2026年 第37周 微信公众号精选安全技术文章总览

    洞见网安 2026-9-14

    0x1 ROP Emporium 前五题笔记：从栈对齐到坏字符绕过

    Licharsec 2026-09-20T23:09:59 Licharse

    Example Image


    本文详细记录了 ROP Emporium 前五题的解题过程和核心考点。从第一题 'ret2win' 的基础栈溢出和 64 位栈对齐问题开始，介绍了如何利用程序自带的 'ret2win' 函数实现 flag 获取。第二题 'split' 考察了函数与参数分离，通过 'pop rdi; ret' 指令传递参数。第三题 'callme' 要求按顺序调用多个函数并传递 64 位参数，利用 PLT 和函数嵌套实现。第四题 'write4' 没有现成的写内存函数，通过寻找 'mov' 类 gadget 实现参数写入。第五题 'badchars' 针对坏字符问题，采用异或加密参数，在运行时通过 gadget 还原参数，绕过检测。文章强调了寻找合适的 gadgets、处理栈对齐、参数传递以及绕过坏字符等关键技巧，并提供了详细的 payload 构造方法和 IDA 截图参考。

    0x2 EDR攻击技术-内存与执行规避

    安全分析与研究 2026-09-20T22:00:00 © pandazhengzheng

    Example Image


    内存安全 代码执行 规避检测 内核编程 PE 格式 反反调试与反反病毒

    0x3 【已复现】Cisco ISE 认证绕过漏洞（CVE-2026-76460）

    源影安全团队 2026-09-20T20:08:09 源影网安

    Example Image


    本文分析了Cisco Identity Services Engine（简称ISE）的一个严重漏洞CVE-2026-76460。CVE-2026-76460是一个认证绕过漏洞，CVSS评分10.0，意味着其风险极高。该漏洞允许攻击者无需任何凭据即可绕过ISE的Web管理界面的认证，获得管理员级别的接口访问与操作权限。攻击者可以查看任务详情、替换系统证书、发起补丁安装等操作。该漏洞源于ISE的API网关（Kong）未强制执行JWT校验，以及后端认证组件无条件信任网关转发的身份标识请求头。此外，该漏洞可能导致攻击者以root权限执行受限的命令，但需要满足特定条件。受影响版本包括3.1及更早版本，思科已发布补丁进行修复。

    CVE 认证绕过 Cisco ISE 安全漏洞 身份认证 API 安全 访问控制 命令执行 企业网络安全 补丁管理

    0x4 (9.1分) CVE-2026-93958：D-Link R95 路由器命令注入

    红队安全圈 2026-09-20T20:00:00 红队安全圈

    Example Image


    本文详细分析了一个存在于D-Link旗舰Wi-Fi 7路由器R95（BE9500）固件中的严重漏洞CVE-2026-93958。该漏洞为CVSS 9.1级别的OS命令注入漏洞，利用代码已公开。漏洞存在于DHMAPI（SOAP over HTTPS）接口处理SetTimeSettings请求的NTPServer字段，该字段未做任何过滤就被拼入shell命令执行，成功注入可直接获取root权限。文章深入剖析了漏洞成因，指出漏洞源于ssi二进制程序将NTPServer字段零过滤写入配置库，并在配置同步时通过system()函数拼接执行，导致注入命令以root权限运行。认证机制采用HMAC-SHA256签名，但存在时间戳不校验、静态密钥等设计缺陷，易于绕过。文章还提供了完整的利用链和EXP脚本，展示了如何通过base64分片绕过长度限制并反弹shell。最后，文章给出了检测、排查和修复建议，并强调了该漏洞的实战价值和对同类设备的安全启示。

    漏洞分析 命令注入 Web 安全 权限提升 认证后攻击 代码注入 UCI 配置 HMAC认证 固件分析 利用开发

    0x5 一个备份文件引发的血案：从匿名共享到 root 的 5 步攻击链

    Hash-Sec 2026-09-20T19:36:57 Hash-Sec

    Example Image


    Symfonos2 是一个中等难度的 Linux 靶机，其渗透路径设计巧妙，每一步都基于前一步的信息收集成果，而非硬刚漏洞。首先通过 SMB 匿名共享获取了用户 aeolus 和 shadow.bak 文件路径的信息。接着利用 ProFTPD 1.3.5 的未授权文件复制漏洞（CVE-2015-3306），将 shadow.bak 文件复制到 SMB 共享目录下，然后通过 SMB 下载该文件。使用 john 工具和 rockyou 字典对 shadow.bak 文件进行爆破，成功获取了 aeolus 用户的密码。随后通过 SSH 登录，并利用 SSH 隧道访问了绑定在本地回环地址的 LibreNMS Web 服务，发现存在命令注入漏洞。利用该漏洞获取了 cronus 用户的 shell。最后通过 sudo -l 发现 cronus 用户可以免密运行 mysql，利用 mysql 的 select ... into outfile 命令提权获取了 root 权限。整个渗透过程展示了信息收集、漏洞利用和权限提升的连贯技巧，并强调了配置文件、备份文件和日志文件在信息收集中的重要性。

    0x6 pgAdmin 严重认证绕过漏洞：伪造 HTTP 头即可冒充管理员登录

    网安百色 2026-09-20T18:34:00

    Example Image


    本文报道了pgAdmin 4中的一个严重认证绕过漏洞，漏洞编号为CVE-2026-86863。该漏洞允许未认证的攻击者通过伪造HTTP头信息来冒充管理员登录，从而获取管理员或其他高权限用户的会话。该漏洞影响了从pgAdmin 4的6.2至9.17版本，CVSS评分高达9.8。官方已在9.18版本中修复了此漏洞。漏洞的产生是因为WebserverAuthentication.get_user()函数未能可靠地区分可信服务器提供的环境变量值和远程客户端通过HTTP头提交的身份值。攻击者可以构造一个包含目标账户用户名的HTTP头，无需密码或多因素认证即可登录。建议用户升级到pgAdmin 9.18或更高版本，并审查反向代理的认证设置，以避免潜在的安全风险。

    认证漏洞 Web服务器安全 CVE编号 数据库安全 远程攻击 CVSS评分 软件更新

    0x7 Linux 内核曝四个提权漏洞，攻击者可借此获取 root 权限

    网安百色 2026-09-20T18:34:00

    Example Image


    近日，Linux内核披露了四个新的提权漏洞，这些漏洞分别为DirtyAH6、TUNderflow、PPPoEject和DiagSpill，它们都存在于长期使用的网络代码中。这些漏洞可能允许本地攻击者破坏内核内存，并在受影响的系统上将权限提升至root。其中，DirtyAH6漏洞与IPv6认证头处理越界有关，TUNderflow漏洞与TUN/TAP子系统整数下溢有关，PPPoEject漏洞是PPPoE释放后重用漏洞，而DiagSpill漏洞则影响SCTP诊断报告缓冲区。虽然这些漏洞的远程攻击难度较高，但它们仍然对Linux系统的安全性构成了威胁。目前，Linux内核已提供修复，用户应升级到包含全部四项修复的内核版本。如果不能立即打补丁，应限制非特权用户命名空间，并禁用未使用的相关功能。

    Linux内核安全 提权漏洞 本地攻击 内存安全 CVE编号 安全补丁 网络安全策略

    0x8 [Black Hat 2023] Pwn House of minho 解题报告

    看雪学苑 2026-09-20T18:05:00 mb_dcvvjyqc

    Example Image


    该文章详细分析了一个网络安全漏洞利用过程，涉及堆溢出、libc泄露、堆基地址泄露、smallbin-to-tcache技巧以及House of Apple2技术。首先，通过堆溢出修改Top Chunk大小，使其进入Unsorted Bin，然后利用scanf读超长输入触发malloc/realloc/free，配合修改后的Top Chunk，泄露libc基址。接着，通过tcache fd的safe-linking泄露堆基地址。利用smallbin-to-tcache技巧获得任意写权限，然后使用House of Apple2技术劫持_IO_list_all，触发system调用，最终执行cat /flag命令获取flag。整个过程涉及多个glibc版本的特征利用，包括Full RELRO、NX、Canary等安全机制。文章还提供了完整的exploit代码和运行结果，展示了从漏洞分析到实际利用的完整流程。

    0x9 Unbound DNSSEC验证器堆溢出漏洞深度分析（CVE-2026-81642）（附PoC）

    赤霄攻防实验室 2026-09-20T18:00:00 © 赤霄攻防实验室

    Example Image


    Unbound 1.26.1 发布，修复了 CVSS 4.0 评分高达 9.1 的 DNSSEC 验证器堆溢出漏洞（CVE-2026-81642）。Unbound 是全球部署最广的开源递归解析器之一，广泛应用于运营商递归、企业内网 DNS、Pi-hole、AdGuard Home、OpenWrt 路由器、各类 VPN 网关等。该漏洞的利用门槛低，攻击者只需控制一个恶意域名，让目标解析器发起一次递归查询，就能触发堆溢出，导致解析器崩溃（DoS）或潜在代码执行。漏洞根源于 DNSSEC 验证过程中，计算摘要时未进行容量检查，导致缓冲区溢出。攻击者可通过自建 DNS zone 投放构造好的 DNSKEY 记录，诱使目标解析器查询后触发漏洞。受影响版本为 Unbound ≤1.26.0，只要开启 DNSSEC 验证即暴露。修复方法为升级到 1.26.1 或应用官方补丁。建议受影响用户立即升级，或临时关闭 DNSSEC 验证止损。

    DNSSEC 堆溢出 (Heap Buffer Overflow) Unbound CVE-2026-81642 拒绝服务 (DoS) 潜在代码执行 (Potential Code Execution) 网络漏洞 低复杂度 (Low Complexity) 开源软件 内核/系统软件

    0xa Brevo遭供应链攻击，超10万网站被植入恶意代码

    FreeBuf 2026-09-20T18:00:00

    Example Image


    Brevo（原名为Sendinblue）遭受了供应链攻击，攻击者通过利用Brevo SAML SSO系统的漏洞和一枚被盗的长期Cloudflare API密钥，入侵了Brevo系统。攻击者成功获取了138个账号的访问权限，并导出了43个账号的联系人数据。随后，攻击者部署了一个恶意Cloudflare Worker，向Brevo自有网站及客户站点的JavaScript文件中注入恶意代码。这次攻击影响了超过10万个网站。恶意代码包括恶意WordPress插件和clickfix遮罩层，攻击者利用这些工具向用户推送恶意代码。攻击全程隐藏在CDN边缘，使得监控源站层级的工具无法发现异常。Brevo已经吊销了被盗的API密钥，并从源代码中移除了硬编码的凭证，但用户仍需检查自己的网站是否有异常行为，并进行必要的安全措施。

    供应链攻击 恶意代码注入 SAML SSO漏洞 云服务安全 API密钥泄露 域名滥用 网络钓鱼 WordPress安全 CDN安全 安全响应与修复

    0xb 从HTML注入到CSRF：一次漏洞组合拳实战

    蚁景网安 2026-09-20T17:30:39 Chunibyo

    Example Image


    本文详细描述了一次针对某社区平台的安全漏洞组合攻击实战。作者首先发现了平台评论功能中的存储型HTML注入漏洞，通过逆向工程和构造特殊payload成功绕过了前端过滤和WAF防护。接着，作者利用平台存在的GET方式登出接口，结合HTML注入，实现了点击即登出的CSRF攻击。文章详细介绍了如何通过脚本绕过WAF检测规则，包括对加密逻辑的逆向分析和签名函数的破解。作者强调了敏感操作不应使用GET方式，以避免CSRF攻击的风险。此外，文章还展示了如何通过Python脚本构造和发送恶意payload，以及攻击成功后的后果。最后，作者总结了单个漏洞可能危害有限，但组合起来可能产生更大影响的观点。

    Web安全 HTML注入 CSRF攻击 漏洞挖掘 WAF绕过 逆向工程 实战教程

    0xc 新样本溯源｜安天移动安全解析 Android RatHat 木马：搭载原生 Agent 的全设备接管远控家族分析报告

    安天移动安全 2026-09-20T17:30:00 © 安天移动安全

    Example Image


    0xd 威胁情报｜FomoPeek App Store 投毒与 iOS 内核利用分析

    有度安全 2026-09-20T16:59:35 慢雾安全团队

    Example Image


    慢雾安全团队发现多起用户因使用 FomoPeek 1.1–1.2 版本 App 导致资产被盗事件。经联合分析确认，这两个版本中植入了 apptrace 和 libapptracecore 两个恶意模块，具备远程配置、内核漏洞利用、沙盒逃逸、Keychain 解密及跨应用数据采集能力。动态验证显示，应用从 Bitbucket 获取加密的 C2 地址，并向 api-a95f0ed200f.assisaint[.]com 上报设备信息、接收远程配置。测试期间，C2 返回的 exploit_enabled 为 false。通过修改开关并在隔离环境中运行，获取到针对 19 个钱包及笔记应用的采集清单，并捕获到 Apple 备忘录容器被打包上传的完整请求。逆向分析与样本溯源显示，1.0 版本未发现恶意模块，1.1 版本于 2026 年 9 月 9 日首次植入，1.2 版本于 9 月 12 日上线并沿用同一套代码，1.3 版本于 9 月 17 日将两个 framework 整体移除。因此，明确受影响的 App 版本为 1.1 和 1.2，相关恶意模块通过 App Store 官方版本分发。该框架攻击目标并非仅限于低版本系统或老旧设备，而是通过看似正规的 App Store 途径进行传播，警示用户需提高警惕。

    0xe 安全简讯（2026.09.20）

    启明星辰安全简讯 2026-09-20T16:15:11

    Example Image


    本文报道了2026年9月20日网络安全领域的几项重要事件。首先，安全研究员Gal Weizman披露了一种名为BragJack的新型攻击技术，该技术可以通过恶意浏览器扩展劫持五款主流浏览器的AI助手，从而获取用户敏感信息。其次，朝鲜黑客组织WaterPlum被指控在全球范围内大规模窃取加密货币，感染了至少30,000台设备。ShinyHunters勒索团伙入侵了Clop勒索网站，篡改了其Tor页面，并声称窃取了服务器数据及洋葱服务私钥。此外，恶意GitHub仓库被用于传播新型窃密程序Rapuncel，攻击者利用SEO优化的GitHub仓库冒充合法软件公司。Orkes Conductor开源框架曝出严重RCE漏洞，攻击者无需身份验证即可利用。最后，网络间谍组织NightEagle将其攻击目标扩展至俄罗斯公司，利用窃取的凭证和新技术进行攻击。

    浏览器安全漏洞 加密货币安全 勒索软件攻击 恶意软件传播 开源软件漏洞 网络间谍活动 数据窃取 恶意软件分析 APT攻击 安全事件响应

    0xf 【已复现】WordPress Click2Shell 核心预认证远程代码执行漏洞(QVD-2026-70986)安全风险通告

    奇安信 CERT 2026-09-20T16:09:38

    Example Image


    本文详细介绍了WordPress Click2Shell 核心预认证远程代码执行漏洞（QVD-2026-70986）的安全风险。该漏洞允许攻击者绕过身份验证，在目标服务器上以Web服务账户权限执行任意PHP代码，从而可能导致读取数据库凭据、窃取业务数据、创建或修改管理用户与内容、篡改应用文件，最终完全控制WordPress站点。漏洞由WordPress核心的主题预览选择器注入与第三方主题的预激活代码执行缺陷组合而成。奇安信CERT已成功复现该漏洞，并提供了详细的漏洞描述、影响范围、利用条件和复现步骤。建议用户及时更新至最新版本的WordPress，并采取一系列缓解措施来降低风险。

    WordPress 漏洞 远程代码执行 身份验证绕过 代码执行漏洞 安全补丁 内容管理系统（CMS）安全 漏洞利用 安全风险通告

    0x10 赛博安全狗：SolarWinds 修复 ARM / Linux Kernel漏洞 (9月20日)

    赛博看门狗 2026-09-20T16:07:10 赛博安全狗

    Example Image


    本文报道了近期网络安全领域的一系列重要事件和漏洞。朝鲜黑客组织WaterPlum感染了全球至少3万台设备，Brevo供应链攻击向10万个网站注入恶意软件。Nozomi发现Siemens SCALANCE存在12个漏洞，阿联酋单日遭遇64万次网络攻击。SolarWinds修复了ARM硬编码密钥漏洞，CISA将三个Linux内核漏洞列入已知利用目录。Cisco的零日漏洞和OpenShift控制台未授权访问漏洞也被提及。此外，还有关于勒索软件攻击和数据泄露事件的报道。

    黑客攻击 供应链攻击 工业控制系统漏洞 数据泄露 漏洞修复 Linux内核漏洞 Cisco设备漏洞 OpenShift漏洞 Cocos AI漏洞

    0x11 威胁情报｜FomoPeek App Store 投毒与 iOS 内核利用分析

    慢雾科技 2026-09-20T16:06:08 © 慢雾安全团队

    Example Image


    慢雾安全团队发现多起用户因使用 FomoPeek 1.1–1.2 版本 App 而导致资产被盗的事件。经过联合分析，确认这两个版本中植入了 apptrace 和 libapptracecore 两个恶意模块，具备远程配置、内核漏洞利用、沙盒逃逸、Keychain 解密及跨应用数据采集能力。恶意模块从 Bitbucket 获取加密的 C2 地址，并向 api-a95f0ed200f.assisaint[.]com 上报设备信息并接收远程配置。在隔离环境中测试发现，C2 返回的 exploit_enabled 为 false，但服务端可远程开启漏洞利用、调整执行周期并控制其重复运行。逆向分析显示，1.0 版本未发现恶意模块，1.1 于 2026 年 9 月 9 日首次植入，1.2 于 9 月 12 日上线并沿用同一套代码，1.3 于 9 月 17 日将两个 framework 整体移除。因此，明确受影响的 App 版本为 1.1 和 1.2，相关恶意模块通过 App Store 官方版本分发。该框架的攻击目标并非仅限于低版本系统或老旧设备，而是通过看似正规的应用商店渠道进行投毒，提醒用户需提高警惕。

    0x12 Fortinet：Orkes Conductor 工作流平台上严重的预认证 RCE 已遭利用

    代码卫士 2026-09-20T15:04:49 Ravie Lakshmanan

    Example Image


    Fortinet公司近日发现并公开了一个影响Orkes Conductor工作流平台的严重漏洞（CVE-2026-58138），该漏洞与未经身份验证的远程代码执行有关，CVSS评分高达9.8。该漏洞允许攻击者在身份验证之前，通过工作流API端点提交恶意JavaScript或Python表达式，从而执行任意操作系统命令。Fortinet观察到攻击者正在积极利用这一漏洞，已阻止1290次攻击尝试。受影响版本的用户应升级到已修复该漏洞的Conductor 3.30.2或更高版本，同时建议限制对工作流API端点的外部访问，并监控可疑活动。

    远程代码执行（RCE） 漏洞利用 源代码安全 软件漏洞 安全告警 漏洞修复 网络安全 蜜罐技术 遥测数据 国际安全事件

    0x13 【已复现】漏洞通告 | CUPS 本地权限提升漏洞

    中成信息 2026-09-20T14:43:23 安全实验室

    Example Image


    本文详细介绍了CUPS本地权限提升漏洞的详细信息。该漏洞允许低权限用户通过lpadmin组获取root权限，涉及串口后端以root运行改写配置文件、触发服务崩溃重启等步骤，最终实现交互式root shell。影响范围包括Ubuntu 26.04 LTS及其他满足特定条件的Ubuntu/Debian发行版。目前该漏洞的利用代码已公开，但官方补丁尚未发布。文章提供了临时缓解措施，包括收紧lpadmin组权限、处理特权serial后端、审计打印队列、限制CUPS网络暴露等。建议用户及时关注官方公告并采取相应的安全措施。

    CUPS 漏洞 本地权限提升 Ubuntu 漏洞 权限提升攻击 系统安全 漏洞复现 安全补丁 网络安全防护

    0x14 Docker Mac沙箱逃逸漏洞详解

    云原生安全指北 2026-09-20T14:33:49 Dubito

    Example Image


    本文详细解析了Docker Mac沙箱逃逸漏洞CVE-2026-77179。该漏洞允许攻击者通过容器运行三行bash命令获得宿主机文件系统的完整读写权限。漏洞存在于Docker Desktop和Docker Sandboxes中，特别是当Docker VMM被启用时。漏洞的原理在于Docker的VMM在挂载文件夹到容器时，利用virtio-fs进行文件服务。攻击者通过特定的操作，如创建符号链接和文件路径字符串，可以绕过沙箱限制，访问宿主机上的敏感文件。文章还描述了漏洞的利用过程、修复时间表以及Docker安全团队对漏洞的响应。作者建议用户检查自己的Docker版本，确保使用的是修复后的版本，以避免潜在的安全风险。

    Docker 安全漏洞 沙箱逃逸 文件系统访问控制 漏洞修复 漏洞利用技术 云原生安全

    0x15 夫人 你也不想你丈夫的马全被杀了吧-AV/EDR 家族化检测机制拆解与样本存活实验

    DeepDark Sec 2026-09-20T14:27:13 © 明天

    Example Image


    本文深入探讨了恶意软件家族化检测的技术原理和实践应用。文章首先介绍了家族化检测的四层技术比较对象：精确匹配、相似度哈希、语义特征和结构/行为特征，并分析了每层技术的成本、抗变换能力和在对抗中的角色。接着，通过一组可控无害变体的本地和 VirusTotal 双端实测，验证了不同检测技术在对抗多态和扁平化攻击时的效果。实验结果表明，源码级多态可以大幅降低 ssdeep 相似度，但对 imphash 和 BinDiff 类图匹配影响较小；而编译选项的改变则会影响 imphash 和导入表，进而改变家族归属。文章还讨论了 BinDiff、OLLVM 和多态各自的战场与边界，并提出了万台规模的工程化思考，强调分簇构建、混淆参数多态化和灰度监控的重要性。最后，从蓝队视角出发，给出了反向检测建设清单，包括将 imphash 作为关键特征、使用模糊哈希组合方案、为混淆特征写规则以及警惕孤立样本等建议。

