管理工具

    星落安全团队 2026-04-09T00:00:30 0x7556

    Example Image


    金刚狼是一款专为ASPX环境设计的高级WebShell管理工具，主要面向安全研究人员和渗透测试人员。该工具提供了强大的命令执行、提权、内网穿透能力，并集成了多种渗透工具。其核心优势包括支持AI渗透，采用二进制流传输协议实现高效隐蔽通信，端到端AES加密保障数据安全，以及无痕运行（内存加载无文件落地）。此外，金刚狼支持通过已控WebShell进行内网级联控制，实现便捷的内网横向渗透。功能上，它不仅支持命令执行、文件管理，还能执行自定义.NET程序，进行权限提升、内网穿透、凭据窃取、漏洞检测与利用等。文章还介绍了开发者的背景，其在安全公司攻防实验室工作，拥有丰富的实战经验，擅长工具开发、免杀、代码审计等技术。同时，文章提及了星落安全团队提供的免杀工具箱和相关服务，以及如何通过微信公众号获取项目下载地址和加入交流群。

    WebShell ASPX 无文件攻击 内网渗透 提权 隐蔽性 加密通信 AI渗透 工具集成 安全防御研究

    0x60 Vite 任意文件读取漏洞 | CVE-2026-39363复现&研究

    404号浪漫 2026-04-08T23:09:47 © 404号浪漫

    Example Image


    本文详细分析了Vite前端构建工具中存在的安全漏洞（CVE-2026-39363），该漏洞允许未经验证的连接通过WebSocket接口读取开发服务器所在主机上的任意敏感文件。文章首先介绍了漏洞的背景和影响版本，然后通过Docker环境搭建步骤演示了漏洞复现过程。漏洞原理分析部分深入探讨了漏洞形成的原因，包括WebSocket服务器入口处的身份验证缺陷、自定义事件的任意调用逻辑以及访问控制机制在WebSocket-RPC路径中的失效。文章指出，漏洞利用链涉及WebSocket自定义事件触发、fetchModule函数调用以及文件读取操作，最终导致敏感文件内容被读取并以JS模块形式回传。最后，文章提出了升级到最新版本、临时防护措施以及代码级修复方向等建议，以帮助开发者防范该漏洞。

    漏洞分析 文件读取 WebSocket安全 前端安全 未经验证 Origin 头 版本影响 环境搭建 攻击链路

    0x61 【高危漏洞预警】Apache ActiveMQ远程代码执行漏洞(CVE-2026-34197)

    飓风网络安全 2026-04-08T22:29:54 jufeng

    Example Image


    Apache ActiveMQ近日被发现存在一个严重的安全漏洞（CVE-2026-34197），该漏洞允许攻击者通过Jolokia API接口直接发起请求，无需身份验证即可执行危险操作。攻击者可以构造请求，通过vm://传输URI注入恶意URL，当ActiveMQ尝试连接不存在的Broker时，会加载远程Spring XML配置文件并执行恶意代码。此漏洞影响Apache ActiveMQ Broker和Apache ActiveMQ产品，包括6.0.0至6.1.1版本。攻击者可以利用此漏洞实现未授权的远程代码执行。建议用户升级至最新版本或采取限制Jolokia访问、禁用不必要的功能、强化网络隔离等措施来降低风险。

    远程代码执行 Apache ActiveMQ Jolokia API CVE-2026-34197 软件漏洞 未授权访问 配置注入 组合攻击 漏洞修复

    0x62 【高危漏洞预警】Vite WebSocket任意文件读取漏洞(CVE-2026-39363)

    飓风网络安全 2026-04-08T22:29:54 jufeng

    Example Image


    本文预警了一个名为CVE-2026-39363的高危漏洞，该漏洞存在于Vite开发服务器的WebSocket中。由于fetchModule方法未实施server.fs访问控制，攻击者可以通过WebSocket连接读取服务器上的任意文件。漏洞影响范围包括Vite 8.0.0至8.0.4、7.0.0至7.3.1、6.0.0至6.4.1、Vite<=0.1.1等版本。攻击无需身份验证，且可以在局域网或公网环境下通过网络向量发起。官方已发布补丁，建议用户更新至最新版本。同时，建议用户对配置进行加固，限制文件读取权限，并考虑网络隔离和输入验证等措施以增强安全性。

    Web漏洞 文件读取漏洞 任意文件访问 身份验证绕过 WebSocket安全 软件更新 内网安全 纵深防御

    0x63 《2026年安全圈必看：Keygraph 开源 Shannon，AI 驱动的白盒渗透测试进入新时代》

    泷羽Sec-Norsea 2026-04-08T21:07:36 © KeygraphHQ

    Example Image


    Shannon 是由 Keygraph 开发的 AI 渗透测试工具，旨在对 Web 应用程序及其底层 API 执行白盒安全测试。它结合了源代码分析和实时漏洞利用技术，通过分析 Web 应用程序的源代码来识别潜在的攻击途径，并使用浏览器自动化和命令行工具对运行中的应用程序及其 API 进行实际的漏洞利用，如注入攻击、身份验证绕过、SSRF 和 XSS。Shannon 的最终报告仅包含具有可验证概念的漏洞。该工具的意义在于弥补了持续代码发布与渗透测试频率不匹配的差距，通过提供按需自动化渗透测试，可以针对每个构建或版本运行，从而在一年多次的代码发布周期中持续发现和修复漏洞。Shannon 支持完全自主运行，无需人工干预，并能生成可复现的概念验证漏洞利用代码。它覆盖 OWASP 漏洞范围，并通过分析源代码来指导攻击策略。此外，Shannon 集成了多种安全工具，并支持并行处理漏洞分析和利用阶段。安装和使用方面，它需要 Docker、Node.js、pnpm 和 AI 提供商资质，如 Anthropic API 密钥。Shannon 还支持工作区功能，允许用户恢复中断或失败的运行。整体而言，Shannon 是一个强大的自动化渗透测试工具，有助于提高 Web 应用程序的安全性。

    AI 渗透测试 自动化渗透测试 Web 应用安全 白盒测试 漏洞利用 可验证漏洞报告 持续安全 代码感知测试 集成安全工具 并行处理 工作区管理 凭证管理

    0x64 AI联动IDA Pro MCP 实战逆向分析加密混淆 APK的通信数据包解密

    Z2O安全攻防 2026-04-08T21:03:56 abc123info

    Example Image


    本文详细描述了使用AI技术逆向分析一个经过高度混淆的Android APK文件的过程。作者首先通过抓包工具获取了APK的通信数据包，并使用jadx反编译工具定位到关键的Java代码，发现核心逻辑封装在BeinasongTowerHelper类中，且加密解密函数通过System.loadLibrary调用so文件实现。接着，作者使用IDA Pro 9.3打开so文件，并结合Claude和IDA Pro MCP插件进行逆向分析。通过构造特定的AI提示词，成功定位到加密函数epj和解密函数drj的具体实现。由于加密过程高度混淆，作者利用AI生成Python脚本并结合样本数据进行试错解密，最终成功还原了加密数据包的明文。该案例展示了AI在逆向工程中的强大能力，能够显著提高分析效率，节省大量手动分析时间。

    逆向工程 动态分析 静态分析 AI辅助安全分析 安卓安全 代码混淆 加密解密分析 JNI分析

    0x65 朝鲜APT (UNC1069)

    Khan安全团队 2026-04-08T19:37:05

    Example Image


    本文分析了朝鲜APT组织（UNC1069）所使用的一种新型网络钓鱼攻击手段。该组织在2026年4月6日部署了一个伪造的“Microsoft Teams”域名OnLiveMeet[.]com，用于发起钓鱼攻击。攻击者通过在Telegram或Slack等即时通讯应用程序中显示与目标URL不匹配的链接，诱骗受害者点击。这种攻击手段要求攻击者持续检查目标URL，以防止被受害者察觉。文章中提供了伪造的会议链接和相关的欺骗性文本，展示了攻击者如何伪装成合法的Microsoft Teams会议邀请，以及如何诱导用户更新SDK版本以实施攻击。

    APT攻击 钓鱼攻击 域名欺诈 社会工程学 网络钓鱼 恶意软件部署 安全意识教育

    0x66 CUPS漏洞链使远程攻击者能够以root用户身份执行恶意代码

    安全圈的那点事儿 2026-04-08T19:17:00 © 网络安全9527

    Example Image


    通用Unix打印系统（CUPS）存在一个严重漏洞链，允许未经身份验证的远程攻击者以root权限执行任意恶意代码。这一漏洞链涉及CVE-2026-34980和CVE-2026-34990两个零日漏洞，影响CUPS 2.4.16及更早版本。攻击者通过利用遗留的打印队列和本地主机身份验证机制，可以绕过身份验证层，并在系统中植入恶意代码。攻击分为两个阶段，首先通过CVE-2026-34980漏洞在CUPS服务器默认策略上执行恶意构造的打印请求，然后利用CVE-2026-34990漏洞提升权限至root。目前尚无官方补丁，管理员应采取措施如禁用共享队列、限制网络暴露和实施严格身份验证来缓解风险。

    漏洞利用 远程攻击 Root权限提升 打印系统安全 身份验证绕过 竞争条件攻击 系统完整性 安全补丁管理 强制访问控制

    0x67 Docker授权绕过漏洞使主机暴露于潜在攻击者之下

    安全圈的那点事儿 2026-04-08T19:12:00 © 网络安全9527

    Example Image


    Docker Engine被发现存在一个编号为CVE-2026-34040的高危安全漏洞，该漏洞可能允许攻击者通过操纵API请求正文绕过授权插件（AuthZ），从而对主机造成授权绕过攻击的风险。尽管攻击利用的可能性较低，但该漏洞的严重性评级为“高”。漏洞源于对先前Docker授权缺陷（CVE-2024-41110）的不完整修复，影响所有主动使用AuthZ插件且版本在29.3.1之前的Docker Engine。攻击者可能利用此漏洞提升权限、更改主机配置或访问敏感数据。为了修复此漏洞，建议用户升级到Docker Engine版本29.3.1或更高版本。如果无法立即升级，可以采取停止使用依赖请求体检查的授权插件、严格限制Docker API访问等变通措施。

    Docker漏洞 授权绕过 高危漏洞 API安全 容器安全 漏洞修复 安全最佳实践

    0x68 OpenSSL 多个漏洞暴露 RSA KEM 处理中的敏感数据

    安全圈的那点事儿 2026-04-08T19:05:00 © 网络安全9527

    Example Image


    OpenSSL最近公布了一个新的安全漏洞（CVE-2026-31790），该漏洞可能会允许攻击者访问存储在应用程序内存中的敏感数据。该漏洞影响RSA密钥封装机制（KEM）中的RSASVE封装处理，由于编码疏忽，系统无法正确验证返回值，导致加密失败时错误地认为是成功。如果攻击者提供无效的RSA公钥且应用程序未进行验证，则可能导致敏感数据泄露。OpenSSL已经发布了补丁，建议用户升级到最新的已修补版本。对于无法立即升级的系统，可以通过代码层面的变通方案来降低风险。

    OpenSSL 漏洞 RSA 密钥封装机制 敏感数据泄露 缓冲区错误 软件补丁 安全更新 编码错误

    0x69 【漏洞通告】Vite WebSocket 任意文件读取漏洞 CVE-2026-39363

    深信服千里目安全技术中心 2026-04-08T18:57:45 深瞳漏洞实验室

    Example Image


    本文报道了Vite WebSocket组件存在的任意文件读取漏洞（CVE-2026-39363），该漏洞允许攻击者无需用户认证，通过默认配置的WebSocket通道发送特定指令，绕过HTTP接口的访问限制，从而读取服务器上的任意文件。漏洞影响范围包括Vite 8.0.0至8.0.47、7.3.16、6.4.1以及0.1.15版本。深瞳漏洞实验室已发布该漏洞通告，并指出漏洞的威胁等级为高危。官方已发布修复方案，建议用户更新到最新版本以消除漏洞。同时，深信服提供了风险资产发现、漏洞主动检测等解决方案，以帮助用户发现和修复该漏洞。

    漏洞通告 任意文件读取 CVE编号 Vulnerability WebSocket 前端构建工具 安全修复 版本影响 安全漏洞检测

    0x6a 【漏洞通告】Apache ActiveMQ Classic 远程代码执行漏洞 CVE-2026-34197

    深信服千里目安全技术中心 2026-04-08T18:57:45 深瞳漏洞实验室

    Example Image


    Apache ActiveMQ Classic 存在一个远程代码执行漏洞（CVE-2026-34197），该漏洞允许攻击者通过ActiveMQ的Jolokia API执行管理操作，进而获取远程配置文件并执行任意操作系统命令。漏洞影响Apache-ActiveMQ的5.x系列低于5.19.46.0.0和6.x系列低于6.2.3的版本。攻击者需要用户认证才能利用该漏洞，但Apache ActiveMQ 6.0.0至6.1.1版本因叠加CVE-2024-32114漏洞，无需认证即可远程代码执行。官方已发布最新版本修复该漏洞，建议受影响用户更新至最新版本。此外，深信服提供了包括风险资产发现、漏洞主动检测、漏洞安全监测和漏洞安全防护在内的解决方案，以帮助用户降低风险。

    远程代码执行 Apache ActiveMQ 消息代理 CVE-2026-34197 高危漏洞 Java 开源软件 认证相关 漏洞修复 漏洞通告

    0x6b [工具推荐]BurpSuite 多漏洞自动化探测插件xia_tan (瞎探)

    陌笙不太懂安全 2026-04-08T18:14:56 mapl3miss

    Example Image


    本文详细介绍了一个名为 xia_tan 的 BurpSuite 扩展插件，该插件用于自动化探测常见的 Web 漏洞。插件支持检测反射型 XSS、SQL 注入（涵盖 10 种数据库）、SSTI 模板注入（覆盖 6 大家族 20+ 引擎）以及 NoSQL 注入。其核心特点包括采用行级 Jaccard 相似度算法降低误报率，以及结合多步布尔盲注对照算法提高检测精度。插件的工作流程分为三个阶段：首先合并探测 XSS 和 SSTI，然后依次进行 SQL 注入探测（包括 ORDER BY 注入、数字型注入、报错探针、布尔盲注和延时注入），最后进行 NoSQL 注入探测（包括布尔盲注和操作符注入）。每个参数的完整扫描流程涉及约 5~13 个请求。此外，插件还提供了丰富的配置选项，如检测模块开关、匹配关键词、路径匹配规则、域名与路径过滤、参数与阈值设置等，用户可以根据实际需求进行调整。使用方法包括手动扫描和自动监控两种模式。最后，文章还介绍了该插件的总结和实战测试，并附有相关的工具地址和社区信息。

    Web安全 漏洞扫描 BurpSuite插件 XSS SQL注入 SSTI NoSQL注入 自动化安全测试 安全工具

    0x6c 【已复现】OpenAM 预认证反序列化远程代码执行漏洞（CVE-2026-33439）

    安恒信息CERT 2026-04-08T18:02:45

    Example Image


    OpenAM预认证反序列化远程代码执行漏洞（CVE-2026-33439）是一个严重的安全漏洞，它绕过了CVE-2021-35464之后应用于jato.pageSession参数的WhitelistObjectInputStream缓解措施。未经身份验证的攻击者可以通过发送特制的序列化Java对象作为jato.clientSession的GET/POST参数，在服务器上实现任意命令执行。该漏洞影响了OpenAM 16.0.6之前版本，CVSS3.1评分高达9.8。安恒研究院已复现此漏洞，并建议用户升级至OpenAM 16.0.6或更高版本以修复漏洞。同时，提供了包括限制网络访问、WAF规则拦截、启用请求监控和禁用敏感端点等临时缓解措施。

    远程代码执行 身份认证漏洞 反序列化漏洞 OpenAM CVE编号 CVSS评分 安全修复 缓解措施 代码审计 安全通告

    0x6d 速查！Everything疑似存在银狐木马

    喜欢挖洞吗 2026-04-08T17:16:09 喜欢挖洞吗

    Example Image


    本文报道了一起关于Everything工具存在银狐木马的活动。通过官方渠道下载的Everything 1.4.1.1022版本被发现包含银狐木马，该木马在安装过程中会尝试连接到恶意域名。火绒安全软件能够识别并拦截这种活动，并在安全日志中记录相关信息。通过微步情报分析，发现这些恶意域名与银狐木马有关联。进一步分析表明，该版本的Everything存在可疑的网络连接行为，指向一个美国IP地址，该IP地址也与银狐木马存在关联。为了安全起见，建议用户不要使用1.4.1.1022版本，而应下载并使用最新版本的Everything。同时，文章中还提供了详细的排查过程和安全日志，以帮助用户识别和防范类似的安全威胁。

    恶意软件攻击 软件漏洞 安全漏洞利用 下载安全 恶意链接检测 沙箱测试 安全软件报毒 网络监控

    0x6e [EDU]一次小程序的越权

    略懂安全的三秋 2026-04-08T16:49:24 © 略懂安全的三秋

    Example Image


    本文描述了一次针对某校访客预约系统的小程序越权测试。测试者首先尝试通过修改预约请求中的ID参数来取消预约，发现未进行鉴权。接着，测试者使用另一个微信号进行相同的操作，成功取消了预约。随后，测试者解包小程序，发现其中泄露了appkey、appsecret、wxappid和wxsecret。这些泄露的信息可以用来获取AccessToken和钉钉等服务的访问权限。文章提醒读者，利用这些信息造成的后果由使用者本人负责，公众号不承担任何责任。文中还包含了一些抓包数据的截图和HTTP请求的详细信息。

    越权漏洞 身份验证漏洞 小程序安全 API安全 信息泄露 移动端安全

    0x6f 安服仔单兵驻场指南——应急响应

    蛙王工具库 2026-04-08T15:49:54 这小子嘴硬

    Example Image


    本文详细介绍了网络安全应急响应的流程和方法，涵盖了从进场前准备到现场保护、Windows和Linux系统的应急排查、常见攻击类型的快速排查、证据采集与保存以及报告编写等七个方面。进场前需要与客户确认系统信息、日志状态等关键信息，并准备相应的工具和介质。到达现场后，首先要保护现场，包括断网、采集易失数据（如进程列表、网络连接等）并拍照留痕。针对Windows系统，排查重点包括账号、进程、网络连接、计划任务、服务、启动项、日志和文件系统等；针对Linux系统，排查重点包括账号、进程、网络连接、计划任务、服务、启动项、历史命令、日志和文件系统等。文章还列举了常见攻击类型（如挖矿木马、勒索病毒、Webshell、后门、Rootkit和数据窃取）的典型特征和优先排查位置。最后，详细说明了证据采集的清单、文件完整性校验方法、采集注意事项、链式custody以及报告编写的结构和原则，强调了结论明确、证据支撑、可操作性和留痕可查的重要性。

    应急响应 Windows系统安全 Linux系统安全 恶意软件分析 日志分析 数字取证 安全运维 安全工具使用

    0x70 语音运行时漏洞：一个隐秘的Windows横向移动通道

    幻泉之洲 2026-04-08T14:59:08

    Example Image


    攻击者正利用Windows的合法语音组件SpeechRuntime进行隐蔽的横向移动。这种基于COM劫持的攻击手法，绕过了传统防护，尤其针对启用远程桌面（RDP）的管理员账户。攻击者通过非官方API枚举远程会话，识别目标用户，然后通过WMI远程启动远程注册表服务，篡改注册表中的CLSID路径指向恶意DLL，实现COM劫持。最终，恶意代码会在目标用户的会话中，以SpeechRuntime.exe进程的身份执行。检测策略包括监控API调用、服务状态变更告警、注册表键审计、进程创建监控等。攻击链长，留下的蛛丝马迹多，防御方需要结合端点和服务器的多个数据源进行多层设防。COM劫持给Windows环境下的横向移动开了不少后门，防御团队需要把这些公开的、新型的攻击手法尽快纳入检测策略，持续对抗攻击者的工具箱，才能更好地守住自己的阵地。

    COM劫持 横向移动 Windows安全 隐蔽攻击 WMI利用 注册表审计 进程监控 RDP攻击 防御策略

    0x71 拿到一台机器之后：AD横向移动技术实战手册

    极客零零七 2026-04-08T14:30:58 © 极客零零七

    Example Image


    本文是一篇关于Active Directory（AD）渗透中横向移动技术的实战手册。文章指出，在AD渗透过程中，获取第一台机器后，横向移动成为关键步骤，因为它允许攻击者从一个已控制的机器跳转到网络中的其他机器。文章不涉及工具的具体用法，而是聚焦于在不同场景下如何选择合适的横向移动技术，解释了各种凭据类型（如LSASS内存中的凭据）及其对应的攻击技术（如Pass-the-Hash和Pass-the-Ticket）。文章还提到了如何从机器上提取凭据，包括使用Mimikatz工具和impacket-secretsdump命令。此外，文章强调了在多台机器使用相同本地管理员密码的情况下，一个本地管理员哈希可以横向移动到所有这些机器的风险。

    网络安全 域渗透 横向移动 凭据窃取 Pass-the-Hash Pass-the-Ticket Windows渗透 实战手册

    0x72 Patch手法免杀内网工具Frpc

    安全天书 2026-04-08T14:21:51 © Hello888

    Example Image


    本文介绍了一种名为Patch的免杀内网工具Frpc。该工具具备自动化扫描和Patch白文件的功能，旨在帮助用户实现免杀效果。工具支持绕过360核晶、火绒、Windows Defender、微步沙箱等主流安全软件的检测。文章中提供了工具的使用方法和配置参数，以及如何在特定目录下进行扫描和排除特定文件。此外，文章还提到了该工具的一些截图，展示了其在不同场景下的工作情况。文章强调，所涉及的技术和工具仅限于安全测试和防御研究，禁止用于非法目的。

    网络安全工具 免杀技术 内网渗透 安全测试 杀软绕过 红蓝对抗 渗透测试 白帽子技术

    0x73 Apache ActiveMQ 中的远程代码执行漏洞 (CVE-2026-34197)

    Ots安全 2026-04-08T12:50:54

    Example Image


    CVE-2026-34197 是一个存在于 Apache ActiveMQ Classic 中的远程代码执行漏洞，已存在长达13年。攻击者可利用 ActiveMQ 的 Jolokia API 调用管理操作，诱使代理服务器获取远程配置文件并执行任意操作系统命令。该漏洞通常需要凭据，但默认凭据 admin:admin 在许多环境中常见，且在特定版本（6.0.0–6.1.1）中，由于 CVE-2024-32114 漏洞，无需凭据即可利用，形成未经身份验证的远程代码执行。Apache ActiveMQ 是一个广泛使用的企业级 Java 消息代理，其 Classic 版本受此漏洞影响。漏洞利用了 Jolokia API 的 addNetworkConnector 操作，通过构造特定 URI，强制代理加载攻击者控制的远程 Spring XML 配置文件，实现代码执行。该漏洞已在 ActiveMQ Classic 版本 5.19.4 和 6.2.3 中修复。检测该漏洞可关注代理日志中的特定网络连接器活动及异常的出站 HTTP 请求。文章还强调了利用 AI 工具进行漏洞挖掘的效率，并建议安全工程师和开发人员充分利用此类工具进行代码分析，以发现潜在漏洞。

    漏洞分析 远程代码执行 Apache ActiveMQ Jolokia Web 安全 认证绕过 配置错误 安全公告

    0x74 【漏洞预警】更新iOS 18.6也逃不掉 DarkSword内核漏洞利用

    Ots安全 2026-04-08T12:50:54

    Example Image


    本文报道了一起针对iOS操作系统的内核漏洞利用，名为DarkSword的攻击链被用于iOS 18.6（及部分相邻版本）的设备，通过Safari浏览器访问恶意网页即可触发。该攻击链利用WebKit/JavaScriptCore内存破坏漏洞实现初始访问，并利用内核读写原语提升权限至root，最终获得文件系统完全访问权限。名为Lara的工具实现了DarkSword的内核利用，支持iPhone SE2、iPhone XS Max等设备。尽管该漏洞已在后续版本中被修补，但未及时更新的设备仍然面临风险。文章提供了检测建议，包括升级系统、监控异常活动以及启用安全功能，并强调了及时打补丁的重要性。

    iOS漏洞 内核级利用 零日漏洞 沙箱逃逸 移动安全 恶意软件 漏洞利用工具 安全预警

    0x75 【安全研究】银狐远控免杀与shellcode修复思路分析

    CppGuide 2026-04-08T11:39:05

    Example Image


    本文深入分析了银狐远控软件的免杀原理以及shellcode修复的思路。文章首先介绍了银狐远控的基本功能和架构，然后详细探讨了其免杀机制，包括利用系统漏洞、混淆代码和动态检测等手段。接着，文章分析了shellcode修复的关键步骤，包括识别和解析shellcode、修复漏洞和注入修复后的shellcode。最后，文章提出了针对银狐远控和shellcode修复的防御策略，为网络安全学习者提供了实用的参考。