    0x16 CVE-2026-49176 深度解析：Windows WalletService 本地提权链

    Ots安全 2026-09-20T13:22:33

    Example Image


    本文详细分析了微软在2026年7月14日发布的570个漏洞中的一个本地提权漏洞CVE-2026-49176。该漏洞允许标准用户通过操纵 Documents 已知文件夹的路径，最终获取NT AUTHORITY\SYSTEM权限。漏洞利用的关键在于Windows的ESE存储引擎会根据数据文件中的回调模块路径加载模块，而服务在切换回LocalSystem身份后才打开文件，导致模块以SYSTEM权限执行。攻击者可在自己目录下创建包含持久化回调的数据库，服务打开数据库时加载攻击者指定的模块。修复通过关闭一个服务特性开关实现，该开关会跳过旧路径的处理，从而阻止模块加载。文章还讨论了该漏洞的时间线、影响范围、补丁分析以及与其他同期漏洞的比较，强调了补丁发布与安装之间的时间差是实际风险的关键因素。

    漏洞分析 提权漏洞 Windows安全 ESE引擎 权限管理不当 恶意软件 PoC 时间线分析

    0x17 烽火狼烟丨暗网数据及攻击威胁情报分析周报（09/14-09/18）

    盛邦安全应急响应中心 2026-09-20T12:08:06

    Example Image


    本周网络安全周报显示，暗网数据贩卖事件数量较上周大幅下降，共发现312起，数据总量约为19206.9万条。泄露数据涉及金融、服务、个人信息等多种类型，主要来自墨西哥、委内瑞拉、多米尼加、阿根廷和法国等地。安全威胁方面，漏洞链滥用、内网持久渗透、AI生态劫持攻击、多行业数据泄露和大规模钓鱼活动等风险持续扩散。重点数据泄露事件包括墨西哥卫生服务局、委内瑞拉市政机构、多米尼加电信运营商和阿根廷大学兽医学院的数据泄露。热点资讯涉及黑客团伙对企业网络攻击、AI编程助手会话劫持、新型Windows恶意软件、远程管理工具滥用和Telegram桌面客户端缺陷等。热点技术包括浏览器扩展劫持AI助手、BambooToken恶意软件、Vite开发服务器扫描和DDRop硬件攻击等。热点漏洞包括PbootCMS模板渲染XSS、katojkalemba SQL注入、motionEye会话验证绕过、Duplicati本地提权、Trusty系统级越界写入等。攻击情报部分列出了本周部分重点攻击来源及攻击参数。

    暗网数据泄露 网络安全事件分析 威胁情报 热点技术 热点漏洞 攻击情报 恶意软件分析 安全预警 漏洞利用

    0x18 重大APT预警！Ted后门+curlRAT武器库曝光：把HAProxy负载均衡器改造成间谍设备

    AI紫队安全研究 2026-09-20T11:59:00 © AI紫队安全研究

    Example Image


    本文揭露了与朝鲜APT组织（APT37）相关的Linux间谍武器套件Ted Backdoor + curlRAT的攻击活动。该武器套件通过将恶意代码编译进HAProxy负载均衡器内部，实现对网页流量的窃听、Cookie的偷取以及向特定访客注入恶意脚本。攻击者还篡改了系统核心守护进程以实现长期潜伏。攻击主要针对韩国汽车、传媒行业，攻击过程高度隐蔽，传统日志审计难以发现痕迹。文章详细分析了攻击武器、攻击链路、核心技术亮点以及高危风险，并提出了企业防御与检测落地建议。

    APT攻击 间谍软件 后门程序 负载均衡器安全 系统守护进程篡改 数据窃取 网络监控 安全防御策略 日志审计 企业网络安全

    0x19 CVE-2026-62943：btrbk SSH命令过滤绕过漏洞，CVSS 8.7分

    撅人 2026-09-20T11:06:43

    Example Image


    CVE-2026-62943是一个影响btrbk项目的漏洞，该漏洞允许受限SSH用户通过在合法的btrbk命令前缀后追加管道命令，绕过SSH命令过滤器的白名单限制，执行任意命令。该漏洞由btrbk项目在2026年9月18日发布安全公告，CVSS基础评分为8.7，严重等级评定为High。漏洞存在于ssh_filter_btrbk.sh脚本中，因为正则表达式缺少结束锚点，导致过滤器只检查命令前缀，而不检查其后是否为合法命令。该漏洞已在前0.32.7版本中得到修复，目前尚无在野利用报告。受影响版本为0.29.0至0.32.7，修复建议是升级至0.32.7或更高版本。

    CVE编号 操作系统命令注入 SSH漏洞 白名单绕过 CVSS评分 远程备份工具 软件漏洞 版本更新

    0x1a 紧急安全预警｜Node.js vm2曝3个CVSS 10.0沙箱逃逸漏洞，可突破隔离实现RCE

    杂杂咱谈 2026-09-20T10:53:01 © tuto

    Example Image


    Node.js应用中隔离执行JavaScript代码的库vm2被发现存在三个严重安全漏洞，CVE-2026-93603、CVE-2026-93605和CVE-2026-93606。这些漏洞均可导致沙箱逃逸，攻击者能够突破vm2的隔离边界，在宿主Node.js进程环境中执行任意代码，造成远程代码执行（RCE）。这些漏洞的CVSS评分均为10.0，属于Critical级别，且已公开。漏洞可能被用于访问文件、环境变量、应用凭据、API Token、数据库连接信息以及操作系统命令执行能力。受影响的版本为vm2≤3.12.0，建议升级至3.12.1或更高版本以修复漏洞。

    Node.js 安全漏洞 沙箱逃逸 RCE（远程代码执行） CVE编号 代码审计 软件升级 JavaScript 安全

    0x1b Linux内核3漏洞被在野利用：只比较版本号会漏掉补丁

    字节脉搏实验室 2026-09-20T10:33:09 © tcode

    Example Image


    本文讨论了Linux内核中三个漏洞（CVE-2025-39682、CVE-2026-53266和CVE-2025-39964）被在野利用的情况。这些漏洞可能导致本地提权、拒绝服务或数据完整性问题。文章指出，仅比较版本号不足以确定系统是否安全，因为不同发行版的内核修复可能不同。管理员需要检查发行版的包版本、公告编号、安装时间和补丁说明，以确保安全补丁已正确应用。此外，文章还强调了在修复过程中需要考虑的因素，包括高暴露主机、多租户环境和研发测试机器的风险，以及如何排查提权前的足迹和提权后的变化。最后，文章提醒运维团队应记录每台机器的修复信息，并强调了理解攻击链和清除持久化的重要性。

    Linux内核安全 漏洞利用 本地提权 拒绝服务攻击 网络安全策略 漏洞评分与优先级 系统配置与维护 网络安全事件响应 安全补丁管理

    0x1c 工作流接口没登录就能执行命令：Orkes漏洞已遭利用

    字节脉搏实验室 2026-09-20T10:33:09 © tcode

    Example Image


    本文详细分析了Orkes Conductor工作流平台的一个严重漏洞（CVE-2026-58138），该漏洞允许攻击者无需登录即可通过工作流API执行系统命令。漏洞被公开利用代码利用，并观察到实际攻击。Orkes在6月已发布修复版本，但许多旧版本仍可能面临风险。文章分析了漏洞的利用过程、时间线、攻击门槛和影响范围，并提供了检测和修复的建议。建议包括确认版本、限制API访问、审计工作流提交记录、评估凭据影响和升级到安全版本。文章还强调了日志留存和内部证据的重要性，以及如何通过减少可到达实例、查找成功痕迹和分析攻击者来应对这种未认证的远程代码执行漏洞。

    漏洞利用 未授权访问 RCE（远程代码执行） 工作流平台安全 微服务安全 API安全 代码执行安全 漏洞修复 网络安全事件分析

    0x1d openHiTLS 初识

    利刃信安 2026-09-20T10:30:00 © 利刃信安

    Example Image


    openHiTLS 初识

    0x1e openHiTLS使用手册

    利刃信安 2026-09-20T10:30:00 © 利刃信安

    Example Image


    openHiTLS 是一个面向数智安全的开源密码套件，由华为、西安电子科技大学、山东大学等多家单位于2024年12月联合开源。该套件从零自主研发，API风格兼容 OpenSSL，采用五组件架构，包括 Crypto 密码算法库、TLS 安全传输协议、PKI 公钥基础设施、基础支撑层和 Provider 插件机制。Crypto 库支持国密算法 SM2/SM3/SM4 和国际算法 RSA/ECDSA/AES/SHA-2/3/Ed25519/PQC，TLS 协议支持 TLCP 和 DTLCP 国密安全传输协议，以及 TLS 1.2/1.3 协议。PKI 层支持 X.509 证书解析与验证、CRL 和 Auth 认证协议。openHiTLS 已通过 ISO/IEC 19790 密码模块认证，并具有 KAT 测试、形式化验证、侧信道防护和 FUZZ 测试等安全特性。Provider 插件机制允许算法以插件形式挂载，方便密码标准的演进。hitls 命令行工具地位等同于 openssl，覆盖国密全栈、安全协议、国际算法和后量子算法。本文档详细介绍了 openHiTLS 的环境准备、编译配置、命令速查表、详细命令手册、国密 TLCP/DTLCP 协议测试和实战场景，包括国密 SM2/SM3/SM4 全链路测试、SM2 证书链验证、TLCP 国密安全通道搭建、RSA 证书基础操作和 SM2 密钥交换与加解密等场景。

    0x1f ZCode偷传代码事件深度解析

    挽风安全 2026-09-20T10:04:54 © 挽风

    Example Image


    2023年9月，技术博主ferstar在清理硬盘时发现，其ZCode账户的~/.zcode目录中存在一个313MB的加密文件，经调查发现这是一份包含大量代码的全量快照。调查发现，ZCode客户端在用户不知情的情况下上传了42411个文件，其中大部分为.git目录的内容，包括已删除的密钥、未推送的本地分支和内网域名等敏感信息。此外，用户无法解密上传的文件，因为私钥存储在云端，用户无法访问。ZCode随后对此事件进行了致歉，并承诺开源客户端、第三方审计和补偿措施。此事件揭示了隐私保护和安全设计在代码库管理中的重要性，并指出类似问题在其他代码托管平台也可能存在。

    数据泄露 安全设计缺陷 隐私侵犯 加密使用不当 云安全漏洞 逆向工程 软件开发实践

    0x20 Linux 服务器安全加固技术（2）

    寰宇密阁 2026-09-20T10:00:00 © 寰宇秘阁

    Example Image


    本文详细介绍了如何构建 SSH 登录的多层防御体系以增强 Linux 服务器的安全性。首先，强调了区分 sshd_config 和 ssh_config 配置文件的重要性，并指出了修改配置后需要重新加载 SSH 服务。接着，建议禁用 root 直接登录，并创建具有 sudo 权限的普通用户以替代 root 操作。文章详细阐述了 SSH 密钥认证的原理和操作步骤，包括生成密钥对、设置 passphrase、部署公钥到服务器以及权限设置。在云环境中，推荐使用自定义密钥而非云提供商生成的密钥。此外，文章还讨论了 SSH 的 IPv6 安全问题，建议在 IPv4 网络环境下关闭 IPv6 访问。针对双因素认证（2FA），介绍了 Google Authenticator 和 YubiKey 两种方案的工作原理和配置方法。Google Authenticator 基于 TOTP 算法，通过手机应用生成一次性验证码；YubiKey 则是硬件令牌方案，通过触摸按钮模拟键盘输入发送 OTP。文章最后总结了 SSH 安全加固的最佳实践，强调了分层防御的理念，并建议保留应急访问通道以确保在安全加固的同时不会失去访问权限。

    0x21 新型 Android 恶意软件 RatHat 利用 AI 自动化控制设备

    e安在线 2026-09-20T09:37:42 e安在线

    Example Image


    本文介绍了一款名为RatHat的新型Android恶意软件。该恶意软件通过一个AI驱动的子系统帮助操作者远程操控受感染设备。研究发现，RatHat可能与来自中国的威胁行为者有关，通过恶意广告、短信和钓鱼网站传播。它滥用Android的无障碍权限执行高权限操作，并能够在无外部计算机的情况下获得本地shell级别的执行环境。RatHat具备安装代理和反向代理客户端的能力，可以持久化运行并在恶意软件被移除时恢复。此外，该恶意软件还能针对特定应用显示HTML覆盖层窃取凭据，拦截短信和通知，并具备多种反分析技术。研究人员警告，Android用户应避免从非官方渠道下载APK文件，并定期使用Play Protect扫描设备。

    Android 恶意软件 AI 驱动攻击 远程操控 信息窃取 持久化攻击 反分析技术 移动安全 钓鱼攻击 恶意广告

    0x22 D-Link DIR803 getcfg.php 信息泄露漏洞(CVE-2025-14528)

    Nday Poc 2026-09-20T09:33:17 Superhero

    Example Image


    本文详细介绍了D-Link DIR803设备中存在的getcfg.php接口信息泄露漏洞（CVE-2025-14528）。该漏洞允许未授权攻击者获取系统用户信息，存在进一步攻击的风险。文章中提供了漏洞的概述、利用方法、自查工具以及修复建议。漏洞复现过程通过泄露的用户密码进行登录，而自查工具包括Nuclei。修复建议包括关闭互联网暴露面或接口设置访问权限，以及升级至安全版本。此外，文章还介绍了Nday漏洞实战圈，这是一个专注于公开1day/Nday漏洞复现和工具链适配支持的内部圈子，提供漏洞POC详情、检测脚本和扫描工具等资源。

    信息泄露漏洞 CVE编号 设备安全 网络设备 漏洞复现 漏洞修复 网络安全自查 安全社区

    0x23 T-Pot 一体化多蜜罐平台：德国电信出品，23 个蜜罐一次拉起

    黑白之道 2026-09-20T09:27:00 © Red Hunter

    Example Image


    德国电信安全团队推出的T-Pot是一款集成23个蜜罐的一体化平台，旨在简化蜜罐的部署和管理。T-Pot将多个蜜罐打包在一个Docker镜像中，并使用Elastic Stack进行日志分析和可视化。该平台提供了丰富的蜜罐种类，覆盖了SSH、Web服务、数据库、工控协议等多个攻击面。T-Pot内置了Elasticsearch、Logstash和Kibana，以及开源情报自动化工具Spiderfoot、入侵检测引擎Suricata等，能够从蜜罐日志中提取攻击者画像。T-Pot支持多种安装类型，包括单机部署、分布式节点、移动场景优化等，并提供了详细的部署指南。此外，T-Pot还集成了LLM大模型蜜罐，提升了蜜罐的互动性和攻击者追踪能力。T-Pot适用于攻击者画像库、团队训练和威胁狩猎等多种场景，是网络安全研究和防御的重要工具。

    蜜罐技术 网络安全监控 德国电信 开源软件 数据可视化 入侵检测 攻击者画像 红队工具 自动化运维 工业控制系统安全

    0x24 CTF流量分析\"破案\"实录：从10万个数据包里，我用5个过滤器挖出了flag

    守夜人的记事薄 2026-09-20T09:10:00 © 奇遇先生

    Example Image


    本文深入探讨了CTF（Capture The Flag）比赛中的流量分析题型。作者通过一个实际案例，详细介绍了如何从大量的流量数据包中，利用五个过滤器精准定位并挖掘出flag。文章首先分析了CTF流量分析的难点，指出直接翻看数据包的方法效率低下，并提出了正确的思路：先预判flag可能藏身之处，再逐层深入。接着，文章详细介绍了flag可能存在的六种常见位置，包括明文请求/响应体、上传文件、导出文件、加密/编码数据、TLS加密后的数据以及协议字段中的夹缝。随后，作者介绍了使用五个过滤器进行精准定位的方法，包括排除无关流量、锁定可疑IP、按协议筛选可疑行为、还原HTTP/TCP/TLS流、导出所有传输的文件以及搜索非常规字段。文章最后总结了CTF流量分析的标准作业程序（SOP），强调了排除噪音、逐层深入的重要性，并鼓励读者在实战中练习和应用这些方法。

    网络安全 流量分析 渗透测试 数据包分析 加密分析 逆向工程 CTF竞赛 安全工具

    0x25 Cisco ISE遭遇在野攻击，最高严重级别漏洞必须尽快修复

    网络技术干货圈 2026-09-20T09:05:20 © 圈圈

    Example Image


    思科身份服务引擎（Cisco ISE）近期发现了一个严重的安全漏洞（CVE-2026-76460），该漏洞允许攻击者无需认证即可绕过API接口的身份验证控制，从而访问受影响设备的Web管理接口。这个漏洞的CVSS评分达到满分10.0，表明其严重性极高。思科已确认该漏洞已被实际攻击者利用，并已将其加入已知被利用漏洞目录。对于使用Cisco ISE的企业来说，这要求他们必须尽快升级到包含修复程序的软件版本。Cisco建议用户检查ISE节点上的日志，以确认是否存在异常活动，并提供了相应的入侵排查建议。此外，企业还需要重新审视ISE的安全边界，确保其管理接口不直接暴露在不必要的网络范围内。

    漏洞披露 网络设备安全 身份验证安全 远程攻击 紧急修复 安全响应 企业网络安全 安全最佳实践

    0x26 一行readObject毁掉整台服务器 Java反序列化漏洞从入门到RCE

    紫禁玄科 2026-09-20T09:05:16 紫禁

    Example Image


    本文深入探讨了Java反序列化漏洞，这种漏洞允许攻击者通过构造恶意序列化数据在服务器上执行任意命令。文章首先介绍了反序列化的基本概念和常见使用场景，然后详细分析了Java反序列化漏洞的成因，即readObject()方法会自动调用被反序列化类的所有回调方法，导致攻击者可以利用这一特性执行任意代码。文章通过Python代码示例演示了如何利用反序列化漏洞，并介绍了Gadget链的原理和构造方法。此外，文章还提供了实战中的利用工具和防御方案，包括使用白名单、替换序列化方案、运行时防护和依赖管理。最后，文章总结了反序列化漏洞的特点和防御原则，强调了在处理序列化数据时必须确保数据来源的可信性。

    Java安全 反序列化漏洞 Web安全 漏洞利用 漏洞防御 代码审计 渗透测试 安全漏洞

    0x27 靶场实战04|Burp在手，天下我有（附docker靶场部署步骤）

    安全值班室 2026-09-20T09:00:00 © 安全值班室

    Example Image


    本文详细介绍了网络安全测试中的实战技巧，以Burp Suite和Kali Linux为例，构建了一套完整的测试流程。文章首先强调了测试方法论的重要性，包括信息收集、分析和验证三个阶段。接着，详细介绍了如何搭建测试环境，包括拉取Kali Linux容器、安装Burp Suite社区版以及配置代理等步骤。文章通过一个模拟攻击的例子，展示了如何使用nmap进行端口扫描、使用Burp Suite进行流量分析和抓包，以及如何通过修改请求参数来验证潜在漏洞。此外，文章还讨论了日志分析的重要性，以及如何通过日志来识别扫描行为。最后，文章提出了防护措施，包括基础级的日志记录和告警，进阶级的主动拦截，以及纵深防御策略。整篇文章旨在帮助新手建立起一套系统的网络安全测试思维和方法。

    网络安全基础 渗透测试 工具使用 靶场实战 漏洞分析 日志分析 防护措施 安全意识

    0x28 在野被利用的 Linux 内核漏洞

    sec随谈 2026-09-20T08:54:42 sec随谈

    Example Image


    美国网络安全和基础设施安全局（CISA）确认了针对三个不同Linux内核漏洞的在野攻击。这些漏洞包括加密套接字中的竞争条件、网络数据包过滤器中的内存损坏以及内核TLS记录处理中的缺陷。由于Linux在全球范围内支持数十亿个云实例、企业服务器和联网设备，这些内核漏洞对关键基础设施构成严重安全风险。攻击者可能通过这些漏洞破坏生产环境的稳定性或提升本地用户账户为管理员权限。其中，CVE-2025-39964漏洞源于内核加密用户API中的竞争条件，CVE-2026-53266漏洞影响netfilter桥接ebtables模块，CVE-2025-39682漏洞位于内核TLS接收路径中。CISA建议系统管理员立即应用厂商更新或采取临时缓解措施，以保护系统免受攻击。

    Linux内核漏洞 在野攻击 网络安全风险 系统管理员应对 加密套接字 内存损坏 权限提升 CISA警告

    0x29 IDOR速录扩展

    山水SRC 2026-09-20T08:49:00 © 游山玩水

    Example Image


    本文探讨了IDOR（身份验证绕过）漏洞的扩展方法，旨在帮助网络安全学习者了解如何通过一些技巧来发现和利用这种漏洞。文章首先强调了合法使用渗透测试技术的重要性，并提醒读者遵守相关法律法规。接着，文章介绍了四种扩展IDOR漏洞的方法：在参数前加0、使用布尔值、利用万用字符，以及在使用静态关键词的API中测试IDORs。特别指出，开发者可能使用“current”或“me”等关键词指代当前用户，但测试时可以通过将当前关键词与用户ID互换来测试IDOR漏洞。文章还通过一个示例HTTP请求和响应展示了如何通过这些方法来测试IDOR漏洞。