    远控软件分析 免杀技术 Shellcode分析 网络安全研究 恶意软件分析

    0x76 Windows Defender 0Day漏洞PoC曝光，攻击者可获取系统最高权限

    e安在线 2026-04-08T11:26:41 e安在线

    Example Image


    网络安全研究员Chaotic Eclipse在GitHub上公开了一个名为BlueHammer的Windows本地提权（LPE）0Day漏洞利用程序，并附带了完整的PoC源代码。该漏洞影响Windows 11最新版本，攻击者可利用此漏洞获取系统最高权限。Chaotic Eclipse对微软安全响应中心（MSRC）的不满导致非协调性公开披露，认为MSRC质量下降，裁减了经验丰富的安全人员。漏洞利用程序具备凭据窃取能力，能够显示本地账户的NTLM密码哈希值。研究人员指出，该漏洞利用程序虽然并非100%可靠，但已足够有效，可能被用于实际攻击。在微软发布官方补丁前，安全团队应采取预防措施，如监控异常权限提升活动、限制本地用户权限等。截至发布时，微软尚未对该漏洞发表公开声明或分配CVE编号。

    Windows Defender 本地提权（LPE） 0Day漏洞 安全响应流程 凭证窃取 NTLM密码哈希值 系统漏洞 微软安全响应中心（MSRC） 安全研究人员 安全社区 勒索软件 APT攻击

    0x77 天地伟业 Easy7 uploadCheckImg 任意文件上传漏洞

    Nday Poc 2026-04-08T10:50:49 Superhero

    Example Image


    本文介绍了天地伟业Easy7软件中的一个安全漏洞，即uploadCheckImg接口存在任意文件上传漏洞。攻击者可以利用此漏洞在服务器端执行任意代码，写入后门，从而获取服务器权限并控制整个web服务器。文章提供了漏洞的概述、复现步骤、自查工具以及修复建议。漏洞通过FOFA搜索引擎进行搜索，并提供了相应的搜索关键词。同时，文章还介绍了Nday漏洞实战圈，一个专注于公开1day/Nday漏洞复现和工具链适配支持的内部圈子。该圈子提供资源内容，包括公开的1day/Nday漏洞POC详情、适配的检测脚本，以及每周新增的7-10个实用POC。文章最后提醒读者仅限合法授权测试，并强调虚拟资源服务购买后不接受退款。

    漏洞分析 文件上传漏洞 服务器安全 易受攻击的软件 安全工具 安全修复 安全社区

    0x78 某黑产团队恶意样本中的计划任务权限维持

    Relay学安全 2026-04-08T10:15:52 kernel

    Example Image


    本文分析了某恶意软件的权限维持机制，该软件通过利用Windows任务调度器权限提升漏洞（CVE-2024-49039）来实现持久化。分析发现，恶意软件在执行时会检查当前进程路径是否为 C:\ProgramData\xfolder32\svchost64.exe，如果不是，则将文件复制到该路径。接着，通过RPC调用恶意任务执行，首先使用 RpcStringBindingComposeW 函数拼接绑定字符串以建立RPC连接，疑似利用了CVE-2024-49039漏洞。恶意软件还会检查本地网络连接，最多尝试60次，每次等待5秒，直到 sub_401060 函数返回true。随后，申请内存并将shellcode复制到其中，通过创建线程执行shellcode。该恶意进程运行在 svchost.exe 下，并通过计划任务实现随系统启动自动运行。文章还提到了一个利用该漏洞的POC，并指出可以通过修改POC中的执行路径来测试效果。最终，恶意软件成功实现了在系统启动时以高权限运行，展示了其独特的权限维持方式。

    恶意软件分析 权限维持 计划任务 (Task Scheduler) RPC 漏洞利用 (CVE-2024-49039) Windows安全 POC (Proof of Concept)

    0x79 [防溯源追踪] 隐藏真实 IP & 防 WAF 封禁&免费 / 付费代理搭建全攻略&Proxy工具使用

    three安全之路 2026-04-08T09:58:19 three安全之路

    Example Image


    本文详细介绍了网络安全领域中的防溯源追踪技术，重点讲解了如何隐藏真实IP地址以防止WAF（Web应用防火墙）封禁。文章首先强调了使用代理IP的重要性，并介绍了代理服务器的核心原理和不同类型的代理协议，包括HTTP代理、HTTPS代理和SOCKS5代理。接着，文章介绍了如何获取免费代理池和付费代理池，并提供了ProxyCat-V2.0.4工具的下载和配置方法。此外，文章还提到了使用代理IP时可能存在的IP泄露问题，并建议安装WebRTC Leak Shield插件来防止真实IP泄露。最后，文章提供了多个工具和服务的配置截图，以及代理轮换模式的设置示例，为网络安全从业者提供了实用的技术指导。

    网络安全防护 渗透测试 代理服务器 IP隐藏 Web应用防火墙(WAF) 免费代理与付费代理 代理池搭建 Proxy工具使用 WebRTC安全

    0x7a 你的验证码就这样被破解了??？（前端篇）

    建哥聊安全 2026-04-08T09:25:02 © 建哥聊安全

    Example Image


    本文详细介绍了如何通过绕过前端验证码来暴力破解用户名和密码登录。实验环境为Win10操作机和Apache + PHP靶机，实验地址为http://ip/pikachu/vul/burteforce/bf_client.php。实验原理在于登录页面的验证码逻辑仅在前端实现，后端不会对验证码进行验证，从而使得前端验证码形同虚设。通过抓包分析，发现输入错误的验证码时，后端不会产生数据包，进一步确认了验证码验证逻辑在前端。实验步骤包括使用Burp Suite抓包工具捕获登录数据包，验证后端对验证码的忽视，并通过前端代码分析验证码生成逻辑。最终，利用Intruder模块结合用户名和密码字典进行暴力破解，成功绕过登录验证机制。实验总结强调了判断验证码验证位置的重要性，并指出在前后端验证均存在漏洞时，可直接使用字典暴力破解，根据结果长度分析正确密码。

    绕过验证码 暴力破解 前端验证 网络渗透测试 安全评估 Web安全 抓包分析

    0x7b 与Claude共度的 10 分钟：CVE-2026-34197 的远程代码执行

    骨哥说事 2026-04-08T09:13:15 © 骨哥说事

    Example Image


    Apache ActiveMQ Classic中存在一个名为CVE-2026-34197的远程代码执行漏洞，该漏洞已潜伏13年。攻击者可通过ActiveMQ的Jolokia API调用管理操作，诱使代理获取远程配置文件并执行任意操作系统命令。该漏洞通常需要凭据，但许多环境使用默认凭据（admin:admin）。在特定版本（6.0.0–6.1.1）上，由于另一个漏洞CVE-2024-32114的存在，Jolokia API无意中暴露且无需认证，导致完全无需凭据的远程代码执行。Apache ActiveMQ是一个广泛部署的开源Java消息代理，其Classic版本受此漏洞影响。漏洞利用了Jolokia API中的addNetworkConnector操作，通过VM传输机制强制代理加载并执行远程Spring XML配置文件，从而实现代码执行。该漏洞已在ActiveMQ Classic版本6.2.3和5.19.4中得到修复。文章建议受影响组织将此漏洞视为高优先级，并强调了使用自动化工具如Claude在漏洞挖掘中的重要性。

    漏洞分析 远程代码执行 Apache ActiveMQ Jolokia API 认证绕过 安全公告 补丁修复 检测方法 漏洞挖掘工具

    0x7c 微软AI 应用安全系列之二：检测与分析 AI 工具中的提示词滥用

    安全行者老霍 2026-04-08T09:00:46 © Microsoft

    Example Image


    本文探讨了AI应用中的提示词滥用问题，这是AI安全领域中一个关键且常见的安全问题。文章首先介绍了AI应用如何扩大攻击面，并强调了在进行AI应用威胁建模后的检测与响应工作的重要性。特别是针对提示词滥用，文章详细描述了其攻击类型，包括直接提示词覆盖、针对敏感输入的提取型提示词滥用以及间接提示词注入。文章还提供了一个通过非合规AI工具实现间接提示词注入的攻击场景示例，说明了攻击者如何通过构造链接中的URL片段来影响AI系统的输出。为了应对这一问题，文章提供了一套安全操作手册，包括检测、调查与响应处置的步骤，并介绍了如何使用微软的安全工具来监控和防御这类攻击。此外，文章还提出了缓解与防护指南，包括将攻击对应至微软工具与防护措施的操作手册步骤，以及如何通过监控、治理和用户培训来确保AI输出保持可靠。

    AI 安全 威胁建模 安全响应 数据保护 安全策略 安全治理 安全监控 安全意识 OWASP

    0x7d GPUBreach 漏洞利用 GPU 内存位翻转实现完整系统接管

    黑猫安全 2026-04-08T08:52:21 鹏鹏同学

    Example Image


    新研究表明，GPUBreach 漏洞利用 GPU 内存中的 RowHammer 位翻转技术，能够实现从数据损坏到特权提升的攻击，甚至可能导致系统的完全接管。这种攻击方法超越了早期 GPUHammer，因为它证明了 GPU 内存故障可以直接影响 CPU 级别的安全性。攻击者通过破坏 GPU 页表，可以获得非特权 CUDA 内核的任意 GPU 内存读/写权限，并利用 NVIDIA 驱动程序中的漏洞提升至 CPU 级别的特权。该攻击无需禁用 IOMMU，即使在启用 IOMMU 的情况下也能实现 CPU 特权提升。尽管 ECC 可以帮助缓解 Rowhammer 攻击，但消费级 GPU 缺乏 ECC 保护，使得这种攻击更加危险。

    GPU Security Rowhammer Attack Memory Corruption Root Access Privilege Escalation Driver Vulnerabilities System Compromise Post-Quantum Cryptography Machine Learning

    0x7e 攻击者利用 Flowise 严重漏洞 CVE-2025-59528 实现远程代码执行

    黑猫安全 2026-04-08T08:52:21 鹏鹏同学

    Example Image


    本文报道了攻击者正在利用Flowise平台中的一个严重漏洞CVE-2025-59528进行攻击的情况。该漏洞允许攻击者远程执行代码和访问文件系统，主要原因是Flowise在处理用户提供的JavaScript时未进行适当的验证。Flowise是一个开源平台，用于构建和管理LLM工作流和自主代理。漏洞存在于CustomMCP节点中，该节点不安全地处理用户输入，允许攻击者以Node.js权限执行任意JavaScript，从而可能导致系统完全沦陷、文件访问、命令执行和数据窃取。该漏洞影响了Flowise 3.0.5及以下版本，已在3.0.6版本中修复。VulnCheck检测到该漏洞的首次利用活动，涉及12,000至15,000个实例。

    远程代码执行 开源软件漏洞 JavaScript 漏洞 文件系统访问 API 安全性 CVSS 评分 自动化平台安全 数据窃取

    0x7f 快速行动的 Storm-1175 利用新漏洞入侵网络并投放 Medusa 勒索软件

    黑猫安全 2026-04-08T08:52:21 鹏鹏同学

    Example Image


    总部位于中国的威胁行为者Storm-1175通过快速利用新披露的漏洞，对全球多个组织的系统进行攻击，以部署Medusa勒索软件。该组织专注于未打补丁的系统，从初始访问迅速推进到数据窃取和勒索软件部署，有时仅需24小时。攻击目标包括美国、英国和澳大利亚的医疗保健、教育、金融和服务行业。Storm-1175利用多个漏洞，包括CVE-2026-1731等，并在几天内武器化这些漏洞。攻击者通过创建新账户、横向移动、窃取凭据和削弱安全防御来保持持久化。他们使用Impacket、Mimikatz等工具窃取凭据，并修改防病毒设置以隐藏勒索软件。Microsoft提供了入侵指标和缓解指南来应对这些攻击。

    勒索软件攻击 漏洞利用 高级持续性威胁APT 网络攻击 恶意软件传播 零日漏洞 数据窃取 安全防御规避 账户枚举 跨平台攻击

    0x80 看一眼网页就能泄密？OpenClaw三类高危安全风险解析

    权说安全 2026-04-08T08:20:17 © 玄影实验室

    Example Image


    本文分析了智能体产品OpenClaw（小龙虾）带来的网络安全风险。OpenClaw类Agent具备理解、决策和执行的能力，能够访问网页、文件、数据库等，因此存在高危风险。文章详细解析了三类典型高风险场景：访问恶意网页导致密钥泄露、误解用户意图执行高危操作如删除数据库、误解业务指令错误注销账号。文章指出，这些风险的根本原因在于Agent拥有高权限却缺乏清晰的安全边界。为了应对这些风险，企业应从系统层面重建Agent安全边界，包括将不可信内容视为输入、遵循最小权限原则、增加高危动作的二次确认和审批机制，以及建立完整的执行审计链路。文章强调，AI Agent时代的安全治理应从内容防护升级为执行治理，以确保AI Agent成为生产力工具而非安全隐患。

    人工智能安全 恶意代码分析 数据泄露风险 权限管理 安全边界 AI伦理 企业安全

    0x81 从 RCE 到全量凭证窃取：深度解析 CVE-2025-55182 攻击利用链

    技术修道场 2026-04-08T08:05:20 © Hankzheng

    Example Image


    近期，安全圈爆发了针对CVE-2025-55182（React2Shell）漏洞的大规模攻击。该漏洞被UAT-10608高级威胁团伙利用，已导致超过766台主机被攻陷，攻击者窃取了数据库凭证、SSH私钥、云平台密钥等敏感信息。攻击过程分为三步：首先利用Next.js应用程序的RCE漏洞获取服务器控制权；其次，通过植入下载器和复杂提取脚本窃取凭证和云原生资产信息；最后，通过NEXUS Listener Web GUI面板远程管理受感染主机。针对此攻击，建议升级Next.js版本、强制执行IMDSv2、密钥轮换与硬编码审查，并遵循最小权限原则以增强安全性。

    CVE-2025-55182 React2Shell 远程代码执行 凭证窃取 云安全 Next.js Shodan Censys 安全防御 攻击利用链

    0x82 CVSS 9.8 警告！带你复盘思科无认证提权与RCE漏洞利用路径

    安全圈动向 2026-04-08T08:05:05 © Kit Chung

    Example Image


    近期，思科发布了紧急安全公告，修补了两个CVSS评分高达9.8的严重漏洞，CVE-2026-20093和CVE-2026-20160。CVE-2026-20093是集成管理控制器（IMC）中的密码更改请求处理不当导致的API越权和业务逻辑绕过漏洞，攻击者可以无认证地通过构造特定的HTTP POST请求直接修改密码，从而获得最高控制权。CVE-2026-20160是智能软件管理器本地版（SSM On-Prem）的内部服务暴露漏洞，攻击者可以通过未设置防护的内部API执行任意命令。两个漏洞都可能导致系统完全沦陷。思科建议用户立即升级至修复版本，并强调开发和运维中不应信任客户端数据，内部网络也应视为不安全。

    漏洞分析 思科漏洞 无认证提权 RCE漏洞 安全补丁 网络安全最佳实践 网络设备安全 HTTP请求安全 内部服务安全

    0x83 【1 day 在野】博硕BGM系统存在任意文件读取漏洞 附Payload

    船山信安 2026-04-08T07:50:04 阿伟

    Example Image


    本文报道了博硕BGM系统存在的一个严重的安全漏洞，该系统是一个综合数字化管理平台，集成了销售管理、生产控制等多种功能。漏洞描述中指出，该系统的一个接口未对传入的文件路径进行合法性校验、权限控制及目录穿越过滤，导致攻击者可以通过构造恶意请求，利用目录穿越字符遍历服务器上的任意文件，包括读取网站配置文件和系统敏感文件等核心数据。文章提供了影响版本、漏洞复现方法和修复建议，包括升级平台版本、取消接口中动态路径拼接机制、对文件路径参数进行合法性校验与目录穿越过滤等措施。同时，文章还提供了一个360Quake语法示例和一个可能的payload获取方法。

    漏洞分析 文件读取漏洞 系统安全 安全漏洞修复 安全审计 网络安全学习 安全工具使用

    0x84 screen 会话管理

    生有可恋 2026-04-08T06:23:15 © hyang0

    Example Image


    本文详细介绍了基于GNU Screen的进程会话管理系统，该系统通过Python控制器实现可重入的程序运行环境。系统旨在确保在重复执行时能够安全地重建运行环境，保证业务脚本的可靠执行。文章阐述了系统的三个核心组件：Python控制器、Screen会话容器和Bash业务脚本。系统架构包括会话生命周期管理、进程编排和业务逻辑执行单元。文章详细描述了功能需求，包括会话标识与发现、可重入控制、会话生命周期管理、Bash脚本执行和日志与监控。此外，还介绍了命令行接口、业务流程、异常处理、部署与运维等方面的内容。通过Screen会话管理器，可以为shell脚本提供运行环境，并实现自动化创建会话和调用脚本，简化了以前需要交互式运行Screen的过程。

    网络安全基础 操作系统安全 命令行工具安全 脚本安全 自动化安全 错误处理与异常安全

    0x85 朝鲜背景 APT 组织利用 LNK 与 GitHub C2 攻击活动技术分析报告

    暗镜 2026-04-08T06:00:54 © ZM

    Example Image


    FortiGuard近期发现一起针对韩国境内机构的朝鲜背景APT攻击活动。攻击者使用恶意LNK快捷方式作为入口，结合Windows原生脚本（PowerShell/VBScript）和GitHub作为C2基础设施，构建了无文件、低检出、强持久化的攻击链，主要目的是情报窃取和长期监控。攻击活动可追溯至2024年，早期使用XenoRAT，近期不断迭代混淆和免杀能力。攻击者通过伪装成PDF文档的LNK文件进行社会工程学攻击，诱导受害者双击后执行恶意脚本。恶意脚本会进行反分析/反沙箱检测，释放VBS脚本用于创建隐藏的计划任务进行持久化，并窃取系统信息上传至GitHub私有仓库。随后，攻击者通过GitHub C2维持控制，按需下发指令和动态加载插件。此次攻击的技术特点包括LOLBins无文件攻击、GitHub C2隐蔽通道、多账号冗余、渐进式混淆免杀、强持久化机制以及分层社会工程。防御建议包括启用PowerShell约束模式、监控敏感参数、查杀恶意LNK文件、限制GitHub API访问、监控异常外发数据、审计计划任务以及提高人员意识。此次攻击体现了朝鲜背景APT的轻量化、隐蔽化和平台化趋势，防御方需从多维度分析，重点监控脚本异常行为、计划任务滥用和云服务异常外发等高风险行为。

    APT攻击 无文件攻击 社会工程学 PowerShell 攻击 GitHub C2 持久化 反分析/反沙箱 信息窃取 混淆与免杀 朝鲜APT组织

    0x86 自变异恶意软件的艺术

    securitainment 2026-04-07T23:15:49 f00crew

    Example Image


    本文深入探讨了自变异恶意代码的实现方式和核心思路，旨在帮助网络安全学习者理解这种高级威胁。文章首先回顾了恶意代码检测技术的发展历程，从最初的基于签名的简单字节串检测，到后来的加密、动态变换解密例程、多态病毒和变形病毒等。文章的核心观点是，自变异恶意代码通过在每次复制时都改变自身，实现了“数字进化”，从而有效规避检测。文章详细介绍了自变异恶意代码的实现技术，包括多态代码生成器 Veil64 和变形病毒 Morpheus。Veil64 通过随机化寄存器使用、算法多态、智能垃圾代码注入和反调试检查等技术，生成无限种不同外观但功能相同的解密例程。Morpheus 则通过在执行过程中重写自身代码，改变代码结构、控制流和寄存器使用，实现了更深层次的变形。文章还讨论了自变异恶意代码的设计原则，即保持语义行为不变，同时最大化签名多样性。最后，文章展望了自变异恶意代码的未来发展方向，包括跨平台支持、自适应变异和协同进化等。

    恶意软件 多态引擎 变形引擎 代码变异 反汇编 垃圾代码 加密 反调试 系统调用 检测绕过

    0x87 【已复现】Oracle Identity Manager系统存在命令执行漏洞（CVE-2026-21992）

    安恒信息CERT 2026-04-07T20:37:21

    Example Image


    本文详细介绍了Oracle Identity Manager系统存在的命令执行漏洞（CVE-2026-21992）。该漏洞评级为1级，CVSS3.1评分为9.8，属于严重安全漏洞。漏洞影响Oracle Identity Manager（REST WebServices组件）和Oracle Web Services Manager（Web Services Security组件），主要危害在于未授权的远程代码执行。漏洞已经被复现，但尚未发现其在野利用。Oracle官方已发布紧急安全补丁，建议用户升级至已修复版本。同时，提供了临时解决方案，包括限制公网访问、部署WAF、加强日志审计等，以降低漏洞被利用的风险。文章还提供了漏洞的详细信息、影响范围、修复方案和参考资料链接。

    身份认证安全 命令执行漏洞 Oracle漏洞 高危漏洞 安全补丁 代码审计 应急响应 系统安全

    0x88 云存储实战挖掘思路

    洞悉安全团队 2026-04-07T20:30:18 © 洞悉安全团队

    Example Image


    本文详细介绍了对象存储（Object Storage）的概念、架构、核心要点、常见服务及相关漏洞。对象存储是一种面向海量非结构化数据的分布式存储架构，以“对象”为基本存储单元，包含数据本体、元数据和全局唯一标识符。与传统存储不同，对象存储不存在目录概念，key是访问对象的唯一标识。常见的对象存储服务包括阿里云OSS、百度BOS、腾讯COS和亚马逊S3。文章还介绍了对象存储的使用方法，并以阿里云OSS为例进行演示。此外，文章重点分析了对象存储相关的漏洞，包括存储桶任意文件读取漏洞、存储桶STs权限过大导致存储桶接管漏洞和存储桶任意文件覆盖漏洞。存储桶任意文件读取漏洞的原因是存储桶配置公共读并包含listobject，修复方法是将其配置为私有存储桶。STs权限过大导致存储桶接管漏洞的原因是在文件上传功能点使用STs进行文件上传时，获取到的STs权限过大，可能造成任意文件覆盖或存储桶接管。存储桶任意文件覆盖漏洞的原因是在上传文件时数据包中包含上传路径参数并且可以上传到任意目录，可能造成任意文件覆盖。文章最后还提到了支付漏洞实战案例分享和Node.js环境下的SSRF漏洞防御体系构建等内容。

    对象存储 云存储安全 存储桶安全 权限管理 漏洞分析 云原生安全 数据安全

    0x89 CVE-2026-35616：Fortinet FortiClientEMS 零日漏洞已被野外利用（CVSS 9.1）

    Desync InfoSec 2026-04-07T20:00:30 bitbot

    Example Image


    CVE-2026-35616是一个影响Fortinet FortiClientEMS设备的零日漏洞，已被证实并野外利用，CVSS评分高达9.1分。该漏洞允许攻击者通过特制的API请求绕过认证，远程未授权执行任意代码。Fortinet已经发布了安全公告FG-IR-26-099，披露了此漏洞。CISA已经将此漏洞加入已知被利用漏洞目录。该漏洞的利用已出现公开的PoC代码，预计随着更多利用代码的发布，实际攻击将进一步增加。Fortinet已为受影响的版本发布热修复补丁，并建议用户密切关注安全公告更新。此外，Tenable已发布检测插件以帮助识别受影响的资产。

    CVE-2026-35616 FortiClientEMS Fortinet 访问控制漏洞 零日漏洞 野外利用 安全公告 安全漏洞 网络安全 CVE

    0x8a 微软揭秘：AI驱动的Device Code钓鱼攻击如何规模化绕过MFA

    Desync InfoSec 2026-04-07T20:00:30 bitbot

    Example Image


    微软Defender安全研究团队近期揭露了一起大规模的设备码钓鱼攻击活动。攻击者利用OAuth 2.0设备码认证流程，通过AI驱动的自动化基础设施和动态代码生成技术，绕过了设备码15分钟的过期限制，实现了规模化入侵企业账户。攻击与EvilToken钓鱼即服务工具包密切相关，表明攻击者的技术已经升级。攻击流程分为六个阶段，包括侦察、初始访问、动态设备码生成、利用与认证、会话验证和持久化与后渗透。攻击者利用多种手段，如域名影子化和品牌仿冒，以及通过合法域名和高信誉无服务器平台进行重定向。防御建议包括限制设备码流、启用反钓鱼策略、使用防钓鱼认证方法等。

    钓鱼攻击 MFA绕过 OAuth 2.0 AI攻击 企业安全 恶意软件 安全研究 防御策略

    0x8b Cookie控制的PHP Webshell：Linux托管环境中的隐秘攻击手法

    Desync InfoSec 2026-04-07T20:00:30 bitbot

    Example Image


    本文探讨了攻击者利用HTTP Cookie作为Linux服务器上PHP Webshell的控制通道的新攻击手法。这种技术通过将恶意代码隐藏在Cookie值中，只有在特定Cookie条件满足时才执行，从而降低了可见性。文章详细分析了Cookie驱动的执行行为，包括Webshell逻辑的休眠状态和特定条件下的激活。此外，文章还介绍了观察到的不同变体类型，如带执行门控和多层混淆的加载器、直接Cookie驱动的Payload Stager以及Cookie门控的交互式Webshell。文章还讨论了通过定时任务实现持久化的方法，并提供了MITRE ATT&CK技术映射以及检测与缓解建议。