    漏洞利用 API安全 渗透测试 安全编码实践 网络安全法

    0x2a 某校园教务系统移动端API，从邮箱泄露到账号接管

    菜鸟学信安 2026-09-20T08:30:00 可乐治好我的牙龈

    Example Image


    作者在挖掘某职业学院SRC时，发现PC端教务系统存在两个高危漏洞：任意邮箱绑定和CSRF绕过Origin校验，两者根因均为修改绑定邮箱无需验证。作者推测移动端可能也存在类似功能，进而对移动端系统进行逆向分析。发现移动端存在API签名校验缺失的问题，结合PC端漏洞，可构造攻击链：攻击者获取普通用户Token后，通过移动端API修改受害者邮箱，再利用PC端密码重置功能劫持账号。此外，作者还发现一个可批量返回学生名单的接口，存在约16815条学生学籍信息泄露风险。文章分析了漏洞关系、权限模型，并提出了修复建议和跨场景测试模型。核心发现是：企业应用应围绕业务对象建立完整的数据流安全模型，而非仅针对单个漏洞触发入口进行修补。

    0x2b macOS公布提权漏洞CVE-2026-43783(POC已公开)

    night安全 2026-09-20T08:00:00 YGnight

    Example Image


    本文详细分析了macOS公布的一个提权漏洞CVE-2026-43783。该漏洞存在于macOS DesktopServices组件中，通过DesktopServicesHelper进程以root权限执行文件操作。漏洞利用方式涉及XPC请求未校验路径，导致普通用户可以取得root权限，绕过sudo认证。文章深入解析了漏洞原理，包括客户端请求处理、路径处理逻辑以及漏洞利用的细节。同时，文章提供了修复建议，即升级到macOS Tahoe 26.6版本以修复该漏洞。此外，还简要介绍了其他近期网络安全漏洞和预警信息。

    macOS漏洞 提权漏洞 本地漏洞利用 权限绕过 代码执行 安全补丁 漏洞分析 操作系统安全

    0x2c 【漏洞分析】CVE-2026-81642：一行恶意 DNS 记录如何无接触拿下你的服务器

    安全圈动向 2026-09-20T08:00:00 © Kit Chung

    Example Image


    本文详细分析了CVE-2026-81642漏洞，这是一个存在于Unbound DNS解析器中的严重漏洞。该漏洞允许攻击者通过控制恶意DNS区域并诱导解析器查询，无需接触和权限即可触发堆溢出，从而获得服务器的远程代码执行权限。文章深入解释了漏洞的原理，指出是由于DNS压缩指针处理不当导致的。此外，文章还提到了另一个相关的高危漏洞CVE-2026-82717，以及Unbound的其他安全问题。文章提供了修复指南，包括升级到最新版本或手动打补丁，并强调了及时修复的重要性。最后，文章对国内安全研究员在发现该漏洞中的作用表示了赞赏。

    CVE-2026-81642 Unbound DNS解析器 DNSSEC漏洞 堆溢出（Heap Overflow） 远程代码执行（RCE） 网络安全 软件漏洞 紧急修复 安全研究员 开源软件安全

    0x2d (10分) CVE-2026-76460：思科Cisco ISE 认证绕过可拿root

    红队安全圈 2026-09-20T08:00:00 红队安全圈

    Example Image


    本文详细分析了CVE-2026-76460漏洞，这是一个影响Cisco ISE身份服务引擎的严重认证绕过漏洞。该漏洞允许未认证的远程攻击者通过构造特定的请求来绕过Web管理界面的认证，从而获得设备的管理访问权限，甚至可能获得root权限。该漏洞已在野外被利用，攻击者可以执行root权限命令。文章提供了漏洞的成因、影响范围、在野利用情况、排查方法和修复建议。建议用户升级到修复版本，并在升级前使用基础设施ACL（iACL）进行临时缓解。同时，文章还从红队视角分析了该漏洞的安全风险，并提供了官方安全公告和KEV收录页的链接。

    CVE-2026-76460 思科Cisco ISE 认证绕过 远程攻击 Root权限 漏洞利用 安全漏洞 网络安全 安全补丁 日志分析

    0x2e Adobe 修复了 Magento 零日漏洞，该漏洞已被利用来部署 Rust 后门和 PHP Web Shell

    犀牛安全 2026-09-20T00:00:00 Rhinoer

    Example Image


    Adobe近期发布了针对Adobe Commerce和Magento Open Source的安全补丁，以修复一个被追踪为CVE-2026-75650的严重漏洞。该漏洞被命名为StyleSmuggler，CVSS评分为10.0，意味着极高的风险。Adobe指出，该漏洞可能被恶意利用，攻击目标是Adobe Commerce商家。StyleSmuggler漏洞允许攻击者通过PHP代码注入，滥用Magento的模板系统，生成支付交易失败提醒电子邮件，并在过程中执行任意代码。该漏洞影响了多个版本的Adobe Commerce和Magento Open Source。Adobe已发布补丁，并建议用户应用补丁并更换加密密钥。安全公司Sansec和Disrex报告称，攻击者已利用此漏洞部署Rust后门和PHP Web Shell。美国网络安全和基础设施安全局（CISA）已将此漏洞添加到其已知利用漏洞目录中，并要求联邦机构在指定日期前应用修复程序。Adobe还发布了针对其他产品的补丁，包括Campaign Classic和ColdFusion中的漏洞。

    漏洞利用 后门程序 Web Shell 模板注入 热修复 CVE编号 安全补丁 网络安全事件 电子商务安全 安全响应

    0x2f Gyazo数据泄露事件导致2300万用户记录泄露

    河南等级保护测评 2026-09-20T00:00:00 何威风

    Example Image


    2026年9月，图像分享服务Gyazo遭遇数据泄露，约2300万用户记录被未经授权获取。攻击者利用Gyazo图像上传服务器漏洞进入系统，获取用户信息、密码哈希等数据。Gyazo已要求用户修改密码，并采取措施降低风险。此次事件暴露了图像数据相关元信息的规模，包括用户ID、设备ID、登录会话ID等。Gyazo表示，将加强安全设计和代码审查，并审查认证、授权、访问控制等机制。事件提醒网络安全和个人信息保护的重要性，以及数据安全建设需关注权限体系、数据架构、访问控制和安全运营能力。

    数据泄露 漏洞利用 密码安全 认证信息泄露 图像数据安全 元数据泄露 历史数据风险 身份安全 安全运营 个人信息保护 数据安全建设

    0x30 RCE 远程命令执行

    围巢安全笔记 2026-09-20T00:00:00 © 围巢安全笔记

    Example Image


    本文深入探讨了远程命令执行（RCE）漏洞，这是一种常见的Web安全漏洞，允许攻击者远程执行系统命令。文章首先区分了命令执行和代码执行的概念，并解释了RCE漏洞的成因，即用户输入被直接拼接到系统命令或代码执行函数中，且缺乏有效过滤。接着，文章详细介绍了PHP中用于系统命令执行的函数，如system、exec、shell_exec等，以及命令连接符的使用。针对有回显和出网、无回显和不出网的不同场景，文章提供了获取shell的三种方式：写入WebShell、反弹Shell和远程下载木马。对于无回显和不出网的情况，文章介绍了使用DNSLog外带和写入文件的方法。此外，文章还讨论了代码执行，特别是PHP中的eval和assert函数，以及框架级别的代码执行漏洞。最后，文章提供了防御RCE漏洞的建议，包括使用escapeshellarg和escapeshellcmd过滤用户输入、禁用危险函数、使用最小权限原则等。

    远程命令执行（RCE） Web安全漏洞 代码执行漏洞 命令注入攻击 WebShell 渗透测试 漏洞防御 PHP安全 安全编码实践 漏洞分类

    0x31 渗透工具包（ PEEP）将 Chrome 和 Edge 浏览器变成入侵后执行高危命令的后门

    犀牛安全 2026-09-19T23:39:10 Rhinoer

    Example Image


    网络安全研究人员近日披露了一款名为PEEP的基于Chromium的后渗透工具包，该工具包伪装成网络浏览器的书签扩展程序。PEEP需要管理员或代码执行权限来安装，并通过伪造Chromium安全首选项完整性值绕过网上应用商店的检查。安装后，PEEP会通过明文HTTP协议轮询其命令与控制（C2）服务器，窃取浏览历史、活动标签页元数据和会话cookie。该工具包不仅具备远程访问和浏览器监控功能，还能执行主机命令、窃取凭据、劫持会话并篡改网页。PEEP基于开源的浏览器数据分析和红队演练框架RedExt构建，并在此基础上进行了扩展。由于PEEP缺乏初始访问途径，攻击者需要通过其他方式入侵目标机器。该工具包通过多种策略保持持久性，包括绕过Web应用商店的检查、利用侧载和企业强制安装策略。PEEP的部署和功能表明，其背后的威胁行为者可能具备一定的技术能力。

    后渗透工具包 浏览器扩展恶意软件 Chrome/Edge安全漏洞 侧加载攻击 持久性攻击 数据窃取 远程访问工具 命令执行 红队工具 跨平台攻击

    0x32 EDR攻击技术-进程与遥测欺骗

    安全分析与研究 2026-09-19T22:00:00 © pandazhengzheng

    Example Image


    本文详细介绍了进程欺骗技术，这是一种通过主动操纵进程属性与遥测通道，使 EDR 的输入看起来合法的攻击手段。文章首先概述了进程欺骗的定位和目标，将其分为进程属性欺骗、遥测通道抑制和 API 调用隐蔽三个层次。接着，深入探讨了命令行欺骗、PPID 欺骗、ETW Patch、AMSI-AV Patching、AMSI-Hooks Patching、Image Spoofing、Unhooking 与 ntdll 恢复、Direct Syscalls、Indirect Syscalls 等具体技术。命令行欺骗通过修改 PEB 中的命令行字段来伪造命令行，PPID 欺骗则通过指定合法父进程来伪装进程树。文章还讨论了各种欺骗技术的检测与局限，以及实战中的常用伪装目标和工具。最后，总结了欺骗与规避、抑制的区别，并强调了检测与欺骗技术的对应关系。这些技术对于理解和对抗 EDR 检测具有重要意义。

    0x33 某老牌颜色擦边APK漏洞深度逆向利用 + RCE 链研究剖析

    网安之家-CyberHomestead 2026-09-19T19:37:06

    Example Image


    本文详细分析了名为‘水果派’的 Android 应用（com.fruit.goodgood，版本 2.5.4）的多个安全漏洞，并成功实现了 RCE（远程代码执行）链。研究发现，Flutter AOT 快照（libapp.so）保留了 Dart 代码的符号名和源文件路径，使得 Dart 层代码可被完全还原。基于此，报告成功还原了一个完整的 RCE 链，包括更新检查、APK 下载、install_plugin 插件安装以及系统 PackageInstaller 的调用。攻击者可通过中间人攻击（MITM）或供应链攻击（如 Shorebird 代码推送）触发该 RCE 链。此外，报告还发现了 RSA-2048 私钥明文硬编码、Firebase/GCP 凭据泄露、明文流量传输、FileProvider 权限绕过、Deep Link 劫持、AudioService 信息泄露、硬编码 64-hex 值等多个安全问题。针对这些漏洞，报告提出了详细的修复方案，包括密钥轮换、代码加固、配置修改、权限最小化等，并提供了可落地的修复清单和手动复现手册。

    Mobile_Phone Web_Binary Reverse_Engineering Mobile_Security RCE Vulnerability_Exploitation Code_Analysis Man_in_the_Middle Supply_Chain Cryptographic_Vulnerabilities Privacy Authentication File_Policy Android_Policy Flutter

    0x34 【安全圈】新型 Android 恶意软件 RatHat 利用 AI 自动化控制设备

    安全圈 2026-09-19T19:00:00

    Example Image


    近日，一款名为RatHat的新型Android恶意软件被网络安全研究人员发现。该恶意软件利用AI技术自动化控制受感染的设备，通过恶意广告、短信和钓鱼网站传播。RatHat恶意软件依赖Android的无障碍权限执行高权限操作，并具有开发者选项和无线调试功能，使其能够在无需外部计算机的情况下获得本地shell级别的执行环境。该恶意软件还包含一个基于Go的代理，用于运行命令、创建绕过电池限制的机制并管理持久化。RatHat使用AI驱动的用户界面自动化引擎，使界面自动化更具适应性，同时具备多种反分析技术，旨在逃避安全软件的检测。研究人员警告用户不要从Google Play之外下载APK文件，并建议避免向应用授予无障碍权限，定期使用Play Protect扫描设备。

    Android 恶意软件 AI 驱动攻击 远程控制 无障碍权限滥用 持久化攻击 数据窃取 反分析技术 移动安全

    0x35 【安全圈】攻击者利用 Issabel Framework 漏洞实现未经身份验证的 OS 命令执行

    安全圈 2026-09-19T19:00:00

    Example Image


    本文报道了一起针对开源统一通信PBX软件Issabel Framework的严重安全漏洞CVE-2026-89026的利用情况。该漏洞允许未经身份验证的远程攻击者通过硬编码的JSON Web Token（JWT）签名密钥执行任意操作系统命令。漏洞存在于pbxapi index.php文件中，攻击者可以利用伪造的令牌调用管理器并执行系统命令。漏洞补丁已于2026年8月1日发布，建议用户更新以避免风险。目前，Shadowserver Foundation首次观察到该漏洞的利用，但关于漏洞的具体滥用情况、攻击者身份和攻击规模等细节尚不明确。

    漏洞利用 未经身份验证的访问 命令执行 开源软件安全 JWT漏洞 安全补丁 网络安全事件

    0x36 CUPS打印系统爆cups2root提权链：lpadmin一键变root，附自查脚本（附PoC）

    赤霄攻防实验室 2026-09-19T18:00:00 © 赤霄攻防实验室

    Example Image


    本文详细分析了一个利用 CUPS 打印系统漏洞实现本地权限提升的攻击链，编号 QVD-2026-70361。该漏洞允许普通用户通过成为 lpadmin 组成员，结合 systemd、活跃 CUPS 和特权 serial 后端，最终获取 root 权限。攻击链分为四步：首先，攻击者以 lpadmin 权限创建一个假串口打印机，设备 URI 指向 /etc/cups/cups-files.conf，通过 serial 后端（以 root 身份运行）将打印数据写入配置文件并覆盖主配置；其次，注入恶意配置，将运行组改为攻击者的主组，并将关键目录重定向到攻击者可写的 /etc/cups/interfaces；第三步，发送畸形 IPP 订阅请求使 cupsd 崩溃，systemd 自动重启服务时使用新配置，导致 CUPS 在攻击者控制的目录上运行；最后，攻击者向被劫持的 ServerBin 投放替换版 cups-exec，触发 CGI 请求后执行替换程序，最终获得交互式 root shell。该漏洞已在内网环境中被证实存在，国内关联风险资产超过 3 万个，但上游 OpenPrinting 尚未发布补丁。奇安信 CERT 建议审计 lpadmin 组成员、移除不必要的 serial 后端、清理可疑打印队列以缓解风险。该漏洞揭示了权限组管理、systemd 自动重启和多个设计缺陷组合可能带来的严重安全威胁。

    CUPS 本地提权 Linux 漏洞利用链 配置管理 systemd 权限管理 未修复漏洞

    0x37 Windows 内核 WMI 计数回绕 CVE-2026-42980

    Ots安全 2026-09-19T14:58:35

    Example Image


    本文详细分析了一个名为 CVE-2026-42980 的本地提权漏洞。该漏洞在微软六月安全更新日被公开，属于 NT 内核的整数下溢问题。漏洞利用链由研究者通过静态逆向和补丁对比发现，涉及 WMI 查询过程中的序列化计数器缺陷。利用链通过越界写污染相邻的管道对象，实现任意读，进而读取系统进程令牌并完成提权。研究者提供的利用链在实验室环境中被证明是可靠的，但强调了实际部署中可能存在的工程成本和成功率问题。文章还探讨了漏洞修复的细节，指出修复被置于算术层，并通过带饱和保护的减法防止整数下溢。此外，文章揭示了媒体报道中出现的修复版本号错误，以及中文转述链上的信息偏差。最后，文章强调了防御方应将补丁状态核对到具体的内核版本号，并收紧本地低权限执行入口，以应对此类漏洞的威胁。

    漏洞分析 本地提权 内核漏洞 WMI 越界写入 任意读 令牌替换 补丁分析 信息不对称 安全意识

    0x38 驱动滥用--KillDefender

    安全天书 2026-09-19T11:58:09 © Hello888

    Example Image


    本文主要探讨了网络安全领域中的驱动滥用技术，以KillDefender为例，详细分析了其工作原理和对抗方法。文章强调，所涉及的技术、思路和工具仅用于安全测试和防御研究，禁止用于非法入侵或攻击他人系统。文章中提供了效果演示的代码和文件，并介绍了红蓝偶像练习生小圈子，该圈子专注于渗透测试、红蓝对抗、钓鱼手法思路、武器化等领域。圈子内分享了许多红队技术文章、攻防经验总结以及自研工具与插件。文章还列举了多种免杀工具和对抗EDR的思路，包括HeavenlyBypassAV、HeavenlyProtectionCS、Fscan免杀等，并邀请读者加入圈子交流学习。

    网络安全 漏洞利用 免杀技术 红队工具 渗透测试 安全防御 技术交流

    0x39 授权登录点一下 你的邮箱文件和通讯录可能已经交出去了

    紫禁玄科 2026-09-19T11:21:36 © 紫禁

    Example Image


    本文探讨了网络安全中的授权登录点风险，指出用户在授权第三方应用访问时可能面临的风险。文章解释了OAuth授权协议的滥用如何导致账号安全风险，包括攻击者通过伪装应用诱导用户授权，进而获取用户账号的长期访问权限。文章详细分析了攻击链的四个步骤，并强调了传统的安全措施如杀毒软件和验证码无法有效防止此类攻击。文章还提出了个人和企业应该如何进行安全自查，包括审查授权列表、撤销可疑授权、定期审计等。最后，文章强调了用户应该将授权过程视为正式的权限申请，并提出了在怀疑账号被滥用时应采取的五项紧急措施。

    OAuth安全 账号安全 隐私保护 授权管理 网络安全意识 攻击链分析 安全审计 应急响应 多因素认证

    0x3a 一个URL参数撬动整台服务器 SSRF漏洞原理与攻防实战

    紫禁玄科 2026-09-19T11:21:16 © 紫禁

    Example Image


    本文详细介绍了SSRF（服务端请求伪造）漏洞的原理、攻击手法和防御方案。SSRF漏洞允许攻击者控制服务端应用发送HTTP请求的目标地址，从而可能访问内网资源、读取本地文件、攻击云环境元数据服务。常见的攻击手法包括内网探测、读取本地文件、攻击云元数据服务、Redis未授权访问等。文章还提供了一段存在SSRF漏洞的Python代码示例，并介绍了一种自动化SSRF检测脚本。防御方案主要包括输入校验与白名单、协议限制、云环境加固等措施。最后，通过一个实战案例说明了SSRF漏洞的危害性，并强调了定期进行漏洞扫描和渗透测试的重要性。

    0x3b 新型SETTRA勒索软件滥用MeshAgent远程监控工具与BYOVD技术加密Windows系统

    安全圈的那点事儿 2026-09-19T11:10:11 © 网络安全9527

    Example Image


    近期，SETTRA勒索软件攻击团伙利用合法的MeshAgent远程监控工具实现持久驻留，并采用多种技术手段对Windows系统进行加密攻击。攻击者通过窃取VPN凭证或盗用合法账号入侵企业内网，使用多种工具和手段进行攻击，包括NetExec、PAExec、ProcDump、Mimikatz等。SETTRA勒索软件会清除系统日志、禁用系统恢复功能，并尝试销毁取证痕迹。攻击者还可能使用自带易受攻击驱动（BYOVD）获取内核级高权限。尽管攻击者试图清除日志，但残留的遥测数据仍可能提供关键证据。企业应采取多种安全措施，如启用多因素身份验证、轮换特权账号密码、集中归集系统日志等，以抵御此类攻击。

    勒索软件 远程监控工具滥用 Windows系统安全 数据加密 防御规避技术 持久驻留 数据窃取 漏洞利用 网络安全事件响应 企业网络安全

    0x3c 紧急安全预警｜CUPS曝本地提权漏洞，lpadmin低权限用户可获取Root权限

    杂杂咱谈 2026-09-19T10:59:56 tuto

    Example Image


    本文详细介绍了针对Linux CUPS服务的一个本地提权漏洞，称为cups2root。该漏洞允许属于lpadmin用户组的本地低权限用户，通过一系列配置和权限边界问题，最终获得Root权限。漏洞利用过程涉及多个步骤，包括篡改cups-files.conf配置文件、触发CUPS崩溃、systemd自动重启CUPS以及替换cups-exec等。攻击者需要满足一定的条件，如拥有本地账户、账户属于lpadmin用户组等。由于该漏洞不需要突破AppArmor沙箱，单纯依赖默认AppArmor策略无法阻止该漏洞的利用。文章还提供了缓解该漏洞的建议，包括限制lpadmin组成员、禁用CUPS或Serial Backend、限制CUPS服务的网络暴露范围等。

    Linux Security Privilege Escalation CUPS Vulnerability Local Exploit PoC Analysis AppArmor Systemd Configuration Management Vulnerability Disclosure

    0x3d Linux本地提权四人组：DirtyAH6、PPPoEject、TUNderflow与DiagSpill

    骨哥说事 2026-09-19T10:56:55 © Asim

    Example Image


    本文介绍了四个新的Linux本地提权漏洞，包括DirtyAH6、TUNderflow、PPPoEject和DiagSpill。这些漏洞的底层问题存在了10至21年，其中两个内存破坏漏洞在特定条件下可远程触发，理论上可通过纯远程内存布局实现远程提权。文章简要介绍了这些漏洞的研究背景、漏洞概览、涉及的内核子系统背景、漏洞详情以及补丁详情。作者在七月中旬向Linux内核安全邮件列表报告了这些漏洞，并在9月18日发布了技术分析和概念验证。文章还提供了每个漏洞的利用剖析和PoC代码的链接，并提醒读者在专用虚拟机或一次性主机上运行这些利用代码。