    Webshell Cookie攻击 Linux安全 持久化攻击 安全防御 攻击手法分析 安全情报 漏洞利用

    0x8c BlueHammer：研究员公开未修复 Windows 零日漏洞，可提权至 SYSTEM

    Desync InfoSec 2026-04-07T20:00:30 bitbot

    Example Image


    本文报道了一位名为Nightmare-Eclipse的安全研究员在GitHub上公开未修复的Windows零日漏洞BlueHammer的利用代码。该漏洞是一个本地权限提升（LPE）缺陷，结合TOCTOU竞争条件和路径混淆，可让攻击者获取SYSTEM权限。由于微软尚未发布补丁，该漏洞目前处于零日状态。研究员Nightmare-Eclipse因对微软安全响应中心（MSRC）处理漏洞披露流程的不满而公开了漏洞利用代码。尽管漏洞需要本地访问权限，但攻击者可通过多种途径获取初始访问权限，包括社会工程、窃取凭据或其他漏洞。微软安全响应中心（MSRC）的处理流程也引发了争议，有安全专家认为微软裁减了有技术的人员，导致处理漏洞的能力下降。文章提供了缓解措施，包括限制本地访问权限、监控异常提权行为、加强端点防护和等待微软补丁等。

    Windows 漏洞 零日漏洞 本地权限提升 TOCTOU 竞争条件 路径混淆 权限提升至 SYSTEM 微软安全响应中心（MSRC） 漏洞披露 安全漏洞利用 网络安全

    0x8d OpenAI Codex漏洞允许攻击者窃取GitHub访问令牌

    安全圈的那点事儿 2026-04-07T19:12:00 © 网络安全9527

    Example Image


    OpenAI Codex平台近日被发现存在一个严重的命令注入漏洞，该漏洞允许攻击者窃取GitHub用户访问令牌。攻击者通过在GitHub分支名称中注入恶意命令，可以强制系统输出隐藏的GitHub OAuth令牌，并将其暴露在Web界面上。此外，攻击者还可以利用该漏洞窃取本地开发者环境中的身份验证凭据，以及通过自动化分支攻击窃取更广泛的GitHub访问令牌。该漏洞影响了ChatGPT网站、Codex CLI、Codex SDK和Codex IDE扩展。OpenAI已修复该漏洞，并建议开发和安全团队采取一系列措施来加强安全，包括清理用户输入、严格审核AI应用程序权限、监控代码库和定期轮换GitHub令牌等。

    漏洞分析 AI安全 命令注入 权限滥用 云安全 开发安全 GitHub安全 安全漏洞修复

    0x8e 20260330Axios投毒事件总结

    安全随笔 2026-04-07T18:37:09 © 0xNvyao

    Example Image


    本文详细分析了一个针对npm的投毒攻击事件。攻击者首先在3月30日发布了一个恶意依赖包plain-crypto-js@4.2.1，随后利用被盗的Axios维护者npm账号在3月31日凌晨手动发布了两个受感染的axios版本axios@1.14.1和axios@0.30.4。Socket.dev自动化检测发现了异常，npm官方随后下架了恶意包。文章深入探讨了投毒运作原理，揭示了恶意npm包如何通过package.json中的postinstall钩子执行setup.js后门文件。setup.js后门代码经过混淆，但通过分析可以看出其利用Base64解码、异或运算等技术隐藏真实意图，最终目的是在目标系统上执行恶意脚本，并留下清理痕迹以隐藏自身。文章最后提出了加固建议，推荐使用“冷静期”配置来限制只能下载发布时间超过7天的包，以防范类似攻击。同时，也提供了临时绕过冷静期限制的方法。

    供应链攻击 恶意软件 npm安全 后门 代码混淆 命令执行 持久化 安全配置

    0x8f 权限维持skills分享 — win-persistence（windows 持久化隐藏）

    信益安信息安全研究院 2026-04-07T17:56:51 © 信益安研究院

    Example Image


    本文详细介绍了一个Windows平台C/Rust进攻性权限维持完整知识库，旨在覆盖从标准用户到SYSTEM的全权限等级，适用于授权红队评估与防御检测研究。知识库提供了生成三种不同技术权限维持手法的示例，并详细说明了每种技术的应用场景。核心功能定位包括识别需求类型（权限/触发方式/隐蔽性）、选择技术、生成代码和提供清理命令。主要技术模块涵盖了Registry Run/RunOnce、Active Setup、CIFEO Debugger、Winlogon Shell/Userinit、AppInit_DLLs、Windows Service、Scheduled Task、RustWMI Event Subscription和COM Hijacking等，每个模块都对应相应的MITRE ATT&CK权限语言和技术编号。知识库还提供了权限等级决策树，帮助用户根据需求选择合适的技术。代码规范方面，C代码采用MSVC兼容风格，Rust代码使用windowscrate库和unsafe FFI块。工具脚本包括解析Procmon输出和生成转发文件的脚本。每个技术参考文件包含概述、代码实现、使用示例、清理命令和检测笔记。知识库遵循特定的目录约定，并通过YAML frontmatter字段进行说明。

    网络安全 权限维持 MITRE ATT&CK Windows安全 红队评估 防御检测 攻击技术 防御研究

    0x90 Linux应急响应综合工具--LinIR

    一个努力的学渣 2026-04-07T15:31:23 © 一个努力的学渣

    Example Image


    LinIR是一款单二进制、零依赖的取证分诊工具，旨在从内核接口和文件系统结构中直接采集进程、网络、持久化和完整性证据。该工具提供了一个Web仪表盘，支持一键采集、三维分析、风险评分、交互式表格、证据展开、历史残留、未来触发和统一时间线等功能。LinIR的三维状态模型包括运行时（当前活动）、保留时（历史痕迹）和可触发时（未来可能触发的事件），并将这些事件按时间排序，形成完整的攻击链视图。工具支持Linux和macOS系统，能够采集进程、网络、持久化和完整性等方面的数据。此外，LinIR还集成了YARA扫描引擎，并支持在线监控和Web仪表盘，其中Web仪表盘包含AI智能分析功能，可以一键综合分析、提供预制话术和实时监控IOC。用户可以通过不同的命令行参数来执行一键采集、三维分析、历史残留、未来触发、统一时间线等操作，并支持YARA规则和分诊包的导入。LinIR的安装和使用非常简单，只需解压压缩包并运行相应的命令即可。

    数字取证 Linux取证 安全分析工具 YARA规则 三维分析 Web界面 在线监控 自动化取证 持久化分析

    0x91 NCTF2026 WP BY OnePandaSec

    OnePanda-Sec 2026-04-07T15:01:56 © OnePanda-Sec

    Example Image


    本文分析了OnePanda-SecNCTF2026WP招新要求，指出其注重对网络安全热爱者、CTF经验者和分享精神的考察。同时，文章详细解析了NCTF2026WebN-Horse的SSTI注入漏洞和RustPICA的config泄露问题，并提供了相应的解决方案。此外，文章还介绍了MinSite的文件上传漏洞利用方法，以及Quantum Vault的命令兑换和flag提取过程。最后，文章分析了VFS_STACK的栈帧破坏和函数指针劫持漏洞，并提供了相应的利用步骤。

    网络安全 CTF 漏洞分析 密码学 逆向工程 Web安全 编程语言

    0x92 龙虾陷阱 | 伪装 OpenClaw 投递后门事件分析

    腾讯安全威胁情报中心 2026-04-07T14:53:06 腾讯安全威胁情报

    Example Image


    2026年3月，腾讯安全科恩实验室发现针对开源AI智能体执行网关OpenClaw的仿冒站群攻击。攻击者搭建了四个不同风格的仿冒站点，均使用.com.cn后缀以利用用户信任，诱导用户下载名为openclaw1.1.zip的恶意安装包。解压后，用户被引导执行伪装成‘一键部署’工具的恶意程序。该程序释放两个关键文件：iusb3mon.exe和ziliao.jpg。ziliao.jpg通过自定义魔数校验和单字节XOR加密隐藏恶意PE载荷，采用内存加载技术执行，并搜索用户桌面、AppData等路径以启动攻击链。最终，恶意程序与攻击者C2服务器（27.124.44.134:25449）建立连接，实现远程控制，可进行窃密、键盘记录等恶意活动。此次攻击展示了攻击者针对热门AI工具的精准打击和高超技术能力，提醒用户需从官方渠道下载软件，警惕仿冒域名和文件隐写技术，并采取相应的安全防护措施。

    钓鱼攻击 恶意软件 无文件攻击 隐写术 恶意下载 C2 通信 社会工程学 域后缀攻击 恶意样本分析 AI 安全

    0x93 从原理到实战：COM劫持持久化机制全解析

    大仙安全说 2026-04-07T14:16:32 © weiqin

    Example Image


    本文深入解析了COM劫持技术及其持久化机制。首先介绍了COM组件机制，包括CLSID的注册表结构，以及Windows查找COM对象的顺序。随后，详细阐述了COM劫持的类型，如现有CLSID劫持、孤儿CLSID劫持、TreatAs重定向、TypeLib劫持等。文章通过实战样本分析，展示了如何利用Procmon捕获注册表修改和文件创建行为。接着，通过注册表和文件取证，分析了恶意软件的持久化方式。最后，通过沙箱分析验证，确认了恶意软件属于COMpfun家族，这是一种以COM劫持技术著称的远程访问木马。文章总结了COM劫持技术的隐蔽性和稳定性，以及通过注册表监控、行为分析和应用控制来检测和防御此类威胁的方法。

    网络安全攻击技术 持久化攻击 恶意软件分析 注册表分析 沙箱测试 Windows安全

    0x94 在 Google Cloud 中执行远程命令并删除单个目录

    Ots安全 2026-04-07T13:01:52

    Example Image


    本文介绍了Google Cloud Looker产品中的一个远程命令执行漏洞。该漏洞源于Looker在处理目录删除操作时的验证缺陷，允许攻击者在Looker服务器上执行任意命令。攻击者通过精心命名的目录和Git配置，可以在删除存储库目录的过程中触发Git命令，从而执行恶意操作。此外，文章还讨论了Looker服务帐户权限配置错误，可能导致权限提升并访问同一Kubernetes集群中的其他实例。作者详细描述了漏洞的利用过程和潜在影响，并强调了正确输入验证在网络安全中的重要性。谷歌云团队已修复了这些漏洞。

    远程命令执行漏洞 Git安全漏洞 云平台安全 权限提升 竞争条件攻击 代码审计 安全漏洞披露

    0x95 【威胁情报】CVE-2025-62215 Windows内核本地权限提升 PoC公开（Exploit-DB 52494）

    Ots安全 2026-04-07T13:01:52

    Example Image


    Exploit-DB平台于2026年4月6日新增了针对CVE-2025-62215的本地权限提升PoC（EDB-ID 52494），该漏洞为Windows内核中的竞争条件（Race Condition）。攻击者在获得低权限本地访问后，通过触发内核资源并发访问不当，可提权至SYSTEM级别。此PoC由E1 Coders发布并已验证，公开后结合此前在野利用记录，显著增加了未修补系统的后渗透风险。建议所有Windows环境优先验证补丁状态。该漏洞于2025年11月微软Patch Tuesday中修复，CVSS 7.0（High），已被标记为已在野利用。PoC公开后，攻击门槛进一步降低，可能被更多红队或恶意行为体复用。Exploit-DB 52494中的PoC本质上是概念验证代码，演示了竞争条件触发路径：使用多线程并发调用内核相关接口，通过内核池喷洒（Pool Spraying）技术，结合双重释放（Double Free）或Use-After-Free效果，尝试定位System进程的EPROCESS结构，并覆盖当前进程Token，实现提权。关键技术点包括EPROCESS偏移、多线程竞争共享资源，以及精确时序控制。受影响系统包括Windows 10/11全系列、Windows Server 2019/2022/2025，以及基于相同内核的嵌入式/IoT版本。典型场景为初始访问后利用该PoC完成提权，随后禁用防护、转储凭证或横向移动。高危目标为域环境中的工作站、未及时打补丁的服务器，以及依赖低权限服务账户的业务系统。

    漏洞分析 提权漏洞 竞争条件 恶意软件 Exploit-DB CVE Windows内核 PoC 内核池喷洒 双重释放 安全威胁

    0x96 Clash Verge开启局域网代理共享，让全设备都能使用

    W不懂安全 2026-04-07T12:57:20 © W不懂安全

    Example Image


    本文介绍了一种利用Clash Verge软件实现局域网内设备共享代理的方法。通过将电脑设置为局域网内的代理服务器，其他设备如手机、平板或另一台电脑可以共享电脑的代理设置，无需逐一配置。文章详细说明了如何开启局域网共享开关、确认端口、找到电脑的IP地址，以及如何在不同的设备上设置代理。此外，文章还提到了解决连接问题的一些常见原因，如不在同一个局域网、IP填写错误、防火墙未放行等，并提供了相应的解决方法。

    网络代理 网络安全配置 内网安全 网络共享 虚拟化安全 终端安全

    0x97 ghostsurf：从 NTLM Relay 到浏览器会话劫持

    安全狗的自我修养 2026-04-07T12:14:21 haidragon

    Example Image


    本文详细分析了 ntlmrelayx 的 SOCKS 代理在处理 HTTP 请求时的局限性，以及如何通过 ghostsurf 工具解决这些问题。ntlmrelayx 虽然对 SMB 和 MSSQL 代理效果良好，但在处理浏览器通过 SOCKS 访问 Web 应用时存在多个根本性问题。主要问题包括：ntlmrelayx 假设单连接顺序请求，而浏览器使用多个并发连接，导致数据流损坏和页面加载失败；ntlmrelayx 使用 inUse 锁机制，无法处理浏览器的多连接请求；以及 ntlmrelayx 自身的 Basic Auth 弹窗与 Web 服务器的认证方式冲突。ghostsurf 通过使用 mutex 锁解决并发问题，允许多 session 并发访问；使用 cookie 绑定 session 选择；保留 HTTP 头部信息；并发现并绕过了一些未公开的 Windows 内核认证行为，如 Kernel Mode Authentication。ghostsurf 还引入了探测策略（probe-first），通过先发送匿名请求判断是否需要认证，有效解决了某些 Web 应用（如 IIS 配置了 Kernel Mode Authentication）的突然重新认证问题。此外，文章还讨论了 ghostsurf 的使用方法和限制，以及为什么不能直接通过 cookie 认证的问题。

    0x98 ICMP-Ghost：一款纯汇编打造的轻量级 C2 Agent

    0x33 SEC 2026-04-07T11:14:54 NaNaBot

    Example Image


    ICMP-Ghost是一款基于Linux的轻量级C2 Agent，完全由纯x64汇编语言编写，无需依赖任何库函数，所有操作通过syscall完成。该项目利用ICMP协议作为通信隧道，实现隐蔽通信，具有无文件、隐蔽信道和轻量级等特点。其核心组件包括client、sniff和loader，分别负责发送控制指令、植入体驻留和进程注入。ICMP-Ghost采用Rolling XOR加密技术，支持非对称认证，通过内存执行和内存注入技术实现无文件执行和进程伪装。该项目展示了在不依赖内核模块和用户态库的情况下，纯用户空间实现的隐蔽通信能力。对于网络安全研究者来说，ICMP-Ghost提供了宝贵的底层实现参考，对于防御者来说，则指出了未来检测能力的改进方向。

    网络安全 逆向工程 C2 Agent Linux安全 恶意软件分析 汇编语言 隐蔽通信 内存操作 防御技术

    0x99 攻击者利用 Outlook 365 漏洞强制截获 NTLM 哈希

    黑白之道 2026-04-07T10:44:04 ExtremeHack

    Example Image


    近期，网络安全研究人员发现了一种针对Microsoft Outlook 365的新攻击技术。攻击者通过构造包含恶意UNC路径的邮件或会议邀请，利用Outlook处理UNC路径的逻辑缺陷，强制受害者客户端向远程服务器发起认证，从而窃取Net-NTLMv2哈希值。攻击过程无需受害者交互，即可通过预览邮件触发认证。攻击者可利用获取的哈希值进行暴力破解或NTLM中继攻击，进而获取内网访问权限。该漏洞对企业和个人用户构成严重威胁，建议采取限制SMB出站通信、实施NTLM策略管控、强化补丁管理以及监控异常流量等措施进行防御。

    漏洞利用 网络钓鱼 认证窃取 NTLM Office 365安全 企业安全 安全策略 安全工具

    0x9a Chamilo存在命令注入漏洞（CNVD-2026-14971、CVE-2025-50196）

    网站安全说 2026-04-07T10:36:35

    Example Image


    Chamilo是一款广泛使用的开源学习管理系统，存在一个严重的命令注入漏洞，编号为CNVD-2026-14971和CVE-2025-50196。该漏洞影响版本低于1.11.30的所有Chamilo系统，由于编辑实例文件editinstance.php处理POST参数main_database的方式不当，攻击者可以通过这个漏洞在系统上执行任意操作系统命令。这个漏洞的发现和公开是由国家信息安全漏洞共享平台在2026年3月26日进行的。为了解决这个问题，官方已经发布了修复程序，并建议用户及时更新。同时，文章也推荐了使用【护卫神·防入侵系统】的“注入防护”模块来增强安全性，该模块不仅可以防护命令注入漏洞，还能防护SQL注入和跨站脚本攻击等安全漏洞。

    漏洞分析 命令注入 开源软件安全 PHP安全 漏洞修复 网络安全防护 教育机构安全

    0x9b 2026NCTF Writeup by Mini-Venom

    ChaMd5安全团队 2026-04-07T10:30:34 © Mini-Venom

    Example Image


    本文分析了多个CTF比赛的题目，涵盖了Web、Reverse Engineering (RE)、Cryptography、Pwn、Miscellaneous和Contract等多个方向。Web方向的题目涉及了Blind SSTI利用和后台接口篡改，需要选手具备对Web漏洞的理解和利用能力。RE方向的题目考察了RSA加密算法的破解和WASM逆向，需要选手熟悉加密算法和逆向工程技巧。Cryptography方向的题目包括了一个非预期的RNG游戏和Pwn尝试，需要选手具备密码学和漏洞利用的能力。Pwn方向的题目涉及了一个VM解释器和ROP链构造，需要选手熟悉底层系统和漏洞利用技术。Miscellaneous方向的题目包括了一个数据清洗和ezProtocol协议分析，需要选手具备对数据分析和协议理解的能力。最后，文章还介绍了一个Quantum Vault题目，涉及了提权和密码修改，需要选手具备系统操作和漏洞利用的技能。这些题目覆盖了CTF比赛中的多个方向，对选手的综合能力提出了较高的要求。

    CTF Web安全 逆向工程 密码学 Pwn Misc RNG Python编程 二进制分析 漏洞利用

    0x9c 第160篇：AI联动IDA Pro MCP 实战逆向分析加密混淆 APK的通信数据包解密

    GSCL Sec 2026-04-07T09:57:59 abc123info

    Example Image


    本文详细介绍了如何利用AI技术（Claude+IDA Pro+MCP）对一款经过高度混淆和加密的Android应用（APK）进行逆向分析。作者首先通过抓包和反编译确定了加密解密逻辑封装在SO文件中，并使用IDA Pro 9.3和MCP Server服务端进行初步分析。随后，通过精心构造的AI提示词，成功定位了关键的加密函数epj和解密函数drj的JNI入口点。对于加密函数，AI辅助分析了Base64相关逻辑，但对于混淆严重的解密函数，AI通过Python脚本结合抓包数据进行试错解密，最终成功还原了加密数据包为明文JSON格式。整个过程展示了AI在逆向工程中的强大能力，能够显著提高分析效率，节省大量手动调试时间。文章强调了AI技术发展迅速，并结合SO文件分析、Base64/Salt处理及JNI调用追踪等传统逆向技术，实现了复杂加密逻辑的还原。最后，作者邀请读者加入知识星球，共享学习资源和技术分享。

    逆向工程 Android安全 恶意软件分析 AI辅助逆向 加密解密分析 动态与静态分析结合 JNI分析

    0x9d CVE-2026-33032｜Nginx-UI高危漏洞，MCP端点未做身份验证，攻击者可直接远程接管！

    信安百科 2026-04-07T09:15:48 alicy

    Example Image


    Nginx-UI是一款开源的Nginx图形化管理工具，近日发现其MCP（Model Context Protocol）模块存在高危漏洞CVE-2026-33032。该漏洞导致MCP集成模块在暴露/mcp_message接口时缺乏身份验证，攻击者可以利用默认IP白名单为空的配置，无需权限直接通过该接口执行重启Nginx、修改或删除配置文件等操作，实现对Nginx服务的完全接管。此漏洞影响所有版本的Nginx-UI，建议用户及时更新修复。相关信息和修复措施可参考GitHub上的安全公告。

    Nginx 漏洞 身份验证漏洞 远程代码执行 高危漏洞 CVE编号 开源软件安全 图形化管理工具安全

    0x9e 攻击者利用RCE漏洞，14,000台F5 BIG-IP APM实例仍暴露在线

    黑猫安全 2026-04-07T09:11:54 鹏鹏同学

    Example Image


    非营利安全组织Shadowserver发现，超过14,000台F5 BIG-IP APM实例因CVE-2025-53521远程代码执行漏洞而暴露在线，该漏洞CVSS评分高达9.8。该漏洞允许攻击者通过特制恶意流量触发远程代码执行，研究人员在五个月前就已报告。漏洞从拒绝服务问题升级为关键远程代码执行问题，尽管原始修复有效，但已有多台设备被利用。Shadowserver追踪到的受影响IP主要分布在美国、欧洲和亚洲。美国网络安全和基础设施安全局（CISA）已将该漏洞列为已知被利用漏洞，并要求联邦机构在2026年3月30日前修复。

    远程代码执行漏洞 F5 BIG-IP APM 漏洞利用 安全组织警告 漏洞评分 国家网络安全机构 国际影响 漏洞修复

    0x9f CVE-2026-35616：Fortinet修复被积极利用的高严重性漏洞

    黑猫安全 2026-04-07T09:11:54 鹏鹏同学

    Example Image


    Fortinet近日发布了针对FortiClient EMS的紧急补丁，修复了编号为CVE-2026-35616的关键漏洞，该漏洞的CVSS评分为9.1，表明其严重性。该漏洞是一个不当访问控制问题，允许攻击者绕过身份验证并提升权限，对受影响系统构成严重风险。Fortinet指出，该漏洞已在野外被积极利用，并敦促用户安装7.4.5和7.4.6版本的热修复程序，同时确认永久修复将包含在7.4.7版本中。此外，Fortinet感谢了Defused的研究人员Simo Kohonen和Nguyen Duc Anh在负责任地披露该漏洞后提供的帮助。同时，Defused研究人员还警告称，威胁行为者正在利用另一个Fortinet FortiClient EMS平台中的漏洞CVE-2026-21643。

    漏洞披露 Fortinet FortiClient EMS 安全补丁 权限提升 API安全 零日漏洞 野外攻击 网络安全

    0xa0 VMware 17.0.0虚拟机逃逸实践

    云原生安全指北 2026-04-07T08:36:03 Dubito

    Example Image


    本文详细介绍了如何在 VMware 虚拟机环境中利用特定漏洞实现从虚拟机（Guest）到宿主机（Host）的漏洞利用。文章首先介绍了实验环境，包括 VMware 版本、操作系统以及所使用的漏洞 CVE-2023-20870、CVE-2023-34044 和 CVE-2023-20869。作者强调了理解虚拟机监控程序（hypervisor）和协议内部实现的重要性。接着，文章深入分析了漏洞利用过程，分为内存泄漏和缓冲区溢出两个阶段。在内存泄漏阶段，通过利用 USB 请求块（URBs）中的未初始化内存，作者成功地获取了 VMware vmware_vmx 的基地址。在缓冲区溢出阶段，通过服务发现协议（SDP）中的栈缓冲区溢出，作者触发了远程代码执行（RCE）。文章还详细解释了实验步骤、代码实现以及 ROP 链的构建过程。最后，作者总结了此次漏洞利用的趣味性和价值，并计划后续发布更多与漏洞利用相关的博客文章。

    漏洞利用 虚拟化安全 CVE 内存泄漏 缓冲区溢出 USB 安全 蓝牙安全 ROP 攻击

    0xa1 深扒最新钓鱼链：动态PDF+双打木马，巴西黑客组织攻击手法大揭秘

    安全圈动向 2026-04-07T08:03:39 © Kit Chung

    Example Image


    本文深入解析了一起由巴西黑客组织Augmented Marauder或Water Saci发起的钓鱼攻击事件。攻击者利用动态PDF和双打木马技术，通过钓鱼邮件传播Casbaneiro（Metamorfo）银行木马。文章详细拆解了攻击链的流程，包括使用带密码的PDF附件作为诱饵、VBS脚本的环境检测与AutoIt加载器的使用，以及Horabot引擎如何通过动态生成带有随机密码的PDF文件进行横向传播。文章还揭示了攻击者如何利用合法受害者账号发送邮件，绕过邮件防伪造协议。此外，文章还讨论了攻击者的多渠道攻击手段，如WhatsApp Web自动化传播和ClickFix社工技术。最后，文章提出了针对这种高级攻击的防御建议，强调了行为监控、脚本与加载器拦截以及零信任理念的重要性。

    钓鱼攻击 银行木马 网络安全 逆向分析 恶意软件 攻击手法 安全防御 技术对抗 企业安全

    0xa2 漏洞预警 | LEAN MES系统文件上传漏洞

    浅安安全 2026-04-07T07:50:29 浅安

    Example Image


    本文报道了LEAN MES系统的一个高危文件上传漏洞。LEAN MES系统是由深圳市深科特信息技术有限公司开发的一款用于车间管理的应用系统。该漏洞存在于系统的/Handler/UploadHander.ashx接口，允许攻击者上传恶意文件，绕过文件类型或内容校验，从而实现任意命令执行，获取服务器控制权限。漏洞编号暂无，影响版本为LEAN MES系统。目前官方已发布漏洞修复版本，建议用户升级到安全版本以避免安全风险。