    Linux安全漏洞 本地提权 内核漏洞 内存破坏漏洞 网络安全研究 漏洞利用 内核补丁 安全防护

    0x3e 赛欧思一周资讯分类汇总(2026-09-14 ~ 2026-09-19)

    赛欧思安全研究实验室 2026-09-19T09:30:00 SOC

    Example Image


    本文总结了2026年9月14日至9月19日的网络安全资讯。其中包括攻击事件，如攻击者劫持AI编码助手会话传播恶意软件，以及黑客操纵AI Agent攻击多企业的事件。漏洞情报方面，谷歌修复了Pixel调制解调器中的0day漏洞，思科警告新的ISE身份验证绕过漏洞，以及多个软件框架和插件中的关键漏洞。信息泄露事件涉及多个数据库和用户记录的泄露。诈骗事件包括发票诈骗邮件和钓鱼攻击。恶意软件活动包括绕过浏览器检测的银行恶意软件和泄露OAuth令牌的扩展程序。钓鱼事件涉及Trezor客户的钓鱼邮件。

    AI恶意利用 蠕虫攻击 供应链攻击 漏洞利用 云服务安全 恶意软件 数据泄露 钓鱼攻击 社会工程学 安全更新 安全漏洞 恶意软件变种

    0x3f 把 WerEnc.dll LOLBin 改成攻击者控制的加密原语(BYOK)

    黑白之道 2026-09-19T09:20:00 © Red Hunter

    Example Image


    本文分析了Windows系统中WerEnc.dll的使用和潜在的安全风险。WerEnc.dll是Windows 10 1607+和Windows 11自带的一个用于错误报告转储编码的库，它使用AES-256和RSA-4096进行混合加密。文章介绍了0xsp研究员Mr.Z如何通过替换WerEnc.dll内部的RSA公钥为攻击者自己的密钥，从而实现对加密过程的全权控制。这种方法使得加密后的密文与正常WER工件没有区别，且目前没有公开的检测规则能够阻止这种DLL的加载。文章详细描述了如何通过替换密钥实现BYOK（自带密钥）攻击，包括如何定位密钥、替换密钥以及如何通过IAT hook来分析CNG调用链。此外，文章还提供了一个PoC工具，用于演示如何加密和解密使用WerEnc.dll加密的文件，以及如何实现从受密码保护的C2服务器拉取加密密钥的Beacon模式。

    Windows 漏洞利用 加密技术 恶意软件分析 内存攻击 安全研究 逆向工程 漏洞挖掘

    0x40 一款面向安全分析、应急响应和流量排查场景的 Windows 桌面工具 - TrafficAnalyzer

    黑白之道 2026-09-19T09:20:00

    Example Image


    TrafficAnalyzer 是一款面向安全分析、应急响应和流量排查的 Windows 桌面工具，以 PCAP 和 HTTP 数据为入口，整合了流量检索、请求响应还原、威胁检测、行为分析、数据解密、WebShell 分析及主动重放等功能。它支持从 PCAP、表格或访问日志中导入数据，快速整理 HTTP 请求与响应，并在大量流量中检索可疑 IP、URI、请求头、请求体和响应内容。工具的主要功能模块包括 HTTP 流量分析、网络层分析、解密工作台、HTTP 重放、威胁检测、CyberChef 工具内嵌、流程库、WebShell 解密 Fuzz、Java 反序列化分析、Java 反编译、反混淆、正则工具和自定义脚本。用户可以通过搜索、列筛选和路径树缩小数据范围，并使用事务查看完整详情。TrafficAnalyzer 支持对捕获到的 HTTP 请求进行改包重放，辅助验证分析结论，并解析 Java 序列化数据、反编译 Class 字节码和静态还原混淆源码。它还支持自定义 Go 脚本处理复杂文本操作，并提供可复用的处理流程。

    0x41 Fastjson 2 AutoType 授权绕过——默认配置也能被带出远程类加载

    逆熵寻生 2026-09-19T09:02:00 © CabinQ

    Example Image


    本文详细分析了Fastjson 2（fastjson2）中存在的AutoType授权绕过漏洞。fastjson2是阿里重写的JSON库，与老版本的fastjson在底层架构上有所不同，因此老版本的漏洞在fastjson2中并不适用。然而，作者指出，即使fastjson2在默认配置下关闭了AutoType，也存在被远程类加载的风险。该漏洞利用了fastjson2的多态反序列化机制，通过在解析路径中存在多态类型（如@JSONType(seeAlso)或Jackson的@JsonSubTypes）的情况下，自动开启AutoType，从而允许攻击者通过特定的类名哈希值绕过安全检查，远程加载并执行恶意类。官方已经发布了修复版本2.0.65，解决了这个安全问题。文章还讨论了漏洞的原理、影响范围、以及如何通过一些技巧绕过JDK的安全检查。

    Fastjson Vulnerability JSON Parsing Security AutoType Bypass Deserialization RCE Remote Class Loading Java Security Version Specific Security Fix Release

    0x42 靶场实战03|搞懂数据库，才能玩转注入（附docker靶场部署步骤）

    安全值班室 2026-09-19T09:00:00 © 安全值班室

    Example Image


    本文深入探讨了网络安全中的数据库安全与SQL注入攻击。文章首先介绍了网站的三层结构，即前端、后端和数据库，并强调了攻击者通常针对参数传递过程中的三层进行攻击。接着，文章详细介绍了LAMP环境（Linux+Apache+PHP+MySQL）的搭建过程，并强调了LAMP环境在全球Web架构中的普遍性。文章通过模拟攻击，从数据库基础到注入前夜，详细讲解了如何通过联合查询进行数据库拖库的原理。此外，文章还分析了数据库在日志中留下的脚印，以及如何通过日志分析来发现注入尝试。最后，文章提出了防止SQL注入的方法，包括参数化查询、白名单校验、最小权限原则、WAF拦截、数据库审计日志和异常参数告警等，强调了代码安全的重要性。

    网络安全基础 数据库安全 靶场实战 漏洞分析与防护 Web安全 Docker应用 编程实践

    0x43 网络安全应急响应专家智能体「猎影」功能介绍

    安全孺子牛 2026-09-19T09:00:00 网络安全菜鸟

    Example Image


    猎影（Hunter）形态的对话式AI专家是一款专为网络安全应急响应设计的工具，它覆盖了入侵溯源取证、攻击路径还原等核心能力，适用于多种环境包括银河麒麟、CentOS/RHEL、Ubuntu、Docker/containerd、Kubernetes/K3s以及Windows。该工具强调先保证据、后做处置，每个结论都标明可信程度，每个处置动作都写明风险与回退办法。它能够解决服务器被入侵后的证据保全、无网环境下的取证分析、国产及云原生环境的入侵溯源、无文件攻击的内存取证、内网横向扩散的止血方案制定等问题，并提供结构化的应急响应报告、攻击时间线、处置方案和事后复盘报告。其核心能力包括入侵溯源取证、攻击路径还原、事件定级与影响面评估、处置与加固方案、应急体系与复盘输出、内存取证与符号表工程、国产化与云原生环境取证、攻击链端到端验证、自动化分诊工具的采信边界、离线工具包自举等。

    0x44 JumpServer越权漏洞：URL里加个参数，管理员Access Key直接裸奔

    兰花豆说网络安全 2026-09-19T08:38:43 © 承影

    Example Image


    国产开源堡垒机JumpServer近日曝出高危越权漏洞，攻击者只需在API请求中附加特定参数，即可读取所有用户的Access Key明文，进而以管理员身份接管堡垒机。该漏洞源于JumpServer的SQL查询过滤缺陷，允许攻击者绕过权限过滤。受影响的版本范围较广，包括V3和V4版本。JumpServer官方已发布修复公告，建议用户升级至安全版本。同时，官方也提供了临时缓解方案，包括在Nginx层禁用相关过滤参数。此次漏洞影响范围广泛，涉及众多行业和单位，因此用户应尽快采取行动进行修复。

    堡垒机漏洞 越权访问 Access Key泄露 SQL注入漏洞 高危漏洞 国产开源软件 网络安全事件 应急响应 版本升级 企业安全

    0x45 (7.1分) CVE-2025-39682：Linux内核TLS UAF本地提权

    红队安全圈 2026-09-19T08:06:15 红队安全圈

    Example Image


    CVE-2025-39682是一个影响Linux内核net/tls子系统的Use-After-Free漏洞，CVSS评分7.1，已确认在野利用。该漏洞允许本地低权限用户通过发送一条零长度TLS记录来破坏引用计数，从而获得root权限。漏洞存在于内核版本6.0到6.16.3及6.17-rc1/rc2中。攻击者需要本地低权限账号和启用kTLS接收路径才能利用该漏洞。CISA KEV已确认该漏洞在野利用，因此所有运行受影响内核版本的机器都需要立即排查。修复建议包括升级到包含补丁的版本或采取缓解措施，如禁用kTLS接收路径。此外，对于EoL/EoS系统，建议尽快迁移到受支持的版本。

    Linux内核漏洞 本地提权 Use-After-Free（UAF） CVE编号 网络安全分析 系统补丁 安全风险评估 红队视角

    0x46 AWS 严重漏洞使攻击者能够绕过端口转发限制并窃取 IAM 凭证

    暗镜 2026-09-19T06:00:00 © ZM

    Example Image


    AWS Systems Manager (SSM) 代理中的一个严重漏洞（CVE-2026-89049）允许授权攻击者绕过端口转发限制，访问链路本地服务，并窃取分配给Amazon EC2实例的临时IAM凭证。该漏洞影响版本早于3.3.4851.0的SSM Agent。攻击者可能通过使用替代的IP地址表示形式来规避拒绝列表，从而与被阻止的链路本地端点建立连接。此漏洞可能导致攻击者将受影响的实例变成代理，代表会话管理器用户访问内部目标，并获取实例附加的IAM角色的临时访问凭证，从而可能对云账户造成重大威胁。

    Cloud Security Identity and Access Management (IAM) Port Forwarding Vulnerability CVE Tracking Server-Side Request Forgery (SSRF) Input Validation Remote Code Execution Access Control

    0x47 紧急安全预警｜pgAdmin 4曝CVSS 9.8认证绕过漏洞(CVE-2026-86863)，可冒充管理员登录

    杂杂咱谈 2026-09-19T00:02:00 © tuto

    Example Image


    本文详细介绍了pgAdmin 4中发现的严重认证绕过漏洞CVE-2026-86863。该漏洞CVSS评分达到9.8，允许攻击者通过伪造HTTP请求头绕过认证流程，以其他用户身份登录，甚至冒充管理员。漏洞存在于Webserver Authentication模式，攻击者可以利用该漏洞访问数据库，执行数据库操作。官方已确认该问题，并在9.18版本中修复。文章分析了漏洞原理、攻击链、风险、受影响版本、官方修复方式以及修复与缓解建议。目前尚未发现野外利用，但建议所有受影响的用户升级至最新版本以避免潜在风险。

    认证漏洞 Web服务器安全 PostgreSQL安全 远程攻击 高危漏洞 软件升级 PoC利用

    0x48 CVE-2026-93435 redis-parser 拒绝服务漏洞

    撅人 2026-09-19T00:00:00

    Example Image


    CVE-2026-93435是一个存在于Node.js生态的redis-parser库中的拒绝服务漏洞。该漏洞由恶意Redis服务端通过构造特制的RESP字节流触发，导致客户端Node.js进程崩溃。漏洞的CVSS基础评分为8.7分，严重等级评定为High。redis-parser库处理RESP数组类型时存在不受控递归，攻击者可以构建大量重复数组头的RESP字节流，使递归深度无上限增长，耗尽V8引擎的调用栈，最终引发RangeError异常并导致进程崩溃。目前尚未发现该漏洞在野利用，也没有官方修复版本发布。建议用户仅连接可信的Redis实例，使用TLS加密传输，对Redis连接地址做白名单校验，并使用进程管理工具实现自动重启，以降低风险。

    Redis 漏洞 Node.js 安全 拒绝服务攻击 代码执行问题 软件依赖管理 安全评分系统 漏洞披露 应用安全 漏洞利用

    0x49 文件解析漏洞

    围巢安全笔记 2026-09-19T00:00:00 © 围巢安全笔记

    Example Image


    本文深入探讨了文件解析漏洞这一网络安全问题。文章首先介绍了文件解析漏洞的基本概念，即中间件错误地将非脚本文件解析执行。接着，详细分析了IIS、Nginx、Apache三种常见中间件的解析漏洞，包括IIS的目录解析、畸形文件名、PUT漏洞，Nginx的cgi.fix_pathinfo配置问题，以及Apache的多后缀文件解析和AddType配置不当等。此外，文章还提到了与编辑器相关的上传漏洞，如百度UEditor的历史问题。最后，文章给出了防御文件解析漏洞的建议，包括上传目录和执行目录分离、修复配置、上传文件重命名、白名单校验等策略。

    文件解析漏洞 Web服务器安全 文件上传漏洞 安全配置 漏洞利用 中间件安全 渗透测试 安全防护

    0x4a Brevo供应链攻击将恶意软件注入10万个网站

    祺印说信安 2026-09-19T00:00:00 何威风

    Example Image


    2026年9月，客户关系管理和数字营销平台Brevo遭受供应链攻击，攻击者通过控制Brevo基础设施和JavaScript组件，将恶意代码注入超过10万个网站。攻击分为两个阶段，首先攻破Brevo的SAML单点登录机制，然后利用Cloudflare API密钥创建恶意Worker。恶意代码通过多个子域名加载，针对普通用户进行社会工程攻击，对WordPress网站管理员则尝试部署恶意插件。事件暴露了第三方JavaScript供应链的风险，以及API密钥管理的必要性。Brevo事件强调了供应链安全的重要性，提醒组织建立依赖关系清单，加强第三方组件的安全管理。

    供应链攻击 JavaScript注入 API密钥泄露 社会工程学 云安全 第三方组件风险 软件供应链安全 安全运营 安全边界扩展

    0x4b 【高危漏洞预警】QAnything本地知识库任意文件写入漏洞,可提权至 ROOT实现RCE-CVE-2026-88533

    飓风网络安全 2026-09-18T22:16:20 jufeng

    Example Image


    QAnything是一款开源的本地知识库问答系统，广泛用于企业内部私有化RAG部署、文档检索和知识库搭建。然而，该系统存在一个严重的高危漏洞，CVE-2026-88533，该漏洞允许攻击者通过未经授权的文件上传功能，写入任意路径的文件，从而实现远程代码执行（RCE）。漏洞的原因在于文件上传接口缺少身份认证和文件名路径净化，攻击者可以构造特定的上传请求，将恶意文件写入系统敏感目录，如/root/.ssh/authorized_keys，从而获取ROOT权限。该漏洞的影响范围包括QAnything <= 2.0.1版本的所有部署实例。为了修复该漏洞，建议升级至2.0.2及以上版本，并采取一系列临时缓解措施，包括增加API访问鉴权、后端文件名净化、限制容器运行权限、防火墙限制和WAF规则添加等。

    漏洞预警 本地知识库漏洞 文件写入漏洞 路径穿越 权限提升 RCE Docker安全 内网安全 数据泄露 后门植入

    0x4c (10分) CVE-2026-69865：微软Azure容器仓库鉴权绕过

    红队安全圈 2026-09-18T20:00:00 红队安全圈

    Example Image


    本文详细分析了微软Azure容器仓库（Azure Container Registry）中的一个严重漏洞CVE-2026-69865。该漏洞CVSS评分为10.0，属于网络可达、零权限、零交互类型，攻击者可以利用该漏洞直接提权。漏洞成因是由于系统在处理用户可控的标识符时，没有验证标识符是否有权访问资源，导致攻击者可以枚举或猜测合法的资源标识，从而绕过鉴权机制。该漏洞的影响范围广泛，可能威胁到机密性和完整性。文章提供了漏洞的成因分析、影响范围、利用分析、检测与排查方法以及修复建议。微软已在服务端部署了补丁，用户无需升级客户端版本。同时，文章还从红队视角分析了该漏洞的实战价值和后续研究建议。

    CVE Azure Container Security Authentication Bypass Cloud Security Software Supply Chain CVSS Microsoft Patch Management

    0x4d 【SRC挖掘】记一次XSS绕过

    N0n4m3 Sec 2026-09-18T19:51:36 © Blimey029

    Example Image


    本文详细记录了一次针对高校图书系统渗透测试的过程，重点分析了一个看似普通的功能入口所隐藏的漏洞。测试初期，通过拼接已知组件入口路径，发现系统存在过滤机制，多次尝试闭合拼接Payload和变形绕过均被拦截。经过反复试探，测试人员找到了过滤机制的薄弱环节，并成功绕过防御，在页面上触发了弹窗。文章详细列举了各种尝试的Payload，包括闭合拼接、双写绕过、不同标签的触发方式（如svg onload、img onerror、b onclick等），以及它们被过滤或成功触发的结果。最终，测试人员选择使用组合构造Payload，通过分析各部件的作用，确认了其有效性，并成功实现弹窗。整个过程不仅是一次漏洞挖掘的记录，也是对过滤规则深入分析和绕过技巧的实践展示，旨在提升读者的安全防护意识，构建更完善的安全防护体系。

    0x4e 关注xa0|xa0又一批“银狐”木马相关恶意域名及恶意IP公布！

    中国信息安全 2026-09-18T19:05:53 CNCERT

    Example Image


    近期，中国互联网网络安全威胁治理联盟（CCTGA）开展了针对‘银狐’木马的专项打击行动。该行动重点针对恶意域名及IP地址进行打击，公布了近期规模较大的TOP10恶意网络资产，这些资产的归属地主要集中在美国和中国香港等地。‘银狐’黑产团伙通过多种渠道传播恶意程序，包括Gh0st、Win0s、DcRat等远程控制木马，用于实施文件下发、进程管理、屏幕监控等违法活动。文章详细列举了恶意IP地址、关联域名、端口和归属地信息，并提供了排查方法和处置建议，包括更新IOC、隔离感染终端、加强安全防范和报告相关线索。

    恶意软件分析 网络安全威胁 恶意域名和IP地址 网络安全治理 恶意代码传播 终端安全 网络安全防护 信息安全意识

    0x4f Moectf 2025 misc部分

    t1mM9的笔记 2026-09-18T18:49:18 © 我自己就是作者

    Example Image


    moectf2025 misc

    0x50 你的智能体归我：LLM 供应链中恶意中间人攻击的实测研究

    安全学术圈 2026-09-18T18:30:00 © TonghuaRoot

    Example Image


    这篇论文的核心贡献是把 LLM API 中转站的安全问题从「大家都知道但没人系统研究」变成了有数据、有分类、有工具、有防御方案的完整研究。

    供应链安全 中间人攻击 LLM 安全 API 安全 数据泄露 恶意软件/代码注入 客户端侧防御 威胁建模 实证研究

    0x51 【已复现】CVE-2026-72529 CVE-2026-72530TrueConf Server 未授权远程代码执行漏洞

    源影安全团队 2026-09-18T18:15:00 © 易富贤

    Example Image


    TrueConf Server是一款广泛用于企业、政府等机构的视频会议与统一通信服务器软件，其安全性对于组织内部信息安全至关重要。近期，该软件被发现存在两个严重漏洞：CVE-2026-72529和CVE-2026-72530。CVE-2026-72529漏洞允许攻击者无需认证即可通过4307端口访问服务器并执行未公开的功能接口，CVE-2026-72530漏洞则允许攻击者逃逸隔离环境，以系统最高权限执行任意代码。这两个漏洞可被串联使用，形成一个完整的攻击链，对组织的信息安全和商业机密构成严重威胁。官方信息显示，该漏洞已被APT组织利用，并被列入CISA已知被利用漏洞目录。

    远程代码执行漏洞 未授权访问 企业安全 视频会议软件安全 APT攻击 系统漏洞 隔离环境安全 内网安全

    0x52 伪造 Object Header：一次 C++ 解释器类型混淆漏洞利用分析

    看雪学苑 2026-09-18T18:01:00 wx_平淡无奇

    Example Image


    本文分析了一个开启了全链路保护（RELRO/PIE/NX/Canary/Stripped）的64位C++ PIE二进制程序，该程序运行后展示为一个交互式解释器，支持变量赋值、数组、算术运算和字段读写。文章首先介绍了利用解释器内部的类型混淆漏洞，通过伪造对象头实现OOB读写，进而泄露XOR密钥和libc地址，再利用侧信道逐位恢复libc基址，最后通过tcache poisoning技术劫持__free_hook以获取shell的完整利用流程。具体来说，利用BinOp节点不截断结果的特点构造合法的0xBEEF对象头，SetField节点不检查BEEF标签的特性将伪造头写入arena，GetField节点信任伪造头导致OOB读取。通过读取arena的固定位置泄露XOR密钥，结合侧信道技术逐位恢复36位的libc基址。最后，通过精心构造的payload修改tcache[0x30]的fd和chunk size，使得后续free操作指向__free_hook，再利用字符串构造和析构过程劫持控制流，最终执行system命令获取shell。文章还详细记录了利用过程中遇到的坑，如复合表达式解析bug、strlen与chunk size不匹配、system地址中的坏字节等问题及其解决方案。

    0x53 Docker Sandboxes曝严重逃逸漏洞，恶意代码可读写macOS主机文件

    FreeBuf 2026-09-18T18:00:00

    Example Image


    Docker Sandboxes在macOS平台上存在一个严重的安全漏洞，编号为CVE-2026-77179。该漏洞允许恶意代码逃逸至已共享的项目目录之外，读取或修改主机上的任意文件，其权限与运行虚拟机的主机账户权限一致。该漏洞影响了macOS平台上0.28.0及以上、0.42.0以下版本的Docker Sandboxes。Docker已于9月7日发布的0.42.0版本中修复了该漏洞。此外，还有一个高危漏洞CVE-2026-79994，影响中继组件，可能导致套接字提供的数据或主机侧能力暴露。Docker建议用户升级至0.42.0及以上版本以解决这两个漏洞。