    文件上传漏洞 高危漏洞 MES系统安全 工业控制系统安全 任意命令执行 服务器控制权限获取 漏洞修复

    0xa3 RAG从元数据Key到RCE：CVE-2026-22738 深度解析Spring AI向量存储中的SpEL表达式注入与逃逸

    自在安全 2026-04-07T07:02:21 © KCyber

    Example Image


    本文详细分析了一个存在于Spring AI框架中的高危SpEL表达式注入漏洞（CVE-2026-22738）。该漏洞位于SimpleVectorStore的向量检索过滤逻辑中，由于将用户提供的过滤器表达式直接拼接至SpEL模板并使用StandardEvaluationContext解析，导致攻击者可构造恶意payload实现远程代码执行（RCE）。文章首先介绍了漏洞的触发点在SimpleVectorStore#doFilterPredicate函数，随后通过分析similaritySearch函数的使用场景，揭示了漏洞的利用路径。针对FilterExpressionTextParser的过滤机制，文章详细阐述了如何通过在Key中构造恶意SpEL表达式来绕过校验，并提供了具体的payload构造方法。最后，文章提到了官方的修复方式是移除SpEL解析，改用自定义AST遍历器直接求值，以彻底消除漏洞隐患。

    漏洞分析 SpEL注入 RCE Spring AI Java安全 向量数据库 代码注入 安全公告 绕过机制 修复方案

    0xa4 渗透测试：多功能网络信息扫描工具

    0x八月 2026-04-06T21:46:12 © 0x八月

    Example Image


    本文介绍了一款名为xkInfoScan的集成化网络信息收集工具，该工具基于Python 3.12开发，支持多种网络信息收集功能。xkInfoScan提供IP/域名/URL/信息追踪等多维度目标探测，包括目录扫描、CMS识别、漏洞检测、信息泄露挖掘、CDN检测等8大核心模块。该工具适用于渗透测试前期的信息收集和网络资产测绘。文章详细介绍了工具的功能模块，如信息追踪、IP扫描、域名扫描、目录扫描、CMS识别、漏洞检测等，并提供了使用指南和项目地址。同时，文章也强调了使用此工具进行非法渗透测试的风险和责任，并鼓励合法学习和使用。

    渗透测试 网络信息扫描 IP地址扫描 域名扫描 目录扫描 CMS识别 漏洞检测 信息泄露挖掘 CDN检测 开源工具 自动化测试

    0xa5 集合多种渗透测试常用的功能和工具的安全测试工具

    进击的HACK 2026-04-06T20:45:59

    Example Image


    Onyx是一款综合性的安全测试工具集，旨在为网络安全从业者提供一站式的渗透测试平台。该工具集整合了空间测绘、漏洞扫描、主机探测、信息收集等多种功能，旨在简化渗透测试的工作流程，减少在不同工具和网站之间切换的繁琐。Onyx集成了Fofa、Hunter、Quake等空间测绘引擎，支持批量资产导出；漏洞扫描功能基于Nuclei引擎，提供POC管理、批量扫描、请求包可视化等高级特性。此外，工具还内置了CyberChef、JWT密钥爆破、编码转换等辅助工具，以及针对FinalShell、Navicat等常见应用和中间件的加解密工具。Onyx还支持微信小程序的分析和小程序文件的反编译，以及企业信息的查询和分析。整体而言，Onyx旨在为网络安全学习和实践提供强大的工具支持。

    渗透测试工具 空间测绘 漏洞扫描 主机探测 信息收集 安全测试平台 辅助工具 企业安全 编程语言 开源项目

    0xa6 CVE-2026-24291-Windows权限提升漏洞“RegPwn”复现分析

    卡卡罗特取西经 2026-04-06T19:44:37 © ybdt

    Example Image


    本文详细分析了由英国 MDSecLabs 的 Filip Dragovic 发现的 Windows 注册表项劫持漏洞（CVE-2026-24291）。该漏洞利用了 Windows 辅助功能中的屏幕键盘 osk.exe 相关的注册表项机制，通过巧妙地结合机会锁（OpLock）和安全桌面（Secure Desktop）等技术，实现了高权限注册表项的劫持。漏洞的核心在于，当用户启动 osk.exe 后，系统会创建一个用户级别的注册表项，随后通过具有 System 权限的 ATbroker.exe 进程将此注册表项同步到安全桌面下的高权限位置。攻击者可以利用这一同步过程，通过伪造用户级别的注册表项并创建符号链接的方式，最终修改或覆盖高权限注册表项，如 msiserver 下的 ImagePath 值。文章还介绍了涉及的关键概念，包括完整性级别（IL）、用户界面特权隔离（UIPI）、UIAccess、安全桌面和用户桌面、以及机会锁（OpLock）和注册表符号链接，并提供了漏洞的复现步骤和代码链接。作者建议通过 procmon 进行监测和逆向分析，以进一步理解漏洞细节并挖掘类似漏洞。

    漏洞分析 提权漏洞 Windows安全 内核机制 UIPI 安全桌面 Oplock 注册表符号链接 攻击向量

    0xa7 Dgraph 数据库存在严重漏洞，攻击者可绕过身份验证

    安全圈的那点事儿 2026-04-06T19:22:00 © 网络安全9527

    Example Image


    开源数据库系统Dgraph近日被发现存在一个严重漏洞（CVE-2026-34976），该漏洞可能导致服务器被完全接管。漏洞评分为最高10.0，允许远程未授权的攻击者覆盖数据库、读取敏感文件并发起服务器端请求伪造（SSRF）攻击。所有Dgraph版本（最高至v25.3.0）均受影响，官方尚未发布修复补丁。漏洞源于数据库访问控制配置的疏忽，攻击者可以执行不受保护的命令，如restoreTenant，从而绕过身份验证。该漏洞可能导致数据库被恶意数据覆盖、敏感信息泄露以及凭证窃取。由于缺乏官方补丁，建议管理员限制对Dgraph管理端点的访问并考虑临时变通措施。

    数据库安全 漏洞披露 开源软件安全 远程攻击 服务器端请求伪造（SSRF） 凭证窃取 云安全 安全配置错误

    0xa8 Claude 代码中的一个严重缺陷会悄无声息地绕过开发者配置的安全规则

    安全圈的那点事儿 2026-04-06T19:16:15 © 网络安全9527

    Example Image


    Anthropic 的 Claude Code AI 编码代理被发现存在一个严重的安全漏洞，该漏洞允许恶意行为者通过复杂的命令结构绕过开发者配置的安全规则。这个漏洞源于代码中的一个性能优化，限制了每个子命令的安全分析数量。攻击者可以利用这个漏洞在合法的命令序列中嵌入恶意命令，从而窃取敏感凭证，如SSH私钥、AWS凭证等。这个漏洞的严重性评级为高，影响了使用Claude Code的多个群体，包括企业开发人员、开源维护人员和CI/CD管道。Anthropic已经发布了一个修复方案，建议用户升级到最新版本以消除风险。

    AI安全漏洞 代码审计 供应链安全 命令注入攻击 权限管理 漏洞利用 云安全 开源安全

    0xa9 OpenSSH 10.3 发布，修复 Shell 注入及其他安全漏洞

    网安百色 2026-04-06T18:37:56

    Example Image


    OpenSSH项目发布了10.3版本及其可移植版本10.3p1，该版本解决了多个重要的安全漏洞。其中最关键的修复是针对一个shell注入漏洞，该漏洞允许攻击者通过命令行传递恶意用户名执行任意shell命令。此外，还修复了证书认证漏洞、传统SCP权限问题、ECDSA密钥强制执行等问题。除了安全修复，OpenSSH 10.3还引入了多项新功能，包括连接洞察、更强的反垃圾邮件惩罚机制、多重吊销文件管理、标准化代理转发等。该版本还正式放弃了对不支持加密重新密钥的旧版软件的兼容性，并增强了ProxyJump命令的安全性。建议组织尽快升级到OpenSSH 10.3以保护其基础设施安全。

    OpenSSH更新 安全漏洞修复 SSH协议 系统管理员 加密通信 漏洞利用 安全配置 密钥管理 自动化攻击 兼容性

    0xaa Apache 流量服务器漏洞使攻击者能够触发拒绝服务攻击

    网安百色 2026-04-06T18:37:56

    Example Image


    Apache 软件基金会发布了针对 Apache Traffic Server（ATS）的两个关键安全更新的公告。这两个漏洞（CVE-2025-58136 和 CVE-2025-65114）可能被远程攻击者利用，触发拒绝服务（DoS）攻击或实施 HTTP 请求走私攻击。CVE-2025-58136 允许攻击者通过发送合法的 POST 请求使服务器崩溃，而 CVE-2025-65114 是一个 HTTP 请求走私漏洞，可能被用于绕过安全控制或窃取数据。受影响的 ATS 版本包括 9.x 和 10.x 分支。Apache Traffic Server 是一款高性能的 Web 代理与缓存服务器，这些漏洞对企业环境构成了重大威胁。建议管理员立即检查其部署情况，并升级至最新版本以修复漏洞。如果无法立即升级，对于 CVE-2025-58136 可以采取临时缓解措施。

    Apache Traffic Server 漏洞修复 拒绝服务攻击 HTTP请求走私 Web代理服务器 安全更新 网络安全

    0xab 微软披露攻击者正通过利用HTTP cookie来触发执行、传递指令并激活恶意功能

    FreeBuf 2026-04-06T18:02:28

    Example Image


    微软Defender安全研究团队发现，攻击者利用HTTP cookie作为Linux服务器上PHP WebShell的控制通道，通过仅在特定cookie值出现时激活WebShell逻辑，以实现远程代码执行。这种攻击手法使恶意代码在正常应用执行期间保持休眠状态，提升了隐蔽性。攻击者通过$_COOKIE超全局变量在运行时获取cookie值，无需额外解析。cookie控制型执行模型有多种变体，包括多层混淆加载器、模块化重构脚本和单标记触发器。此外，攻击者通过cron任务实现自修复持久化机制，即使清理措施删除了加载器，计划任务仍能反复重建。微软建议实施多因素认证、监控异常登录活动、限制shell解释器执行、审计cron任务和计划作业以及检查可疑文件等措施来防御此类攻击。

    Web安全 PHP安全 Linux安全 远程代码执行 隐蔽攻击 持久化攻击 恶意软件分析 安全防御

    0xac Claude Code代码泄露引发武器化攻击潮

    FreeBuf 2026-04-06T18:02:28

    Example Image


    Anthropic公司的旗舰级终端编程助手Claude Code的源代码在2026年3月31日发生大规模泄露，泄露源代码包含超过50万行未混淆处理的TypeScript代码。尽管泄露的数据不包含模型权重和用户数据，但内部运行机制的高度敏感性被暴露。安全研究员Chaofan Shou在社交媒体上公开披露此事后，代码库迅速被复制到GitHub平台。网络犯罪分子利用这一事件制作恶意复刻版本，攻击开发者设备。攻击者通过搭建伪装成正版源码的恶意GitHub仓库，投放Vidar和GhostSocks恶意软件，窃取敏感凭证和转发网络流量。企业需立即部署防御措施，开发者应避免下载、编译或运行任何声称是泄露源码的程序，并通过官方渠道获取软件。同时，部署零信任架构和监控异常网络连接有助于降低攻击影响。

    数据泄露 供应链攻击 恶意软件 社会工程学 安全漏洞 开发者安全 网络安全事件

    0xad PHP反序列化__toString ()

    晨星安全团队 2026-04-06T15:05:06 © 晨星安全团队

    Example Image


    本文分析了一个名为“PHP反序列化__toString ()”的网络安全挑战，该挑战来源于青少年CTF练习平台。挑战涉及一个名为GIT的类，其中包含一个构造函数和析构函数，以及一个名为ZeroZone的类，其__toString()方法可以执行传入的代码。通过构造一个恶意对象链，攻击者可以控制GIT类的username属性为'ZeroZone'，并使password属性指向一个ZeroZone对象，从而触发__toString()方法执行任意代码。文章详细描述了如何利用这个漏洞，并提供了相应的PHP代码示例。

    反序列化漏洞 PHP安全漏洞 代码审计 CTF挑战 注入攻击 信息泄露 Web应用安全

    0xae 漏洞#13 CORS 泄露 Token 结合 CSRF 实现无感账号接管

    漏洞集萃 2026-04-06T14:39:54 © Pwn1

    Example Image


    本文介绍了一种网络安全漏洞，该漏洞结合了CORS（跨源资源共享）泄露和CSRF（跨站请求伪造）攻击，实现了无感账号接管。漏洞存在于一个密码重置页面和一个个人资料修改页面之间，由于CORS配置错误，导致密码重置页面的CSRF Token被暴露。攻击者利用这一漏洞，通过构造恶意HTML页面，窃取受害者的CSRF Token，并将其用于修改个人资料接口，从而接管受害者的账号。文章详细分析了漏洞的发现过程、原理以及防御措施，强调了CORS策略配置和Token作用域校验的重要性。