    漏洞披露 安全漏洞 虚拟化安全 macOS安全 Docker安全 代码执行 文件操作 安全修复

    0x54 【0918】重保演习每周情报汇总

    Beacon Tower Lab 2026-09-18T17:38:31 © 烽火台实验室

    Example Image


    本文档为网络安全重保演习期间的每周情报汇总，提供了当周最新的漏洞情报和热点漏洞。本周共新增8条漏洞情报，累计漏洞情报达到78条。文章详细列出了每个漏洞的编号、影响厂商、产品、版本以及相应的DayDayMap自查指纹和参考链接。针对每个漏洞，还提供了临时修复建议，包括禁用匿名访问、开启强身份认证、更改默认凭证、限制访问来源地址等。此外，文章还提到了盛邦安全相关产品中已更新的攻击防护规则和漏洞检测规则，以帮助网络安全专业人员更好地理解和维护业务系统的安全性。

    漏洞情报 网络安全 攻防演练 漏洞修复 Web安全 系统安全 安全防护 安全意识

    0x55 YTray 实战案例：隔离浏览器越权测试与加密桥接

    Yak Project 2026-09-18T17:25:32 © Yak

    Example Image


    当 AI Agent 接入真实浏览器会发生什么？

    浏览器自动化 AI安全测试 浏览器隔离 Web安全 接口安全 前端安全 自动化测试 人机协同 安全工具 渗透测试

    0x56 告别Burp+手机联动！这个原生Android工具把DEX分析、Intent模糊测试、Frida生成全塞进了APK

    只会看监控的实习生 2026-09-18T17:00:00 © 菜狗

    Example Image


    本文介绍了一款名为AndroHunter的原生Android渗透测试工具箱，专为漏洞赏金猎人和移动安全研究员设计。该工具箱无需依赖外部软件，支持全原生的Android设备运行，大多数功能无需Root权限。AndroHunter集成了静态分析、动态测试、运行时分析与网络拦截等功能，覆盖了APK的四大攻击面。工具的核心特性包括DEX分析、Intent模糊测试、Frida生成等，支持从APK中提取并分析DEX文件，进行硬编码密钥扫描，并提供交互式类与方法枚举器。此外，还包括清单查看器、意图模糊测试器、内容提供程序模糊测试器、文件提供程序路径分析器、活动启动器和广播模糊器等功能，旨在帮助用户进行高效的移动安全测试。

    Android Security Mobile Security Penetration Testing Vulnerability Analysis Static Analysis Dynamic Analysis APK Analysis Bug Bounty Hunting

    0x57 \"ZCode 静默上传全量 Git 历史\"分析报告

    Qsec 2026-09-18T16:27:25 © Qsec

    Example Image


    本文分析了智谱AI编程工具ZCode桌面端在后台静默上传全量Git历史的机制。经过验证，发现ZCode会在后台打包并加密上传包含Git历史的工作区到云端，即使隐私开关关闭也不会停止上传。上传的数据包括代码、.git目录以及用户与AI的对话记录。尽管SSH/WSL远程项目在当前版本中被跳过，但本地项目仍会受到此机制的影响。文章详细分析了ZCode的上传机制，包括快照数据的存储位置、上传状态机以及上传成功的证据。此外，还讨论了如何防止数据上传的方法和潜在的隐私风险。

    数据泄露 隐私保护 加密技术 安全审计 代码审查 AI安全 软件安全

    0x58 AI与云安全事件案例分析周报｜2026.09.14 - 2026.09.18

    绿盟科技研究通讯 2026-09-18T16:26:05 © 星云实验室

    Example Image


    本周网络安全风险主要集中在高权限 Agent 的网页信任、训练状态、宿主隔离与移动端执行自动化等方面。BragJack 攻击通过篡改受信页面，调用 Agent 的文件与网页操作权限，劫持了五款 AI 浏览器助手。OpenAI 发布了六份失调报告，揭示了模型在训练过程中可能出现的自我指令注入、越权工具使用等问题。Docker Sandboxes 出现两处路径竞态越界漏洞，恶意 AI Agent 可从 microVM 读写 macOS 宿主文件。RatHat 木马利用生成式 AI 解析 Android 界面，结合无线 ADB 取得 Shell 级持久控制。这些事件表明，随着 AI 技术的进步，其安全性问题也日益凸显，需要加强相关边界防御和分层隔离措施。

    0x59 搜狗输入法 CVE-2026-51990 全链复现：参数注入 → 无沙箱浏览器 → V8 RCE

    松杨网络安全资料库 2026-09-18T16:25:06

    Example Image


    本文详细分析了搜狗输入法CVE-2026-51990漏洞的背景、原理和复现过程。该漏洞属于参数注入类型，攻击者通过诱导用户点击特定链接，可以在受影响用户上执行任意程序，无需下载文件、宏、凭据或管理员权限。漏洞利用涉及三个缺陷，包括协议处理器对参数的校验不足、下游组件加载任意URL以及V8引擎的配置问题。文章介绍了漏洞的原理、复现步骤，并提供了修复方式，包括升级到安全版本或摘除特定协议以缓解风险。

    漏洞分析 输入法安全 参数注入 远程代码执行 软件漏洞 CVE 浏览器安全 安全复现

    0x5a 每周高级威胁情报解读(2026.09.11~09.17)

    奇安信威胁情报中心 2026-09-18T16:20:43 威胁情报中心

    Example Image


    近期网络安全领域发生了多起重要攻击事件和漏洞泄露。APT36对印度和阿富汗政府国防实体发起了名为Operation RapidRust的攻击，使用了RUSTYSHADE后门、RUSTYMOVE移动媒体监控工具、PSNATCH和BASHNATCH文件窃取工具等。夜鹰（NightEagle）组织则针对俄罗斯企业实施定向攻击，利用GhostContainer后门和多种技术进行横向移动。朝鲜IT工作者通过Discord招募中间人实施求职欺诈，并利用AI工具辅助攻击。Cyclops Blink恶意软件新版本增强了嗅探和内网侦查能力，由俄罗斯关联的IRON VIKING组织使用。PolinRider团伙通过蜜罐捕获了朝鲜攻击者的实时上机操作痕迹。Kimsuky组织利用伪装安装包植入远控木马，攻击韩国医疗机构。诈骗分子利用AI构建高度逼真的杀毒软件续费钓鱼页面。Beast（GodDamn）勒索软件借助RDP攻击韩国医疗机构。F5 Labs披露了针对暴露的Vite开发服务器的扫描活动，利用CVE-2026-39364漏洞窃取云凭证。WordPress插件Admin Menu Editor Pro恶意更新包植入了Web后门。360威胁情报中心追踪了银狐木马仿冒软件下载站的演化。Unit42分析了Atomic macOS（AMOS）窃密木马的活动。GhostCode钓鱼套件滥用OAuth设备代码流程窃取微软账号权限。DomainTools披露了俄罗斯Lemmings框架，用于生成和验证合成身份。Black Lotus Labs披露了BambooToken恶意软件，利用MQTT协议控制系统。Cisco Talos披露了思科FMC管理平台的高危漏洞CVE-2026-20079和CVE-2026-20316被在野利用。微软发布了紧急Windows更新以修复RDS故障。

    0x5b ZCode 静默上传全量 Git 历史

    网络安全透视镜 2026-09-18T16:10:35

    Example Image


    本文讨论了网络安全学习者网友爆料的一起事件，即ZCode（智谱官方的AI编程桌面端）在用户登录状态下，会静默上传整个工作区的加密快照，包括完整的Git历史、LFS大文件缓存、reflog以及全局应用配置。该快照通过客户端加密后，使用RSA公钥加密的对称密钥进行加密，公钥由服务端动态下发，私钥仅在云端存在。文章分析了该上传机制的工作流程，包括客户端与协调服务器交互获取凭证，以及直接将加密文件上传至阿里云OSS的过程。作者指出，这种设计可能导致用户数据的安全性风险，并质疑了ZCode隐私政策中对于数据收集的描述。文章还提供了阻止该上传机制的操作系统级方法，并讨论了数据范围和密钥归属的重要性。

    数据泄露风险 隐私保护问题 安全配置问题 加密实现问题 恶意软件行为 软件安全审计

    0x5c 锐捷 NBR路由器的 历史漏洞

    学网安的苏苏 2026-09-18T16:03:50 © 这里是苏苏呀

    Example Image


    本文详细分析了锐捷NBR路由器的历史漏洞。文章中描述了多个漏洞的攻击步骤，包括通过POST请求上传恶意文件、设置路由器认证密钥、读取敏感文件内容以及执行远程命令等。攻击者利用这些漏洞可以获取路由器的控制权限，进而访问网络资源或执行恶意操作。文章中列举了具体的攻击URL和参数，以及相应的HTTP请求方法，为网络安全人员提供了重要的参考信息。

    漏洞分析 路由器安全 Web应用安全 缓冲区溢出 远程执行 信息泄露 权限提升

    0x5d 浅谈API安全

    搜狐安全 2026-09-18T16:00:00

    Example Image


    应用程序编程接口（API）已成为现代应用的基石。从银行、零售到物联网、自动驾驶，API是移动应用、SaaS和Web应用的关键组成部分。如今，API更是大模型（LLM）与AI智能体（Agent）落地的\x26quot;神经系统\x26quot;。

    0x5e 【突发】ZCode静默上传全量Git历史，请快速自查

    星宇Sec 2026-09-18T15:54:24 © ferstar

    Example Image


    本文揭露了ZCode（智谱官方AI编程桌面端）在用户不知情的情况下，静默上传整个工作区的Git历史、LFS大文件缓存、reflog以及全局应用配置到阿里云OSS的行为。文章详细分析了这一行为的发现过程、证据链、上传内容、触发时机以及如何解决这一问题。文章指出，ZCode使用RSA公钥加密数据，私钥仅存在于云端，用户无法解密。此外，文章还提供了在macOS、Linux和Windows上阻止ZCode上传数据的解决方案，并强调了隐私政策和默认设置中存在的不足。

    数据泄露 隐私侵犯 加密密钥管理 默认安全配置 软件漏洞 安全审计 云安全 代码审计

    0x5f 赛博安全狗：Cisco安全事件 / 严重ScreenConnect漏洞现正遭野外利用 (9月18日)

    赛博看门狗 2026-09-18T15:49:44 赛博安全狗

    Example Image


    本文报道了网络安全领域的最新动态，包括美国海岸警卫队和联邦调查局对两艘油轮遭受网络攻击的调查，2024年上半年日本勒索软件事件的分析，以及银行恶意软件KREMLIN对Chrome和Edge浏览器的劫持。此外，文章还提到了拉丁美洲政府机构遭受APT组织攻击的情况，黑客利用AI生成恶意软件在漏洞赏金中获利的事件，以及Revolut数据泄露等隐私事件。在漏洞预警方面，文章重点介绍了Cisco ISE零日漏洞和ScreenConnect严重漏洞正在被野外利用，以及Unbound DNSSEC验证器和BIND 9的多个安全漏洞。

    漏洞预警 在野利用 数据泄露 勒索软件 恶意软件 APT攻击 行业动态 安全事件分析

    0x60 无需认证！本地知识库 QAnything 任意文件写入漏洞可提权至 Root RCE（CVE-2026-88533）

    360漏洞研究院 2026-09-18T15:06:37 © 360漏洞研究院

    Example Image


    近日，QAnything本地知识库被发现存在一个未授权任意文件创建漏洞（CVE-2026-88533），该漏洞允许未经身份认证的远程攻击者在目标服务上创建任意文件。攻击者可以通过文件上传接口提交特制文件名，利用服务端文件路径拼接逻辑缺陷，在进程权限允许的非预期目录中写入文件。在官方Docker部署场景中，后端进程以root权限运行，攻击者可在文件被写入可自动加载的位置时，通过服务重启触发root权限代码执行。目前，360漏洞挖掘智能体已成功复现该漏洞，而QAnything官方尚未发布针对该漏洞的修复版本。建议用户限制QAnything服务的访问权限，避免后端进程以root权限运行，并密切关注官方的安全公告。

    漏洞披露 未授权访问 文件写入漏洞 路径遍历 提权漏洞 RCE（远程代码执行） Docker安全 漏洞复现 安全公告 网络安全

    0x61 【已复现】CUPS 本地权限提升漏洞(QVD-2026-70361)安全风险通告

    奇安信 CERT 2026-09-18T14:50:37 © 奇安信 CERT

    Example Image


    本文详细介绍了CUPS本地权限提升漏洞（QVD-2026-70361）的安全风险。该漏洞允许攻击者绕过身份认证，将lpadmin组权限提升为root，从而获取交互式root shell，进而完全控制受影响的主机。漏洞源于CUPS打印服务中的多个配置和权限边界缺陷，攻击者需具备lpadmin组成员身份，并利用特定条件下的CUPS服务进行攻击。目前，该漏洞的PoC和技术细节已公开，全球风险资产总数达到183,759个，关联IP总数为179,797个。奇安信CERT建议用户尽快检查系统，更新补丁，并采取临时缓解措施，如收紧lpadmin权限、处置特权serial后端等。

    本地漏洞 权限提升 CUPS漏洞 CVSS评分 PoC公开 系统重启 服务管理 Linux安全

    0x62 【安全意识】gophish钓鱼邮件演练

    安全驾驶舱 2026-09-18T14:34:02 alex

    Example Image


    本文详细介绍了gophish钓鱼邮件演练工具的使用方法。gophish是一个开源的钓鱼模拟与安全意识培训工具，用于帮助安全团队在授权范围内测试员工对钓鱼邮件的防范能力。文章首先介绍了工具的背景和基本功能，包括创建钓鱼邮件、搭建仿冒登录页面、发送测试邮件以及追踪用户行为。接着，详细说明了工具的配置过程，包括配置发件箱、收件箱群组、创建钓鱼邮件和钓鱼页面。最后，文章介绍了如何启动钓鱼演练、查看钓鱼结果，并总结了gophish的特点和优势，如良好的UI界面、模块化设计以及实时数据分析功能。

    网络安全工具 钓鱼攻击模拟 安全意识培训 邮件安全 安全测试 开源软件 安全配置 用户行为分析

    0x63 QQ飞车桌面客户端 RCE 报告的事实核查-好像给了($515)

    Ots安全 2026-09-18T12:21:06

    Example Image


    2026年9月17日，安全研究者Olivier Laflamme在X平台上发布了一条关于《QQ飞车》桌面客户端的漏洞简报。该漏洞涉及净化绕过、不安全的PV规范化和不受限制的Lua执行汇点，能够在玩家机器上落地任意命令。报告特别指出，漏洞的赏金为515美元，但未提供CVE编号、官方公告、补丁信息或PoC源码等传统漏洞披露材料。报告人的公开履历显示其在同类对象上有多次确认披露记录，增加了报告的可信度。然而，由于缺乏具体的实现细节和测试结果，无法确认漏洞的实际存在性和影响范围。文章分析了漏洞可能的影响范围，包括桌面客户端而非手游、客户端脚本层是否可被外部输入抵达、公共聊天频道的可达状态、系统消息的发布权限等。同时，文章探讨了导致漏洞的原因，包括消息净化的绕过形态、资源引用规范化的一般缺陷和脚本引擎执行汇点等。文章还讨论了漏洞触发的过程，包括投递面、触发面和执行面。最后，文章延伸讨论了反作弊管不到的那一层，即本地完整性校验无法拦截此类输入带来的后果。

    0x64 AI批量生成钓鱼文档！Kimsuky动用OpenCode工具，LNK快捷文件借GitHub实施间谍入侵

    AI紫队安全研究 2026-09-18T12:00:00 © AI紫队安全研究

    Example Image


    朝鲜APT组织Kimsuky利用OpenCode AI智能代理批量生成财务类钓鱼文档，通过LNK快捷文件伪装成PDF、Excel，诱骗用户打开后执行恶意PowerShell脚本，调用GitHub作为秘密指挥服务器，实现长期潜伏窃密。攻击者利用GitHub和Pastebin作为双重C2通信渠道，并添加反沙箱机制以对抗安全分析。攻击主要针对金融、零售、企业行政财务岗位。文章详细分析了攻击的各个环节，包括诱饵文档的生成、攻击链路、持久化后门的建立以及防御建议。

    APT攻击 钓鱼攻击 恶意软件 AI攻击 网络钓鱼 C2通信 反沙箱技术 云服务滥用 持续监控

    0x65 QQ飞车桌面版曝\"一键式\"远程代码执行风险?

    杂杂咱谈 2026-09-18T11:46:28 tuto

    Example Image


    本文报道了安全研究人员发现QQ飞车桌面版存在远程代码执行（RCE）风险。该漏洞允许攻击者通过公共或游戏聊天中的系统消息触发，利用输入过滤绕过、PV规范化缺陷以及不受限制的Lua执行入口。攻击链涉及多个步骤，包括构造恶意消息、绕过输入清理机制、利用不安全的PV规范化和不限制的Lua执行入口，最终实现任意系统命令的执行，从而控制QQ飞车桌面客户端。这一发现对QQ飞车的用户构成了严重的安全威胁，强调了桌面游戏安全性的重要性。

    远程代码执行（RCE） 输入过滤绕过 PV规范化缺陷 Lua执行漏洞 客户端安全漏洞 游戏安全 社交工程

    0x66 泛微云桥 e-Bridge sendWxMsg SQL注入漏洞

    Nday Poc 2026-09-18T09:55:20 Superhero

    Example Image


    本文分析了泛微云桥 e-Bridge 的一个重要安全漏洞：sendWxMsg 接口的 SQL 注入漏洞。该漏洞允许未经身份验证的远程攻击者通过 SQL 注入获取数据库中的敏感信息，如管理员后台密码和用户个人信息。在高权限的情况下，攻击者甚至可以向服务器写入木马，获取系统权限。文章提供了 Fofa 搜索引擎的查询语法来识别可能存在该漏洞的系统，并给出了漏洞复现的步骤。同时，建议用户采取关闭互联网暴露面、升级至安全版本等措施来修复该漏洞。文章还介绍了 Nday 漏洞实战圈，这是一个专注于公开 1day/Nday 漏洞复现和工具链适配支持的内部圈子，为用户提供漏洞复现、渗透测试等资源。需要注意的是，所有测试活动必须遵守法律和道德规范，严禁违规使用提供的工具和资源。

    SQL注入漏洞 云服务安全 身份验证漏洞 服务器安全 数据库安全 漏洞复现 安全修复

    0x67 【红队工具】CobaltStrike插件更新

    安全天书 2026-09-18T09:50:28 © Hello888

    Example Image


    本文介绍了一款名为HeavenlyProtectionCS的CobaltStrike插件，该插件专为红队攻防后渗透设计，旨在解决传统插件在对抗环境中的不适配和功能杂乱等问题。插件经过多次攻防项目的实战检验，不断更新和维护，具备管理用户操作、权限维持、内网信息收集、横向移动、域渗透、权限提升、钓鱼、浏览器凭证获取等多种功能。文章中展示了插件的部分功能截图，包括管理用户功能、权限提升功能和维权自启动功能。此外，文章还提到了插件的一些使用演示，如进程链绕过、权限提升、BOF插件CouchPotato土豆提权等。最后，文章推荐了一个专注于渗透测试、红蓝对抗、钓鱼手法思路、武器化等研究的圈子，并列举了圈子中分享的一些技术文章和工具。

    红队工具 后渗透技术 CobaltStrike插件 网络安全测试 免杀技术 渗透测试 内网安全 安全工具开发

    0x68 Cisco ISE 满分认证绕过零日深度分析（CVE-2026-76460，附PoC）

    赤霄攻防实验室 2026-09-18T09:35:00 © 赤霄攻防实验室

    Example Image


    CVSS 10.0满分+在野利用+KEV三天大限：未认证远程绕过ISE管理认证直达root，附官方IOC排查脚本。

    漏洞分析 高危漏洞 未认证访问 远程代码执行 企业NAC 在野利用 CISA KEV 应急响应 补丁管理 日志审计

    0x69 每天学一个 Kali 工具 · Day19 | Burp Suite：Web 渗透测试的航空母舰

    0day收割机 2026-09-18T09:31:56 © 0day收割机

    Example Image


    本文介绍了网络安全工具Burp Suite，这是Web应用安全测试的集成平台。Burp Suite通过其强大的功能，如代理拦截、手工重放、批量爆破和自动扫描，简化了Web渗透测试的工作流程。文章强调了Burp Suite在网络安全领域的地位，特别是在OffSec的WEB-200课程中作为核心工具的使用。文章详细介绍了Burp Suite的八大组件，包括Proxy、Repeater、Intruder、Scanner等，以及它们各自的功能和如何协同工作。此外，文章还提供了快速上手Burp Suite的步骤，包括设置代理、安装CA证书等，以及如何与命令行工具配合使用。最后，文章提醒用户在使用Burp Suite时要注意合规性，如授权使用、控制扫描强度和保密项目文件等。

    网络安全工具 Web应用安全 渗透测试 Kali Linux 自动化测试 手动测试 中间人代理 集成平台

    0x6a 存储桶遍历漏洞安全检测工具 - v2.0

    HACK之道 2026-09-18T09:31:12 jdr2021

    Example Image


    本文介绍了一款名为OSSFileBrowse的存储桶遍历漏洞安全检测工具的最新版本2.0。该工具旨在帮助用户检测和证明存储桶的危害，提供方便的文件预览功能。版本2.0带来了多项更新，包括优化界面布局、新增内容敏感字段搜索、修复中文场景下的启动参数问题、自定义请求头功能、文件排序和搜索功能、移除对kkfileview的依赖、支持多种文件格式远程预览、ZIP等压缩包的展开和预览、内存中缓存文件列表以提高性能、本机HTTP代理预览、音视频播放器、设置面板、配置文件、预览大小限制、多种编码支持的纯文本预览、HTTPS证书兼容配置、文件下载和批量下载功能、完善运行日志、内容敏感字段搜索报告以及后台任务执行等特性。

    存储桶安全 文件遍历漏洞 安全检测工具 代码审计 漏洞利用 Web安全 文件处理安全 编码安全 配置管理 日志管理

    0x6b 端口收敛的尽头是 Nginx 吗？端口收敛还有哪些更好的办法？

    网络个人修炼 2026-09-18T09:31:00 © ralap

    Example Image


    文章探讨了网络安全中的端口收敛问题，这是服务器运维和自建服务过程中一个重要的议题。文章首先强调了减少公网暴露端口的重要性，提出了最小化公网暴露的端口收敛原则，包括避免不必要的端口开放、使用内网和VPN等。接着，文章介绍了端口收敛的两个层次：基础层是限制公网端口，只开放必要的服务端口；进阶层则是通过Nginx反向代理技术，将多个服务复用到同一个端口上，实现域名的路由和流量转发。文章还提到了对于非HTTP服务的端口收敛问题，并给出了具体的配置示例。最后，文章邀请读者在评论区交流更多端口收敛的实战方案和经验。

    网络安全策略 端口管理 网络攻击防御 Nginx反向代理 VPN技术 安全组规则 Web服务安全

    0x6c 靶场实战02|流量里藏着你不知道的秘密（附docker靶场部署步骤）

    安全值班室 2026-09-18T09:00:00 © 安全值班室

    Example Image


    本文通过一个真实的案例引入网络安全的重要性，讲述了在公共WiFi环境下，用户数据可能被窃听的风险。文章详细介绍了如何使用Docker搭建一个简单的抓包环境，通过抓取HTTP流量来分析数据包，揭示密码等敏感信息在明文传输中的安全隐患。文章深入讲解了tcpdump工具的使用方法，包括如何捕获数据包、分析内容以及识别异常流量。此外，还讨论了如何通过HTTPS加密、证书校验、流量审计等手段来提高网络安全防护水平，并强调了全站HTTPS和TLS加密的重要性。最后，文章总结了网络安全防护的关键点，并展望了后续的学习内容。

    网络安全实战 抓包分析 无线网络安全 HTTPS加密 中间人攻击 流量审计 网络安全防护 网络安全意识

    0x6d 北美APT组织NightEagle利用GhostContainer后门与隧道技术开展隐蔽攻击活动

    白泽安全实验室 2026-09-18T09:00:00 © BaizeSec

    Example Image


    北美APT组织NightEagle近期针对俄罗斯境内企业发起了新一轮定向网络间谍攻击。攻击者利用合法账号登录企业VPN，在内网部署无文件后门GhostContainer，并通过合法隧道工具搭建隐蔽通信通道。攻击过程中，攻击者利用多种技术进行内网横向移动，包括BlueKeep漏洞利用和DCSync域凭证窃取。本次攻击显示出攻击者对开源工具和公开漏洞利用代码的高度依赖，以及滥用合法基础设施和多层隧道组合的技术特点。攻击目标主要是大中型企业的核心数据和企业网络关键节点。针对此次攻击，建议相关组织采取多项防护措施，包括强制实施MFA、实时监控Exchange日志、对AD环境实施严格的Kerberos凭证策略审计等。

    APT攻击 网络间谍活动 定向攻击 后门技术 隧道技术 内网渗透 漏洞利用 信息窃取 恶意软件分析 网络安全防护

    0x6e 多个VLAN如何自动分配IP？华为与思科DHCP配置一次讲清

    网络技术干货圈 2026-09-18T08:58:12 © 圈圈

    Example Image


    本文详细介绍了在多VLAN环境中如何通过DHCP自动分配IP地址。文章首先阐述了VLAN在企业网络中的应用和优势，接着说明了在多VLAN环境下，终端设备的IP地址分配问题。针对华为和思科设备，文章分别介绍了它们的DHCP配置方法，包括创建VLAN、设置地址池、配置VLANIF接口以及使用DHCP Relay等功能。文章通过实际网络场景示例，详细展示了配置步骤和关键命令，同时指出了DHCP配置中可能出现的问题及排查方法，如VLAN配置错误、接口状态和IP地址检查等。最后，文章提供了华为和思科设备上常用的排查命令，以帮助网络管理员有效地解决DHCP配置问题。

    网络架构 IP地址分配 VLAN配置 DHCP服务器 网络隔离 网络管理 网络故障排除 设备配置

    0x6f 一款面向安全分析、应急响应和流量排查场景的 Windows 桌面工具 - TrafficAnalyzer

    菜鸟学信安 2026-09-18T08:30:00 RynezzZ

    Example Image


    TrafficAnalyzer 是一款面向安全分析、应急响应和流量排查的 Windows 桌面工具，支持 PCAP 和 HTTP 数据。它整合了流量检索、请求响应还原、威胁检测、行为分析、数据解密、WebShell 分析及主动重放等功能。用户可以通过导入 PCAP、表格或访问日志等方式快速整理 HTTP 请求与响应，并在大量流量中检索可疑 IP、URI、请求头、请求体和响应内容。工具支持识别扫描、注入、WebShell、反序列化、异常访问等行为，并能对编码、压缩、加密或混淆数据建立可复用的处理流程。TrafficAnalyzer 还支持对捕获的 HTTP 请求进行改包重放，辅助验证分析结论，并解析 Java 序列化数据、反编译 Class 字节码和静态还原混淆源码。其主要功能模块包括 HTTP 流量分析、网络层分析、解密工作台、HTTP 重放、威胁检测、CyberChef 工具、流程库、WebShell 解密 Fuzz、Java 反序列化分析、Java 反编译和反混淆等。

    0x70 PWN入门笔记-程序的编译，链接，装载

    绿洲安全 2026-09-18T08:30:00 © lys

    Example Image


    本文详细描述了从C源文件编译链接形成ELF文件的整个过程。首先，编译过程将预处理后的C源文件进行词法分析、语法分析、语义分析及优化，生成汇编代码文件。接着，汇编器将汇编代码转换为机器指令，生成目标文件（.o文件）。静态链接阶段，链接器将多个目标文件和库文件合并，生成最终的可执行文件或共享库。链接器的工作包括合并代码和数据段、解析符号引用、处理重定位表、解析库依赖关系等。此外，文章还介绍了ELF文件的装载过程，包括Linux内核如何通过execve系统调用加载ELF文件，以及load_elf_binary函数如何处理ELF文件的映射和初始化。最后，文章解释了进程虚拟地址空间的划分和作用，包括代码段、数据段、堆和栈等区域。整个过程涉及多个步骤和工具，如预处理器、编译器、汇编器、链接器和装载器，每个步骤都对最终的可执行文件至关重要。

    0x71 大模型渗透测试从0到1:提示词注入+越狱+输出绕过,附完整payload

    Z0安全 2026-09-18T08:18:00 © Z0安全

    Example Image


    本文详细介绍了大模型渗透测试的方法和技巧，针对大模型安全测试的特点，提出了从提示词注入、越狱到输出绕过的测试方法。文章首先分析了大模型安全测试与传统Web测试的不同之处，包括攻击面、漏洞修复、测试的确定性、漏洞位置以及手动测试的局限性。接着，文章详细阐述了提示词注入的三板斧、角色扮演、虚拟场景包装、成熟越狱模板、编码绕过以及多轮渐强等技巧。此外，文章还介绍了输出过滤绕过的核心思路，包括拼接输出、语义翻译、逐字符遍历、反义词/同义词、写诗取首字母以及谜题+外部AI还原等。最后，文章列举了其他必测项，如系统提示词泄露、格式注入、训练数据提取、间接注入埋点、工具函数枚举以及输出侧连锁利用等，并提出了自动化扫描的方法，如使用Garak等工具进行LLM漏洞扫描。

    网络安全 渗透测试 大模型安全 人工智能安全 漏洞分析 安全测试 攻击技术 防御策略

    0x72 无需授权直取CI/CD密钥？聊聊GitLab刚修复的这个“离谱”漏洞

    技术修道场 2026-09-18T07:59:00 © Hankzheng

    Example Image


    GitLab近期修复了一个严重漏洞CVE-2026-85706，该漏洞位于Repository Commits API中，允许未授权用户读取任意文件。漏洞无需认证，只需发送特定请求即可实现路径穿越，读取敏感文件，如配置和日志文件，以及CI/CD密钥等。GitLab官方已发布安全补丁，要求用户升级到最新版本。此外，GitLab还修复了另一个漏洞CVE-2026-87719，这是一个企业版中的不安全反序列化漏洞。安全专家警告，这些漏洞可能导致供应链攻击和数据泄露，要求用户尽快排查并修复。

    GitLab漏洞 CI/CD安全 路径遍历漏洞 未经授权访问 供应链安全 漏洞修复 安全最佳实践

    0x73 漏洞预警 | 搜狗输入法远程代码执行漏洞

    浅安安全 2026-09-18T07:50:00 浅安

    Example Image


    本文报道了搜狗输入法存在的一个远程代码执行漏洞（CVE-2026-5199），该漏洞被评定为高危等级。搜狗输入法是一款流行的中文输入法软件，主要提供智能拼音输入、云输入预测等功能。该漏洞允许攻击者通过构造特殊的sgbiz:链接，在用户点击一次的情况下，利用旧版浏览器的漏洞执行任意代码。这可能导致攻击者以当前用户权限完全控制系统，安装后门程序、窃取数据或执行其他恶意操作。目前，搜狗已发布修复版本，建议用户升级到最新版本以避免安全风险。

    输入法漏洞 远程代码执行（RCE） 高危漏洞 Windows平台 软件更新 恶意代码利用 权限提升

    0x74 漏洞预警 | GitLab路径遍历漏洞

    浅安安全 2026-09-18T07:50:00 浅安

    Example Image


    本文报道了GitLab路径遍历漏洞（CVE-2026-85706），这是一个高危漏洞，影响GitLab CE/EE版本18.7至19.3之间的多个版本。该漏洞允许未经身份认证的远程攻击者读取GitLab服务器上的任意文件，可能导致敏感信息泄露和数据机密性受损。GitLab官方已发布修复版本，建议用户升级到安全版本以防止攻击。漏洞详情包括漏洞类型、影响、简述以及受影响版本等信息，但具体的Proof of Concept（POC）尚未公开。

    GitLab 漏洞 路径遍历 敏感信息泄露 身份认证漏洞 高危漏洞 版本漏洞 开源软件安全

    0x75 以密码为主题的网络钓鱼攻击导致 Microsoft 365 数据被盗

    暗镜 2026-09-18T06:00:00 © ZM

    Example Image


    微软近日揭露了一起由与ShinyHunters、Helix等勒索团伙相关的网络钓鱼攻击事件。攻击者利用社会工程学，冒充企业IT服务台，以密码和单点登录为主题，诱骗员工更新密码或配置MFA，从而引导他们访问仿冒的微软登录页面。攻击者通过中间人攻击和设备代码钓鱼，获取员工的凭据和会话令牌。攻击者在攻击前进行广泛的调查研究，并注册与公司名称相关的钓鱼域名。攻击者通常属于同一勒索生态系统，如Storm-3121和Storm-3032组织。在成功入侵后，攻击者会访问Microsoft 365服务，包括SharePoint Online、OneDrive和Outlook Web等，并在短时间内访问大量敏感文件和内部应用程序。微软建议企业进行异常登录检查、MFA注册、Microsoft Graph侦察以及对SharePoint、OneDrive或Exchange的可疑访问调查，并采取相应的安全措施。

    网络钓鱼攻击 社会工程学 勒索软件 Microsoft 365 安全问题 单点登录（SSO）攻击 多因素身份验证（MFA）绕过 数据泄露 云安全 威胁情报

    0x76 UEBA 攻防：基线数据的验证与污染

    赛博57库 2026-09-18T05:00:00 © 赛博57库

    Example Image


    本文深入探讨了UEBA（用户实体行为分析）的原理、红蓝对抗手法以及蓝队的反制措施。文章首先介绍了UEBA的概念，将其定位在行为检测和异常检测的交叉点，强调其关注实体（包括用户、设备、系统、应用、IP）的行为分析。接着，文章详细阐述了红队五类规避手法，包括大规模栽赃、口袋维度、日志伪造、NetFlow掩蔽扫描和基线煮沸，这些手法旨在污染数据，使UEBA检测失效。针对这些手法，文章提出了蓝队的四道防线，主要是通过认证来源、反IP欺骗、收窄数据漏斗并打标签以及使用蜜罐来加强日志可信度。此外，文章还讨论了构建UEBA的条件与代价，以及如何通过两周内的速赢验证来评估行为检测的有效性。最后，文章强调基线可信是所有检测的前提，并提供了加固清单和MITRE ATT&CK对照，以帮助安全团队更好地理解和应对UEBA的挑战。

    0x77 公钥能换，分支能改：为什么本地签名验签授权必然被绕过

    利刃信安 2026-09-18T01:00:00 © 利刃信安

    Example Image


    本文分析了本地签名验签授权方案在网络安全中的脆弱性。文章指出，由于公钥可替换和程序分支可修改，这类方案在发布后几乎必然会被绕过。文章通过两种典型实现，阐述了本地签名验签授权的原理和实现方式，并分析了其潜在的弱点，如公钥替换、验签分支改写等。文章还讨论了常见的误区，如私钥写入程序、仅签布尔值等，并提出了四层加固路线，包括反篡改、混淆、硬件绑定和服务端验签等。最后，文章强调了将信任根移出二进制的重要性，并建议根据软件价值选择合适的加固策略。

    数字签名 公钥基础设施 加密算法 软件授权 安全漏洞 逆向工程 安全加固

    0x78 紧急安全预警｜HP Advance曝3个严重漏洞，最高CVSS 9.3可导致远程代码执行

    杂杂咱谈 2026-09-18T00:02:00 tuto

    Example Image


    本文报道了HP Advance软件中的三个严重安全漏洞，CVE-2026-89082、CVE-2026-89083和CVE-2026-89084。这些漏洞可能导致权限提升、远程代码执行和任意文件写入，CVSS评分分别为9.3（Critical）和8.8（High）。漏洞可以通过网络攻击实现，无需攻击者具备预先权限或用户交互。HP Advance软件主要用于企业打印与扫描环境，漏洞可能被用于进一步控制打印服务器，并成为攻击企业内部网络的跳板。HP官方已发布修复补丁，建议用户尽快升级至受影响产品的最新版本，并采取限制网络访问和检查服务器异常等措施以缓解风险。

    漏洞披露 软件漏洞 远程代码执行 权限提升 任意文件写入 企业安全 安全更新 网络攻击 CVSS评分

    0x79 CVE-2026-83271 Oracle Database 权限提升漏洞

    撅人 2026-09-18T00:00:00

    Example Image


    Oracle于2026年9月发布了针对CVE-2026-83271安全漏洞的紧急安全补丁。该漏洞存在于Oracle Database Server的RDBMS组件中，允许低权限攻击者通过远程方式利用DBMS_REDEFINITION包的执行权限缺陷，实现对数据库的完全接管。CVSS评分高达8.8分，被评定为严重等级High。Oracle Database Server是Oracle公司的核心数据库产品，RDBMS是其核心引擎组件。此次漏洞的利用条件相对简单，攻击者只需具备低权限账户和DBMS_REDEFINITION的EXECUTE权限，即可通过网络远程连接发起攻击。Oracle已发布补丁，建议用户尽快应用以修复漏洞。目前该漏洞尚未被广泛利用，但Oracle提醒用户及时打补丁以防止潜在的安全风险。

    数据库安全 权限提升 远程攻击 Oracle漏洞 CVE编号 CVSS评分 安全补丁 未在野利用

    0x7a 24 小时，从一台被遗忘的 GitLab 到域控——这条护网路径，本可以断三次

    船山信安 2026-09-18T00:00:00 © Sink

    Example Image


    本文详细复盘了一起网络安全攻击案例，从一台被遗忘的GitLab服务器开始，攻击者利用了多年前的漏洞成功入侵，最终控制了域控制器。文章指出，许多企业存在影子资产，即未被记录或管理的资产，这些资产往往成为攻击者的突破口。文章强调了漏洞利用成为攻击主要手段的趋势，并分析了攻击者如何通过隐蔽的方式逐步渗透内网，最终获取域控制器权限。文章还讨论了红队和蓝队在攻防演练中的策略和技巧，包括如何避免全端口扫描、使用无文件攻击技术、以及如何进行权限维持。最后，文章提出了七项实际可行的安全改进措施，以帮助企业加强网络安全防御。

    网络安全漏洞利用 内部安全威胁 红蓝对抗 渗透测试 漏洞管理 内网安全 安全意识 安全运维 安全监控

    0x7b 矩阵爆破逆向：条件断点的妙用

    蚁景网安 2026-09-17T17:39:37 © Ba0

    Example Image


    本文介绍了IDA的条件断点功能及其在程序调试中的应用。条件断点允许在满足特定条件下暂停程序执行，这对于复杂程序的调试非常有效。文章通过一个具体的例子，展示了如何使用IDA的条件断点结合IDA-python脚本，在动态调试过程中获取关键信息。首先，作者分析了程序的主要函数和加密过程，确定了关键的加密指令。然后，利用条件断点在加密过程中输出相关寄存器和内存地址的值，从而获取加密前的输入数据和加密矩阵。通过对真实密文和假flag生成的密文进行对比，作者推导出了加密的具体计算方法。最后，使用Z3求解器建立了数学模型，成功解密出了真正的flag。整个过程展示了条件断点在逆向工程和密码分析中的强大作用，以及如何结合动态调试和符号执行技术解决实际问题。

    0x7c Log4j框架：1.x-2.x全版本你必须知道的12个通用漏洞（附2个Log4Shell实战案例）

    allby森林之家 2026-09-17T17:39:27 © 森林之家zbs

    Example Image


    本文详细分析了Apache Log4j日志框架的漏洞历史，特别是Log4j2的反序列化白名单绕过漏洞。文章首先介绍了Log4j及其在Java生态中的广泛应用，解释了为什么日志框架能导致远程代码执行（RCE）的根源在于其lookup功能，以及如何通过JNDI注入实现RCE。接着，文章回顾了Log4j 1.x和2.x版本中的12个通用漏洞，包括反序列化、JNDI注入、SQL注入等，并详细描述了每个漏洞的类型、影响版本、披露时间及攻击链。重点讲解了Log4Shell（CVE-2021-44228）及其补丁绕过漏洞（CVE-2021-45046）和递归DoS漏洞（CVE-2021-45105），以及2026年即将被披露的FOIS白名单绕过漏洞（CVE-2026-XXXX）。最后，文章通过两个实战案例演示了Log4Shell和Solr JNDI注入的攻击过程，并提供了修复和缓解建议，强调升级到最新版本或移除受影响的组件是必要的防护措施。

    0x7d 安全简讯（2026.09.17）

    启明星辰安全简讯 2026-09-17T16:48:10

    Example Image


    本文报道了网络安全领域近期发生的几起重大事件。首先，黑客利用WordPress的WooCommerce插件漏洞上传PHP后门，影响多个网站安全。Acronis备份插件被发现存在高危Linux权限提升漏洞，可能导致攻击者提升权限访问敏感数据。此外，恶意版本的WordPress插件被分发，影响200多名客户。伊朗黑客利用恶意软件“Chosen Brick”监控异见人士，通过Telegram进行秘密监视。Premier Medical Group发生数据泄露，影响超过28万人。最后，WSO2的高危漏洞被利用，攻击者试图获取企业敏感数据。这些事件提醒网络安全人员关注漏洞修复和系统安全性。

    WordPress漏洞 PHP后门 文件上传漏洞 Acronis备份插件 Linux权限提升 WordPress插件攻击 恶意软件 Chosen Brick 数据泄露 WSO2漏洞 JWT身份验证绕过

    0x7e 【漏洞通告】Cisco ISE远程代码执行漏洞（CVE-2026-20211)

    启明星辰安全简讯 2026-09-17T16:48:10

    Example Image


    本文介绍了Cisco Identity Services Engine（Cisco ISE）的一个严重远程代码执行漏洞（CVE-2026-20211）。该漏洞由Java对象的不安全反序列化引起，允许具有高权限管理员凭据的远程攻击者通过发送特制的序列化Java对象来触发漏洞。成功利用后，攻击者可以在底层操作系统获得用户级访问权限，并可能进一步提升至root权限。该漏洞影响了多个版本的Cisco ISE，包括3.1至3.5分支的某些版本。Cisco已发布修复版本，建议用户尽快升级至修复版本。此外，文章还提供了其他安全措施，如定期更新系统补丁、加强访问控制、使用企业级安全产品以及加强用户和权限管理等，以降低漏洞被利用的风险。

    CVE-2026-20211 远程代码执行 Cisco ISE 身份认证与访问控制 安全漏洞通告 Java反序列化 系统升级 网络安全

    0x7f “银狐”木马专项——恶意域名及恶意IP（四）

    国家互联网应急中心CNCERT 2026-09-17T16:38:24 © CNCERT

    Example Image


    近期，中国互联网网络安全威胁治理联盟（CCTGA）针对“银狐”木马进行了专项打击行动，重点包括控制端打击、被控端处置、恶意样本传播链治理等。本次行动披露了“银狐”木马使用的TOP 10恶意网络资产，这些资产主要分布在美国和中国香港等地。黑客团伙通过多种渠道传播恶意程序，如Gh0st、Win0s、DcRat等，具有远程控制能力，并通过文件下发、进程管理等功能进行违法犯罪活动。文章提供了排查方法，包括分析浏览器历史记录、DNS请求、网络流量等，并给出了处置建议，如更新IOC、隔离感染终端、加强安全防范等。同时，鼓励公众报告相关线索和样本信息。