    CORS 漏洞 CSRF 攻击 账号接管 Token 泄露 网络安全 漏洞分析 防御策略

    0xaf Fastjson漏洞复现上

    web安全小白 2026-04-06T14:07:44 web安全小白

    Example Image


    本文详细介绍了Fastjson漏洞的相关知识。Fastjson是一种轻量级的数据交换格式，由阿里巴巴开源的Java JSON解析库，主要功能包括序列化和反序列化。Fastjson漏洞的主要原因是其AutoType机制，该机制在序列化时记录类的完整名称，反序列化时自动加载并实例化指定类。如果后端未对@type内容进行严格过滤，攻击者可构造恶意类路径，诱导服务器执行攻击代码，实现远程代码执行（RCE）。Fastjson不同版本的核心特性和利用关键点有所不同，例如1.2.24及以下版本默认AutoType开启，1.2.42引入黑名单但可绕过，1.2.48引入基础白名单但仍存在绕过方式，1.2.68原生利用链受限，1.2.83+版本基础防护较为完善。文章还介绍了Fastjson版本探测、出网测试、JNDI注入和LDAP利用方式的 poc 构造方法，以及Java版本限制对利用方式的影响。实战中推荐使用ldap方法进行利用，因为当前环境下基于rmi的利用方式在JDK 8u191之后受到极大限制。

    Fastjson JSON 漏洞 远程代码执行 (RCE) JNDI 注入 Java 反序列化 漏洞利用 版本特性 环境配置

    0xb0 Universal-POC Validator || 万能POC验证器

    安全wz啊 2026-04-06T13:12:39 © aqwzaa 万知安全

    Example Image


    Universal-POC-Validator是一款专为安全测试和漏洞验证设计的工具，旨在提升攻防演练、众测等实战场景中n-day漏洞的快速、批量验证效率。该工具以原生HTTP数据包解析为核心，无需二次开发，支持直接复用各类POC，并搭配批量验证能力和极简Web界面，实现开箱即用。其适配场景包括盒子上榜、新洞速刷、edu通杀rank以及通用型漏洞nday批量验证。工具采用本地服务+网页界面的架构，提供直观、高效的漏洞验证体验。功能特性包括本地服务自动启动、自动打开网页界面、Burp Suite代理集成、智能POC解析、单文件运行和跨平台兼容。使用方法简单，只需双击启动程序，配置Burp Suite代理，输入目标地址和POC数据包，即可执行测试并查看结果。常见问题与解决方案涵盖了程序启动失败、无法连接Burp Suite、测试无响应和临时文件问题等。注意事项强调仅用于授权的安全测试，禁止用于非法用途，并需确保网络连接正常、Burp Suite正确配置以及端口未被占用。技术支持提示检查端口占用、Burp Suite运行状态和防火墙设置等。免责声明明确指出工具仅用于合法授权的安全测试和漏洞研究，严禁用于任何非法行为，使用者需自行承担违规使用产生的法律责任。

    漏洞验证 POC测试 安全测试工具 网络安全 攻防演练 批量验证 HTTP Burp Suite Web界面 N-day漏洞

    0xb1 知识分享 | 学网络必知！DNS：隐藏在你每次上网背后的“网络侦探”

    小安数记pro 2026-04-06T10:39:54 © 小安Air

    Example Image


    本文详细介绍了DNS（域名系统）的工作原理、服务器分类、主要参数以及查询过程，并强调了其在互联网中的重要性。DNS作为域名和IP地址相互映射的分布式数据库，解决了人类记忆数字困难的问题，其工作基于查询与响应机制。文章阐述了DNS服务器的四大分类：根域名服务器、顶级域服务器、权威域名服务器和递归DNS服务器，以及它们在域名解析中的角色。同时，解释了DNS的主要参数，包括正向查找区域、反向查找区域、资源记录和转发器，并详细描述了DNS域名解析过程，包括递归查询和迭代查询两种方式。此外，文章还讨论了DNS劫持的防御措施，如使用可信DNS、开启DNS over HTTPS等，以及多级缓存机制如何提高DNS解析效率。最后，总结了DNS的关键知识点，并提供了实用小贴士，如更换DNS服务器以提高网络访问速度。整体而言，本文旨在帮助读者深入理解DNS的工作机制及其在网络安全中的重要性。

    DNS 网络安全基础 网络协议 网络架构 安全防御 网络性能优化

    0xb2 36 个恶意 NPM 软件包利用 Redis 和 PostgreSQL 部署持久化植入程序

    骨哥说事 2026-04-06T10:17:14 © 骨哥说事

    Example Image


    网络安全研究人员近日在npm存储库中发现36个恶意软件包，这些软件包伪装成Strapi CMS插件，但实际上含有恶意代码。这些恶意软件包通过特定的命名规则诱骗开发者下载，并利用Redis和PostgreSQL漏洞进行攻击。恶意代码被嵌入到postinstall脚本中，能够在安装过程中自动执行。攻击者通过这些软件包部署反向shell，窃取凭据，并投放持久植入程序。攻击过程包括利用Redis进行远程代码执行、Docker容器逃逸、扫描系统、窃取PostgreSQL数据库凭据等。此外，文章还提到了其他针对开源生态系统的供应链攻击案例，强调了软件供应链攻击的严重性和威胁行为者的多样性。

    恶意软件包 供应链攻击 NPM安全 后门程序 持久化攻击 Redis漏洞 PostgreSQL攻击 凭证窃取 开源生态系统安全 加密货币安全

    0xb3 反向支付漏洞

    山水SRC 2026-04-06T09:20:26 © 游山玩水

    Example Image


    本文探讨了反向支付漏洞这一网络安全问题。该漏洞利用前端参数控制付款方身份，通过构造支付数据，使得A用户向B用户支付，实际上B用户却向A用户支付。文章首先声明了分享文章的合法用途，并强调了读者需遵守相关法律法规。接着，文章详细描述了正常支付流程与反向支付攻击流程的对比，揭示了漏洞的原理，包括身份参数前端可控、后端仅验证参数格式、无二次确认机制等问题。文章还分析了由此带来的安全风险，如非授权资金转移和窃取用户资金等。最后，提出了防御方案，包括后端从登录态获取付款方ID、增加二次确认机制、监控异常支付行为等措施，以增强支付系统的安全性。

    支付安全 漏洞分析 网络安全法 渗透测试 后端安全 前端安全 安全防御

    0xb4 从沙箱逃逸到系统主宰：解析 2026 年首个重大 Windows 内核提权漏洞-华盟网

    黑白之道 2026-04-06T08:12:50 ming

    Example Image


    本文详细解析了2026年首个重大Windows内核提权漏洞。该漏洞存在于Windows系统中的afd.sys驱动程序，攻击者通过NtCreateFile直接获取AFD设备的原始句柄，利用AfdBind函数处理AFD_BIND_DATA结构体时的逻辑缺陷，通过整数溢出触发越界写入。攻击者随后遍历内核中的EPROCESS双向链表，定位到当前攻击进程和系统进程的EPROCESS结构，通过覆盖特定地址实现权限提升。文章还探讨了KASLR绕过、VBS/HVCI挑战以及供应链风险，指出即使是最坚固的堡垒，老旧驱动依然可能成为数字世界的脆弱点。

    Windows内核漏洞 提权漏洞 整数溢出 沙箱逃逸 内核地址空间随机化（KASLR）绕过 虚拟化安全（VBS） 供应链安全 安全驱动开发 历史漏洞分析 网络安全防护

    0xb5 使用火绒过滤风险DNS请求

    生有可恋 2026-04-06T06:54:06 © hyang0

    Example Image


    本文介绍了如何利用火绒杀毒软件过滤风险DNS请求。作者发现火绒能够检测并阻止非法DNS请求，从而保护服务器不受恶意网站的侵害。文章以作者在检查火绒安全日志时发现的两条木马威胁告警为例，说明了火绒在检测恶意访问地址方面的作用。作者指出，火绒能够检测本地应用程序的恶意行为，但不能阻止用户主动访问恶意域名。文章还提到，作者遇到的内网DNS服务器频繁出现木马和勒索域名告警的问题，并探讨了如何使用火绒的DNS过滤功能来解决这一问题。最后，作者提到nginx的UDP转发功能在Windows上不受支持，并考虑寻找替代方案。

    网络安全防护 恶意软件检测 DNS安全 日志分析 防火墙技术 安全事件响应

    0xb6 【数据库】MSSQL等保核查命令大全｜亲测有效 + 持续更新

    汤池杂货铺 2026-04-06T04:22:00 © Fuyuanzi

    Example Image


    本文提供了一套针对 Microsoft SQL Server 2019 的安全检查命令和策略，旨在帮助学习者评估和加固 SQL Server 的安全性。文章涵盖了身份认证与账户策略、权限管理、网络配置、审计与日志、数据保护与加密以及补丁安全等多个方面。具体包括检查认证模式、sa 账户状态、空账户风险、登录失败锁定机制、密码复杂度策略、sysadmin 成员列表、公共角色权限、Guest 用户状态、xp_cmdshell 及其他扩展存储过程状态、端口/IP 配置、远程连接开关、加密连接设置、登录审计、日志轮转、日志信息查看、默认跟踪配置、数据库加密状态（TDE）以及敏感数据列加密等关键检查点。文章强调了启用密码策略、禁用不必要的服务和扩展存储过程、配置合适的远程访问权限、启用审计和日志记录、使用 TDE 加密数据库文件以及定期检查补丁和版本的重要性。此外，文章还提供了具体的 SQL 查询命令和配置方法，并指出了合规要求和建议操作，为 SQL Server 的安全加固提供了实用的指导。

    身份认证安全 权限管理 网络配置安全 审计与日志 数据保护与加密 补丁与漏洞管理

    0xb7 Shell 命令语法、管道和重定向详细介绍

    运维星火燎原 2026-04-06T00:04:47 © 刘军军

    Example Image


    本文详细介绍了Shell命令的语法、管道和重定向操作。首先，文章阐述了Shell命令的基本语法，包括命令结构、命令类型和命令执行顺序。接着，深入讲解了管道的概念、工作原理和实际应用，包括如何使用管道进行数据过滤、统计信息等操作。随后，文章介绍了重定向的概念，包括标准文件描述符、输出重定向、输入重定向以及实际应用示例。此外，还涉及了高级应用，如命令替换、进程替换以及命令链的组合。最后，文章提供了实用技巧，如重定向到 /dev/null、tee命令的使用以及错误处理方法。整个文章旨在帮助网络安全学习者更好地理解和掌握Shell命令的高级技巧，以提升在网络安全领域的技能。

    操作系统安全 命令行安全 文件操作安全 网络监控 安全编程 入侵检测 渗透测试

    0xb8 GlassWorm恶意软件利用Solana信箱传播远程访问木马并窃取浏览器和加密数据。

    犀牛安全 2026-04-06T00:00:19 Rhinoer

    Example Image


    GlassWorm恶意软件利用Solana区块链作为其通信渠道，通过多阶段攻击框架窃取数据并安装远程访问木马（RAT）。攻击者首先通过发布恶意软件包在npm、PyPI等平台站稳脚跟，然后入侵项目维护者账户推送恶意更新。该恶意软件能够记录击键、捕获屏幕截图、窃取浏览器数据和加密货币钱包信息。攻击者使用Solana交易作为死信箱解析器来获取C2服务器命令并下载特定有效载荷。第二阶段有效载荷是一个数据窃取框架，能够窃取凭证、加密货币钱包数据和系统信息。最终，攻击者会通过RAT窃取浏览器数据，并在Windows和macOS系统上强制安装名为Google Docs Offline的Chrome扩展程序，以进一步窃取用户信息。为应对此类攻击，网络安全公司AFINE发布了一款名为glassworm-hunter的开源Python工具，用于扫描开发者系统中与此次攻击活动相关的有效载荷。

    恶意软件分析 远程访问木马 区块链攻击 数据窃取 供应链攻击 钓鱼攻击 浏览器安全 加密货币安全 多阶段攻击 开发者安全

    本站文章为人工采集，目的是为了方便更好的提供免费聚合服务，如有侵权请告知。具体请在留言告知，我们将清除对此公众号的监控，并清空相关文章。所有内容，均摘自于互联网，不得以任何方式将其用于商业目的。由于传播，利用此文所提供的信息而造成的任何直接或间接的后果和损失，均由使用者本人负责，本站以及文章作者不承担任何责任。