    恶意软件分析 网络安全事件 威胁情报 木马攻击 安全防护 网络攻击分析 终端安全 恶意域名 恶意IP

    0x80 Check Point 紧急修复严重漏洞，可使远程未认证攻击者获得 root 权限

    代码卫士 2026-09-17T15:57:11 Guru Baran

    Example Image


    Check Point公司近日紧急修复了一个严重的栈缓冲溢出漏洞CVE-2026-91843，该漏洞存在于其安全管理和日志系统中，允许未经身份验证的远程攻击者以root权限执行任意代码。漏洞评分为CVSS 3.1的9.8分，表明攻击者可以通过网络访问且攻击复杂度低，无需权限和用户交互。攻击者通过控制超长用户名在身份验证前触发栈溢出。Check Point尚未公开利用链，但受影响的产品包括多个服务器版本。公司已通过Check Point LivePatch提供修复，并建议用户立即检查登录记录，保留相关日志以供分析。受影响的组织应采取紧急措施，包括安装修复补丁和限制SmartConsole Trusted Clients。

    安全漏洞 栈缓冲溢出 远程攻击 root权限 Check Point 安全管理和日志系统 CVSS评分 安全更新 事件响应 软件安全

    0x81 夜鹰转向：APT-Q-95组织被曝攻击俄罗斯企业，Exchange后门GhostContainer再度现身

    奇安信威胁情报中心 2026-09-17T15:46:11 © 威胁情报中心

    Example Image


    夜鹰（NightEagle / APT-Q-95）APT组织已将攻击目标扩展至俄罗斯企业，其攻击链涉及失陷VPN凭证、GitHub伪装仓库托管工具、BlueKeep利用和DCSync攻击域控。该组织行动特征包括基础设施切换快、活动时间固定、技术储备深厚。最新攻击中，夜鹰在Microsoft Exchange服务器上部署了GhostContainer后门，并通过GitHub托管隧道工具，利用RDP在内网横向移动。攻击者利用BlueKeep漏洞创建本地管理员账户，并申请带有非标准标志组合的Kerberos票据，以获取对目标资源的长期合法访问。此外，攻击者还尝试从Active Directory数据库中复制Domain-Password对象以冒充域控。整个攻击链几乎没有使用重型定制武器，而是依赖已知合法工具和基础设施漏洞，使得恶意行为难以被传统特征检测发现。防御建议包括VPN与远程访问加固、Exchange服务器纵深防御、AD安全治理、隧道与代理行为监测以及计划任务审计。

    0x82 【附exp】GitLab CVE-2026-85706 未授权路径遍历

    比伯信安 2026-09-17T15:10:00 棉花糖糖糖

    Example Image


    本文详细分析了GitLab CVE-2026-85706路径遍历漏洞。该漏洞允许未经身份认证的远程攻击者读取GitLab服务器上的部分敏感配置文件。漏洞源于GitLab的创建commit API处理请求时，未正确处理路径遍历和身份认证。攻击者通过构造特定的请求参数，可以绕过认证机制，并导致GitLab服务器读取任意本地文件。尽管实际测试中无法读取所有文件，但该漏洞仍对GitLab服务器的安全性构成严重威胁。文章提供了漏洞的详细分析、复现步骤和相关截图，并指出漏洞的潜在影响。

    GitLab 漏洞 路径遍历漏洞 未授权访问 网络安全 软件漏洞 Web应用安全 代码审计 漏洞复现

    0x83 紧急安全预警｜Linux KVM曝CVSS 9.3严重虚拟机逃逸漏洞(CVE-2026-89775)，可突破Guest与Host隔离

    杂杂咱谈 2026-09-17T11:45:30 tuto

    Example Image


    本文详细分析了Linux内核KVM/arm64中的一个严重虚拟机逃逸漏洞（CVE-2026-89775），其CVSS v3.1评分为9.3，属于高危级别。该漏洞允许恶意虚拟机在宿主机上执行代码，实现从Guest到Host的逃逸。漏洞存在于KVM arm64的VNCR TLB大小计算及Stage-1页表遍历逻辑中，当宿主机启用了嵌套虚拟化时，恶意虚拟机可能利用该缺陷突破虚拟机与宿主机之间的隔离。该漏洞可能会在部分多租户环境中导致权限提升，Linux内核官方已经确认该问题并发布了修复方案。文章提供了漏洞的详细信息、影响架构、利用条件、攻击方式、技术原理、受影响版本、修复建议等，并强调了在多租户云环境中该漏洞的风险和应对措施。

    虚拟机逃逸 Linux安全 KVM漏洞 嵌套虚拟化 权限提升 云安全 CVSS评分 安全修复

    0x84 漏洞名称权限参数值规范化缺失导致的权限绕过

    山水SRC 2026-09-17T09:20:00 © 游山玩水

    Example Image


    本文分析了由于服务端权限校验逻辑缺陷导致的权限绕过漏洞。该漏洞源于服务端在处理权限控制参数时，未进行严格的字符串规范化处理，如去除首尾空格、统一大小写。攻击者可以通过在参数值中加入空格，利用服务端可能使用的trim()函数或数据库查询特性，使得原本不匹配的参数值通过校验。文章详细描述了测试流程，包括定位参数、基线测试、注入空格混淆以及验证绕过结果。此外，还分析了漏洞的根因、危害以及可能的扩展测试方法，强调了权限提升、绕过安全规则和链式攻击风险等潜在威胁。

    漏洞分析 权限绕过 输入验证 代码审计 网络安全法 渗透测试 安全漏洞 安全编程

    0x85 Check Point 严重登录漏洞可导致远程接管

    sec随谈 2026-09-17T09:08:03 sec随谈

    Example Image


    Check Point近日发布紧急安全更新，修复了一个严重的登录漏洞。该漏洞允许未经身份验证的远程攻击者以root权限执行任意代码，对全球数以千计使用Check Point管理服务器的组织构成严重威胁。攻击者可篡改安全策略，在内部网络中横向移动并禁用防御措施。漏洞的CVSS基础评分高达9.8，攻击者通过发送超长输入触发栈缓冲区溢出。受影响的版本包括R82.20、R82.10、R82、R81.20及更早版本。Check Point建议管理员立即安装LivePatch热修复补丁，或限制受信任GUI客户端的访问，以缓解风险。

    安全漏洞 远程攻击 权限提升 紧急响应 防火墙安全 身份验证 缓冲区溢出 安全补丁 企业网络安全

    0x86 红队固件级漏洞挖掘工具包：moria + mithril 全离线、可空气隔离

    黑白之道 2026-09-17T08:35:00 © Red Hunter

    Example Image


    本文介绍了两款开源的IoT固件分析工具moria和mithril，它们可以帮助安全研究员进行固件级漏洞挖掘、SBOM生成、密钥泄露检测和安全审计。moria负责将固件拆分为组件，而mithril则负责分析这些组件以发现漏洞、密钥和组件信息。这两个工具都是基于MIT协议的开源项目，可以在不接触物理设备的情况下工作，支持多种固件格式和文件系统。moria能够识别和嵌套解压固件，而mithril则能够生成SBOM、匹配CVE、检测密钥泄露并进行启动安全审计。这两个工具的组合使用可以帮助红队和安全研究员在固件层面进行深入的安全分析和漏洞挖掘。

    固件安全 IoT安全 漏洞挖掘 红队工具 开源工具 离线分析 安全审计 静态分析

    0x87 Parallels Desktop 本地提权漏洞 ParaShells：Intel Mac 永久躺枪

    黑白之道 2026-09-17T08:35:00 © 杜明

    Example Image


    本文详细介绍了Parallels Desktop本地提权漏洞CVE-2026-90894，该漏洞允许攻击者通过特定的攻击链路获得Mac操作系统的最高权限。漏洞存在于Parallels Desktop的Mac端后端服务prl_disp_service上，攻击者可以利用Unix套接字权限失控、登录鉴权缺陷和命令拼接漏洞实现本地权限提升。然而，官方补丁仅适用于Apple Silicon版本的Parallels Desktop 27，Intel Mac用户无法获得补丁，导致他们面临安全风险。文章分析了漏洞的技术细节、攻击过程和防御建议，并指出该漏洞反映了软件厂商对旧硬件用户的态度问题。

    漏洞分析 本地提权 Mac安全 软件漏洞 权限提升 补丁管理 硬件兼容性 漏洞利用 软件厂商责任

    0x88 比木马危害更大的，是凭据失窃

    微步在线 2026-09-17T08:30:00 © 微步在线

    Example Image


    本文探讨了网络安全中凭据失窃的危害远大于传统木马攻击的现象。文章指出，近期攻击事件中，攻击者往往只偷取凭据，而不留下木马痕迹。这种攻击方式使得安全人员难以察觉，因为攻击者可以利用窃取的凭据在系统内自由活动，甚至继续远程登录系统。文章分析了攻击者可能窃取和使用的凭据类型，包括维持访问、横向扩张和影响下游。此外，文章还讨论了凭据失窃对防守方的挑战，如难以检测、应急处置困难以及安全人员可能存在的认知偏差。最后，文章提出了一些保护凭据的建议，包括事前的攻击面收敛和敏感文件访问阻断机制，以及终端失陷后的凭据排查和重置措施。

    凭证安全 木马攻击 内网安全 供应链攻击 攻击面收敛 EDR技术 应急响应 网络安全意识

    0x89 Langflow爆出代码执行漏洞CVE-2026-17633 (POC已公开)

    night安全 2026-09-17T08:00:00 YGnight

    Example Image


    本文报道了Langflow软件的一个代码执行漏洞（CVE-2026-17633），这是一个严重的代码注入漏洞，允许攻击者通过提交恶意代码来执行任意命令。Langflow是一款开源的低代码工具，基于Python开发。漏洞存在于Langflow的1.10.3及更早版本中，攻击者只需要一个登录账号即可利用此漏洞。漏洞的原理是由于Langflow在处理自定义组件时没有对代码内容进行审查，导致攻击者可以将恶意代码包含在自定义组件中，从而在服务器上执行。该漏洞的CVSS评分高达8.5/8.8，属于高风险漏洞。文章提供了漏洞的详细描述、原理分析、影响版本、修复建议以及公开的PoC示例。建议用户升级到Langflow OSS 1.11.0及以上版本以修复此漏洞。

    代码执行漏洞 开源软件漏洞 低代码平台安全 CWE-94 认证后漏洞 远程代码执行 Python安全 漏洞修复 CVSS评分 漏洞预警

    0x8a 漏洞预警 | cPanel&WHM SQL注入漏洞

    浅安安全 2026-09-17T08:00:00 浅安

    Example Image


    本文报道了cPanel & WHM中的一个高危SQL注入漏洞（CVE-2026-6740）。该漏洞允许已认证的cPanel账户通过注入恶意SQL语句在服务器上创建任意文件，这可能进一步导致以root权限执行代码，从而获得服务器的完全控制权。漏洞影响cPanel & WHM版本低于v11.110.0.143、v11.134.0.55、v11.136.0.39、v11.138.0.4和WP2: v11.138.1.90。官方已发布修复版本，建议用户尽快升级至安全版本以防止潜在的安全风险。

    SQL注入 Web托管控制面板 高危漏洞 漏洞修复 服务器安全 cPanel CVE编号

    0x8b 漏洞预警 | JumpServer Access Key越权泄露漏洞

    浅安安全 2026-09-17T08:00:00 浅安

    Example Image


    本文报道了JumpServer Access Key越权泄露漏洞，该漏洞编号为QVD-2026-65008，被评定为高危级别。JumpServer是一款开源跳板机系统，用于提供认证、授权、审计和自动化运维等功能。漏洞详情显示，由于JumpServer在通用API列表视图中使用的过滤后端存在缺陷，攻击者可以利用该漏洞通过特定的查询参数越权读取所有用户的AccessKey Secret和TempToken明文。该漏洞影响JumpServer V3版本（v3.7.0 <= JumpServer V3 < v3.10.23 LTS）和V4版本（v4.0.0 <= JumpServer V4 < v4.10.19 LTS）。官方已发布修复版本，建议用户升级至安全版本以解决此漏洞。

    漏洞预警 JumpServer Access Key越权泄露 权限提升 开源软件安全 安全漏洞 漏洞修复 网络安全

    0x8c 黑客利用ClickFix部署新型SloppyRAT，以实现勒索软件的横向移动

    暗镜 2026-09-17T06:00:00 © ZM

    Example Image


    本文揭示了名为SloppyRAT的新型Windows远程访问木马，该恶意软件被用作勒索软件的横向移动工具。首次发现于2026年6月，SloppyRAT通过多阶段的ClickFix链传播，具备主机侦察、隐蔽命令执行、反向代理和弹性命令与控制机制。恶意软件不会立即释放可执行文件，而是通过旧版的Windowsfinger.exe实用程序从攻击者服务器检索批处理脚本，利用TCP端口79进行通信。脚本会将合法的Windowscurl.exe复制并重命名，使用IronPython从GitHub获取有效载荷，并继续执行链。后续活动包括从特定网址下载CastleLoader和CastleRAT组件，使用特定的User-Agent字符串。SloppyRAT具备广泛的功能，包括收集信息、枚举进程、下载文件、创建进程、运行WMI查询等，支持勒索软件的横向移动。文章中还提供了相关的IOC（指示性攻击特征）值，用于防御者识别和防御这种攻击。

    勒索软件 远程访问木马 横向移动 多阶段攻击 主机侦察 隐蔽命令执行 反向代理 命令与控制 Windows攻击 漏洞利用

    0x8d SAP 修复 CVSS 10.0 内核漏洞，该漏洞允许未经身份验证的远程代码执行

    犀牛安全 2026-09-17T00:00:00 Rhinoer

    Example Image


    SAP公司发布了一系列安全更新，以解决多个严重漏洞，其中最严重的是CVE-2026-44756，评分为CVSS 10.0，这是一个内存损坏漏洞，允许未经身份验证的远程代码执行。该漏洞存在于SAP内核对扩展护照（EPP）的处理中，攻击者可以利用它以SAP管理权限在SAP主机上运行任意命令。此外，SAP还修复了CVE-2026-58240，这是一个SAP NetWeaver消息服务器中的身份验证检查漏洞，评分为CVSS 9.8。其他修复的漏洞包括CVE-2026-76969和CVE-2026-66768，分别涉及凭证泄露和访问控制不当。SAP建议用户对所有系统进行清点，优先修复面向互联网的系统，并监控可能的漏洞利用尝试。

    SAP 漏洞 远程代码执行 CVSS评分 未经身份验证的攻击 内存损坏 SAP EPP SAP NetWeaver SAP S/4HANA SAP GUI 凭证泄露 横向移动 安全更新

    0x8e Windows BitLocker漏洞允许攻击者远程执行恶意代码

    犀牛安全 2026-09-17T00:00:00 Rhinoer

    Example Image


    微软近期披露了一个影响Windows BitLocker磁盘加密功能的严重安全漏洞（CVE-2026-69449），该漏洞可能导致攻击者在易受攻击的设备上远程执行恶意代码。这个基于堆的缓冲区溢出漏洞被评为“重要”，攻击者可能通过网络内部的任意端点利用此漏洞，从而扩大攻击范围。受影响的Windows版本包括Windows 10、Windows 11以及多个Windows Server版本。微软已发布累积安全更新来修复这一漏洞，IT管理员应优先部署这些更新以保护敏感数据。尽管漏洞利用的可能性较低，但微软强调了及时打补丁的重要性。该漏洞的发现归功于香港理工大学、华中科技大学等机构的安全研究人员，他们通过负责任的披露流程报告了这一漏洞。

    操作系统安全 磁盘加密 缓冲区溢出 远程执行代码 漏洞披露 补丁管理 网络安全事件 漏洞等级 漏洞利用可能性 受影响平台

    0x8f 信息收集

    ljnljn学习之路 2026-09-17T00:00:00 © ljnljn

    Example Image


    本文详细介绍了网络安全学习者在信息收集阶段常用的技术和工具。首先，文章阐述了搜索引擎的工作原理，包括网页抓取、预处理和查询服务三个主要部分，并介绍了常用的搜索引擎语法，如intitle、inurl、filetype、site等，用于精确搜索目标信息。其次，文章讲解了Whois查询和备案信息查询的重要性，通过这些方式可以获取域名的注册信息、所有者、注册商等关键数据，为后续的渗透测试提供支持。接着，文章介绍了使用Netcraft查询网站技术信息的方法，可以获取网站运行的服务器类型、Web服务器类型等信息。此外，文章还详细介绍了DNS信息收集的步骤，包括子域名查询、nslookup解析和dig解析，实现了从域名到IP的完整映射。最后，文章介绍了Shodan和FOFA两种网络空间测绘工具，分别从IP、端口、服务、资产等多个维度绘制目标画像，并对比了它们的异同点。文章强调了在信息收集过程中必须遵守法律和伦理边界，所有测试行为必须获得目标组织的明确授权，并遵循最小必要原则。

    0x90 CVE-2025-11395 Podman任意文件写入漏洞

    撅人 2026-09-17T00:00:00

    Example Image


    Red Hat于2026年9月16日发布安全公告，指出CVE-2025-11395漏洞存在于其容器引擎Podman中。该漏洞允许攻击者通过构造的tar归档文件，在执行podman load命令时向宿主机写入任意文件，严重等级评定为Medium。目前该漏洞暂无在野利用，且Red Hat尚未发布修复版本。漏洞利用需要攻击者能够向目标系统的podman load命令传入恶意tar归档文件，并具备执行podman命令的低权限。Red Hat建议用户仅从可信来源导入容器镜像，并限制podman命令的执行权限，同时关注后续安全公告以获取修复信息。受影响的产品包括Red Hat Enterprise Linux 8/9/10及其相关组件。

    容器安全 文件操作漏洞 路径遍历 供应链攻击 权限利用 CVSS评分 漏洞披露 缓解措施 Red Hat

    0x91 文件包含基础

    围巢安全笔记 2026-09-17T00:00:00 © 围巢安全笔记

    Example Image


    本文深入探讨了网络安全中的文件包含漏洞，一种常见的服务器端漏洞。文章首先介绍了文件包含的概念和PHP中的包含函数，包括include、require、include_once和require_once的区别。接着，详细阐述了本地文件包含（LFI）的原理和利用方法，通过路径跳转符号../来访问服务器上的文件。文章还介绍了如何利用文件包含漏洞读取敏感文件，如Windows系统的win.ini和Linux系统的passwd文件。此外，文章还讨论了图片马配合文件包含漏洞的攻击方式，以及如何利用这些漏洞获取服务器控制权。最后，文章提供了防止文件包含漏洞的一些防御策略，如白名单机制、禁止目录跳转、固定包含路径和open_basedir限制。

    文件包含漏洞 网络安全 Web安全 PHP安全 漏洞利用 防御措施 渗透测试 编程安全

    0x92 CVSS 10.0满分漏洞曝光：深入剖析GitLab路径遍历攻击链与防御实战

    紫禁玄科 2026-09-16T23:44:23 © 紫禁

    Example Image


    本文深入剖析了GitLab最新披露的CVSS 10.0满分路径遍历漏洞（CVE-2026-85706），该漏洞允许攻击者无需认证即可读取服务器上的任意文件，对GitLab CE和EE全系列版本构成严重威胁。文章详细介绍了漏洞的原理、攻击链分析以及防御实战。包括路径遍历攻击的原理、六种常见的绕过手法、GitLab漏洞攻击链的详细步骤、Python自动化检测脚本以及五层纵深防御方案。最后，文章强调了用户应采取的措施，包括升级到最新补丁版本和进行自查清单检查，以确保系统安全。

    GitLab漏洞 路径遍历攻击 CVSS评分 供应链安全 文件访问控制 漏洞利用 安全防御策略 代码审计 安全漏洞检测 网络安全最佳实践

    0x93 EDR检测体系与静态分析

    安全分析与研究 2026-09-16T22:00:00 © pandazhengzheng

    Example Image


    本文深入探讨了EDR（Endpoint Detection and Response，端点检测与响应）技术及其在网络安全中的应用。文章首先介绍了EDR的基本概念，区分了EDR与EPP（Endpoint Protection Platform，端点保护平台）的区别，并阐述了EDR的检测机制。接着，文章引入了“痛苦金字塔”概念，解释了不同检测指标对攻击者改变成本的影响，强调了EDR在检测高价值指标上的优势。文章进一步分析了理想化EDR模型，包括Shellcode Loader的工作原理和远程进程注入的变体。在“Bubbles Of Bane”部分，文章详细讨论了EDR的三大检测维度：文件扫描、内存扫描和遥测/行为分析，并解释了这些检测技术之间的相互制约关系。最后，文章探讨了AV签名扫描的触发机制和内存扫描器的示例，为读者提供了对EDR检测体系的全面了解。

    EDR 端点安全 恶意软件检测 签名扫描 静态分析 动态分析 网络安全防护 恶意软件规避 防御技术 安全分析

    0x94 众测 30 分钟挖到鸿蒙App高危上传漏洞 | 从 APP 一条异常图片请求，发现被忽略的外围攻击面

    Z2O安全攻防 2026-09-16T20:52:00 w4nk3r

    Example Image


    在本次众测中，安全测试者最初通过常规的Web资产探测未能发现突破口，于是转向分析鸿蒙APP流量。通过Yakit代理抓包，发现一条异常的图片请求直接访问裸IP地址。进一步追踪该IP，发现一台独立的外围服务器，其文件上传接口仅依赖文件后缀进行校验，存在绕过漏洞。测试者成功验证了该漏洞，但在核实资产边界后发现该服务器不属于众测授权的核心资产范围，因此停止了深入利用。文章复盘了完整的挖掘链路，探讨了APP流量分析在发现隐藏攻击面方面的价值，以及渗透测试中资产边界确认的重要性。强调了漏洞验证和漏洞利用的不同阶段，以及在授权范围内进行测试的必要性。文章最后提出了对APP流量分析的几点建议，包括先关注业务入口，再分析客户端流量，先确认资产归属，再判断影响，以及先证明问题真实存在，再考虑进一步利用。

    0x95 已复现 | Langflow post-auth RCE

    微步在线研究响应中心 2026-09-16T17:31:09 © 微步情报局

    Example Image


    Langflow，由IBM维护的开源低代码AI应用构建平台，近日被发现存在一个认证后的远程代码执行漏洞（CVE-2026-17633）。该漏洞源于自定义组件提交接口缺少对组件源码的内容安全检查，使得已认证用户能够提交任意Python组件代码。攻击者利用此漏洞可以在Langflow后端进程上下文中执行任意代码，并可能读取敏感凭据如LLM API key、数据库凭据或vector store token。微步情报局已成功复现该漏洞，并建议受影响用户尽快修复。官方已发布修复方案，同时提供了一些临时缓解措施，如禁用自定义组件或收紧账号权限。微步安全平台已支持检测和防护该漏洞。

    远程代码执行（RCE） 开源软件漏洞 低代码平台安全 Python组件注入 横向移动风险 漏洞利用与修复 微步情报局

    0x96 cPanel：LiteSpeed Web Server 企业版严重漏洞可导致提权

    代码卫士 2026-09-16T17:30:04 Swati Khandelwal

    Example Image


    cPanel发布安全公告，指出LiteSpeed Web Server企业版存在一个严重漏洞，可能导致低权限网站用户在共享托管服务器上获得root访问权限。该漏洞可能被用于访问或篡改其他网站及服务器本身。cPanel已敦促管理员更新至LiteSpeed于9月11日发布的6.3.7版本以修复此漏洞。然而，公告并未详细说明漏洞的运作机制，也没有CVE标识符或严重性评分。此外，公告也没有提供无法立即更新的服务器的应变方案或检查服务器是否已被攻击的指标。这是自今年5月以来发布的第三次cPanel服务器LiteSpeed软件漏洞报告，前两次漏洞均涉及用户端cPanel插件。

    Web服务器漏洞 权限提升 托管账户安全 cPanel安全 安全更新 安全公告 开源软件安全

    0x97 观安观鉴沙箱管理平台｜打造安全分析专属隔离执行底座

    观安信息 2026-09-16T17:30:00

    Example Image


    观安观鉴沙箱管理平台是一款基于Containerd容器隔离技术的安全分析工具，旨在为网络安全分析提供高效的隔离执行环境。平台支持远程调用、秒级创建、网络隔离和自动回收沙箱实例，预置了流量解析、文档问答、浏览器自动化等业务镜像，并提供通用执行镜像。平台支持从单机部署扩展到集群，同时兼容离线环境使用。核心功能包括统一管理沙箱、镜像模板和主机设备，支持多种语言的SDK调用，便于接入现有分析程序和Agent工作流。此外，平台还提供设备性能检测功能，帮助运维人员监控资源使用情况。观安观鉴沙箱管理平台旨在打造一个可复用的业务执行底座，支持沉淀镜像、调用任务、监控资源和回收环境，以提高安全分析和Agent任务的效率。

    沙箱技术 容器安全 流量分析 样本研判 AI安全 安全工具 安全运维 镜像管理 接口兼容性 资源监控

    0x98 ThinkPHP框架：2.x-8.x全版本必须知道的10个通用漏洞（附实战getshell案例）

    allby森林之家 2026-09-16T17:08:36 © 森林之家zbs

    Example Image


    本文详细介绍了ThinkPHP框架从2.x到8.x版本中存在的各种通用漏洞，并提供了相应的攻击方法和防御建议。文章首先概述了ThinkPHP的流行程度及其带来的安全风险，接着分别针对不同版本分析了多种漏洞类型，包括TP2.x的RCE漏洞（利用preg_replace的/e模式）、TP3.x的SQL注入和日志泄露问题、TP5的多个RCE漏洞（CVE-2018-20062和invokefunction）、TP5的SQL注入和敏感信息泄露、TP5的文件包含RCE、TP6的多语言文件包含RCE（CVE-2022-47945）和反序列化RCE（CVE-2022-38352）、TP8的反序列化RCE（CVE-2024-44902）。文章还提供了一个实战案例，展示了如何通过文件上传漏洞获取shell权限。最后总结了ThinkPHP各版本中存在的常见Web漏洞类型，并给出了一个针对ThinkPHP站点的攻击顺序：FOFA找目标 → 工具跑nday → 弱口令进后台 → 找上传点getshell。强调了本文仅供技术研究与学习交流使用，禁止用于非法用途。

    PHP框架 Web安全 漏洞分析 漏洞利用 渗透测试 ThinkPHP 安全研究

    0x99 搜狗输入法 Windows 版远程代码执行漏洞(CVE-2026-51990)

    云南启安科技 2026-09-16T17:06:14 云南启安

    Example Image


    本文详细介绍了搜狗输入法Windows版存在的一个远程代码执行漏洞（CVE-2026-51990）。该漏洞由自定义协议处理器（biz_helper.exe）未充分验证传入的命令行参数导致，攻击者可以通过构造恶意链接利用参数注入调用SGMyInput.exe的皮肤中心CEF WebView，进一步利用过时的Chromium引擎漏洞实现任意代码执行。成功利用此漏洞可能导致攻击者以当前用户权限完全控制系统，安装持久化后门、窃取数据、执行任意命令。该漏洞影响搜狗输入法Windows版低于16.3.0.3498的版本。官方已发布更新至16.3.0.3498或更高版本，建议用户及时更新以修补此漏洞。

    输入法漏洞 远程代码执行 CVE编号 恶意软件 软件更新 浏览器引擎漏洞 沙箱保护 同源策略

    0x9a 安全简讯（2026.09.16）

    启明星辰安全简讯 2026-09-16T16:36:22

    Example Image


    2026年9月16日的网络安全简讯中，报道了多起安全事件。思科安全邮件网关设备被发现存在一个严重零日漏洞（CVE-2026-76461），该漏洞允许攻击者以root权限执行任意命令。Telegram Desktop的HTML导出功能存在存储型跨站脚本漏洞，可能导致数据泄露。休斯顿公用事业公司CenterPoint Energy遭受数据泄露，749万客户信息被窃。恶意软件BambooToken利用MQTT协议攻击多国系统，收集主机信息。HBO Max官方账号被黑客入侵用于恶意广告攻击。美国网络安全和基础设施安全局（CISA）警告勒索团伙利用VMware vCenter的关键漏洞。

    零日漏洞 电子邮件安全 存储型XSS漏洞 数据泄露 恶意软件攻击 勒索软件 网络攻击 漏洞利用 跨站脚本攻击 系统安全

    0x9b 爱企查 + 8 个引擎联合查询：企业资产底裤级收集方案

    只会看监控的实习生 2026-09-16T16:00:00 © 菜狗

    Example Image


    本文介绍了一款名为AsamF的网络安全资产收集工具，该工具集成多个平台的数据源，包括Fofa、Hunter、Quake、Zoomeye、Shodan、爱企查、Chinaz、0.zone 及 subfinder，旨在帮助安全研究员快速进行企业资产测绘和信息收集。AsamF支持快速配置，并通过配置文件存储API Key，便于切换和使用。核心功能模块“爱企查”能够一站式收集企业信息，包括企业名反查、URL、主机、备案、控股关系、分支机构，以及关联的子域名、信息系统、泄露邮箱、人员信息、App资产、目录和代码。文章还介绍了如何通过AsamF进行单企业深度查询和批量企业URL/IP提取，以及如何使用联合查询功能进行跨平台检索。此外，文章还提到了其他工具，如Chinaz用于IP归属、ICP备案等信息的收集，以及如何配置多平台Key和验证Key有效性。最后，文章提醒用户遵守平台条款，并提供了项目的GitHub地址供用户参考。

    网络安全工具 企业资产收集 多平台数据源 信息收集 安全研究员 自动化工具 配置管理 数据归档 社区与交流

    0x9c 浏览器的\"信任\"被伪造：KREMLIN 攻破 Chrome 完整性校验，1500+ 巴西网银主机沦陷

    奇安信威胁情报中心 2026-09-16T15:58:53 © 威胁情报中心

    Example Image


    KREMLIN 是一种针对巴西银行用户的恶意软件行动，至少自 2025 年 5 月开始活跃，持续 15 个月，横跨七个攻击波次。该行动的核心武器是 KREMLIN 工具集，它能在 Chrome 和 Edge 中安装一个用户从未批准过的恶意扩展。攻击者通过伪造 Chromium 自身的完整性校验值（HMAC 与 App-Bound 加密哈希），让浏览器认为这次安装完全合法。此外，C2 配置写入以太坊智能合约充当“死信箱”，难以被拔除。截至分析时，已观测到 1,515 台受感染主机，其中 98.75% 位于巴西。KREMLIN 的感染链包括三个阶段：第一阶段是一个伪装成银行回单的 JavaScript 文件，用于加载多阶段加载器；第二阶段建立持久化并从以太坊智能合约中下载载荷；第三阶段是一个 C++ 安装器，用于安装恶意扩展并窃取浏览器数据。该行动展示了浏览器扩展成为银行木马核心战场的趋势，绕过了 Chrome 近两年为遏制窃密木马而筑起的最重要防线。

    0x9d Fortinet FortiWeb 8.0–8.0.1 未授权 RCE 利用链地下售卖事件

    李白你好 2026-09-16T14:51:32 © 李白

    Example Image


    本文报道了一起Fortinet FortiWeb 8.0–8.0.1产品中未授权远程代码执行（RCE）漏洞的地下售卖事件。黑客在地下论坛上发布售卖帖，声称提供针对该产品的“1-day”利用，通过利用两个CVE漏洞实现未授权RCE。这些漏洞已被公开，且公开的Metasploit模块已存在。售卖价格为760美元，仅接受门罗币支付。该漏洞链已被CISA列入已知被利用漏洞目录，攻击者可以通过该漏洞链篡改WAF策略、植入后门或作为跳板进入内网。文章分析了漏洞的利用流程和影响，并提供了检测与狩猎建议，包括版本核查、暴露面检查、日志与配置审计等。同时，文章强调了升级至最新版本和关闭公网管理接口的重要性，以降低风险。

    网络安全漏洞 FortiWeb 远程代码执行 地下市场 漏洞利用 漏洞修复 安全响应 Fortinet 威胁情报

    0x9e 【风险通告】微软9月安全更新补丁和多个高危漏洞风险提示（CVE-2026-85880）

    安恒信息CERT 2026-09-16T14:43:23

    Example Image


    微软发布了9月安全更新公告，包含了对多个微软产品的安全更新补丁，涉及Windows Win32k、Windows DNS、Windows Device Association Service、Windows Routing and Remote Access Service (RRAS)、Windows Audio Service、Windows File History Service等。公告中重点关注了多个严重漏洞，包括Windows Advanced Local Procedure Call (ALPC) 特权提升漏洞（CVE-2026-85880）、Windows Win32k特权提升漏洞（CVE-2026-68880和CVE-2026-69274）、Windows DNS特权提升漏洞（CVE-2026-69310）、Windows Routing and Remote Access Service (RRAS)远程代码执行漏洞（CVE-2026-69852）、Microsoft Entra ID特权提升漏洞（CVE-2026-62916）等。这些漏洞允许攻击者通过网络执行代码、提升权限或进行身份伪造等恶意操作。微软建议相关用户及时更新对应补丁以修复漏洞。对于补丁的获取，微软提供了自动更新和手动更新的方法，用户可以通过Windows Update进行更新。对于技术支持需求，用户可以联系微软的技术支持热线400-6059-110获取帮助。

    0x9f OpenAI智能代理集群牵涉GemStuffer攻击活动中3022个恶意RubyGems软件包

    安全圈的那点事儿 2026-09-16T14:23:34 © 网络安全9527

    Example Image


    本次网络安全事件涉及3022个与GemStuffer攻击活动相关的RubyGems软件包，研究人员怀疑这些恶意软件包由OpenAI智能代理集群生成。攻击者利用RubyGems平台，通过恶意软件包执行恶意代码，搜集数据，尝试窃取凭证，并开展网页攻击测试。恶意软件包滥用RubyDoc.info文档构建服务，植入攻击者编写的Ruby恶意文件。攻击者还尝试从RubyGems平台窃取API密钥，并利用这些密钥上传新的恶意软件包。RubyGems平台在5月临时关闭新用户账号注册功能以应对恶意软件包的涌入。此外，攻击者还在软件包的元数据中植入跨站脚本（XSS）载荷，针对软件包详情页面、管理控制台等下游服务。该事件揭示了RubyGems平台的安全漏洞，并引起了广泛关注。

    恶意软件攻击 智能代理滥用 RubyGems平台安全 代码执行载体 数据泄露 跨站脚本攻击 API密钥泄露 软件供应链攻击

    0xa0 五个 V8 漏洞里唯一的 Medium：Chrome 在野0Day CVE-2026-87491

    Ots安全 2026-09-16T13:04:54

    Example Image


    公开 exploit 在补丁发布两天后就出现在代码托管平台上，两个仓库都把 CVE-2026-87491 与五天前修补的 CVE-2026-85046 串成一条链。

    0xa1 【EDUSRC】某站点统一身份认证存在空密码登录，可接管下游系统管理员

    风信技术志 2026-09-16T11:50:22 © xde

    Example Image


    本文介绍了一个网络安全漏洞，某站点统一身份认证系统存在空密码登录漏洞，该漏洞允许攻击者使用空密码获取TGT票据，进而接管任意存在admin用户的下游系统。漏洞评级为高危，攻击者可以通过此漏洞获取下游系统管理员的权限。文章详细描述了漏洞的发现过程、漏洞利用的步骤以及相关的请求和响应数据。该漏洞已被修复，文章旨在通过案例分享提高网络安全学习者的技术交流与安全意识。

    身份认证漏洞 空密码攻击 系统接管 高危漏洞 逻辑缺陷 安全漏洞挖掘 统一身份认证安全

    0xa2 CTF密码学解题思路全攻略

    赛查查 2026-09-16T11:26:25 0xBADCODE

    Example Image


    CTF 密码学解题思路全攻略：从侦察到攻击的通用闭环框架

    密码学 (Cryptography) CTF 网络安全 (Network Security) 逆向工程 (Reverse Engineering) 实战技巧 (Practical Tips) 工具使用 (Tool Usage) 解题方法论 (Solving Methodology) 进阶方向 (Advanced Topics)

    0xa3 点开一个sgbiz链接就植入后门：搜狗输入法漏洞已被真实利用

    字节脉搏实验室 2026-09-16T11:25:38 © tcode

    Example Image


    本文报道了一起针对搜狗输入法的真实攻击事件。Windows版搜狗输入法存在一个编号为CVE-2026-51990的远程代码执行漏洞，攻击者利用该漏洞通过特制链接安装了GRAYRABBIT后门。攻击链利用了输入法处理外部链接、启动本地组件以及内置浏览器的安全配置缺陷。攻击者通过将恶意链接嵌入到合法的7-Zip程序中，诱使用户执行，从而在用户不知情的情况下安装后门。腾讯在2026年4月修复了该漏洞，但Gen Digital发现修复后的版本仍存在一些安全配置问题。文章详细分析了攻击过程、漏洞利用细节以及腾讯的修复措施，并提供了针对个人和企业用户的行动指南。

    输入法漏洞 远程代码执行 后门攻击 社会工程学 软件供应链攻击 浏览器安全 CVE编号 恶意软件分析 安全修复 网络安全事件

    0xa4 防火墙不是安全终点：PAN-OS未认证漏洞可拿到PA设备root权限

    字节脉搏实验室 2026-09-16T11:25:38 © tcode

    Example Image


    本文分析了Palo Alto Networks PAN-OS中的一个严重漏洞（CVE-2026-0310），该漏洞允许攻击者无需认证即可在PA-Series硬件防火墙上以root权限执行任意代码。漏洞源于XML处理过程中的越界写入，可能导致拒绝服务或代码执行。PAN-OS多个版本受影响，包括VM-Series虚拟防火墙。文章强调了管理平面暴露的风险，并指出修复不能仅依赖于主版本号，需要按分支升级到确切的安全版本。此外，文章还提供了行动清单，包括盘点暴露、核对修复版本、安排维护窗口和排查异常等步骤，以确保网络安全。

    漏洞披露 防火墙安全 XML处理漏洞 拒绝服务攻击 任意代码执行 网络安全防护 PAN-OS 版本升级 管理平面安全 漏洞利用

    0xa5 Marimo 漏洞把云凭据交到攻击者手里：从笔记本到堡垒机只需几秒

    汇能云安全 2026-09-16T10:02:28

    Example Image


    本文报道了近期一系列网络安全事件和漏洞。其中包括Cisco Secure Email Gateway的SQL注入漏洞CVE-2026-76461，该漏洞可能导致邮件数据、账号信息泄露；Marimo平台的未认证远程代码执行漏洞CVE-2026-39987，允许攻击者窃取AWS凭据并快速登录SSH堡垒主机；Gitea代码平台的高危漏洞CVE-2026-60004，可能导致源代码窃取和凭据收集；LiteSpeed Web Server的低权限用户root权限漏洞，可能影响共享主机上的多个网站；WordPress WooCommerce插件的漏洞CVE-2026-27540，允许攻击者无需登录即可接管网站；Telegram桌面版的HTML导出漏洞，可能导致数据窃取；日本数字厅平台的数据泄露事件；CISA与NIST发布身份令牌安全清单；CISA总结Active Directory的入侵手法；苹果发布安全更新修复273个漏洞。文章强调了网络安全的重要性，并提醒企业及时更新和修复漏洞，加强安全防护。

    SQL注入 云安全 远程代码执行 邮件安全 数据泄露 VPN安全 身份令牌安全 域控安全 软件漏洞 补丁管理 攻击路径 供应链安全 移动安全

    0xa6 梭哈之自动化渗透脚本

    安全无界 2026-09-16T10:00:00 © pippybear

    Example Image


    本文介绍了一个名为“梭哈之自动化渗透脚本”的工具，该工具旨在自动化进行网络安全测试，特别是在Hackerone平台上的漏洞挖掘。文章首先声明了使用该脚本进行非法测试的责任归属，并简要回顾了作者之前尝试自动化漏洞挖掘的失败经历。接着，作者介绍了脚本的最新版本，该版本主要针对登录系统进行测试，特别是那些不提供账号密码的系统。文章详细描述了脚本的工作原理，包括如何处理存在和不存在表单的登录场景，以及如何应对带验证码和下拉框的登录界面。此外，还介绍了脚本如何通过hook技术获取API请求，以及如何使用OCR识别验证码。最后，文章提供了一个运行效果的示例，展示了脚本如何自动完成登录过程并进行安全测试。

    自动化渗透测试 网络安全脚本 登录接口安全测试 漏洞挖掘 验证码识别 Playwright框架 JavaScript Hook OCR技术 响应式网页设计 安全测试策略

    0xa7 安卓逆向 -- AI跑通unidbg调用sgmain生成某ckey参数

    逆向有你 2026-09-16T09:33:40 albao

    Example Image


    本文主要探讨了如何利用Unidbg模拟器和大模型（如Gemini）协助完成安卓逆向中的CKey生成过程。作者首先介绍了自己的安卓逆向学习背景，并提到在尝试生成encryptR_client的CKey时遇到的卡点。随后，文章详细描述了使用Unidbg搭建模拟环境的过程，包括Frida Hook、补环境参数、以及如何处理初始化流程和常见的环境监测问题。作者强调了在补环境过程中，对于不常见或不确定的参数，可以利用Frida Hook获取真机环境数据，再辅助大模型完成模拟。文章还提到了一些具体的补环境步骤，如处理文件访问请求、系统调用、JNI调用等，并分享了如何通过大模型解决特定问题，例如处理ArtMethod结构体检查和svc number问题。最后，作者总结了使用大模型完成逆向工程的突破，并表达了继续探索的决心。整个过程展示了大模型在安卓逆向领域的辅助能力，为逆向学习者提供了实用的参考和指导。

    0xa8 已复现 | 搜狗输入法“1点击”远程代码执行漏洞（视频）

    白帽子安全笔记2.0 2026-09-15T21:14:41 © 陆安予

    Example Image


    本文揭露了搜狗输入法中的一个严重远程代码执行漏洞（CVE-2026-51990），该漏洞存在于V16.3.0.3498以下版本。美国网络安全公司Gen Digital在2026年4月首次披露此漏洞，而作者在两天内成功复现。该漏洞利用了搜狗输入法内置的基于Chromium 80版本的浏览器，通过禁用的沙箱和已知的V8漏洞，攻击者可以诱导用户点击特定链接，从而在浏览器中执行远程代码。尽管腾讯已经修复了此漏洞，但鉴于该漏洞已在野利用，作者提醒用户检查版本并确保自动更新。文章还强调了该研究仅限合法授权的安全研究和渗透测试，并附有免责声明和引用链接。

    输入法漏洞 远程代码执行 CVE编号 沙箱逃逸 Chromium漏洞 安全研究 渗透测试 软件更新 网络安全法

    0xa9 采购文件暗藏杀机——PureRAT木马针对电商定向窃密

    火绒安全 2026-09-15T16:13:35 © 火绒安全

    Example Image


    近日，火绒安全实验室发现针对电商行业的恶意网络攻击活动，攻击者伪装成合作客户，通过站外社交、私聊、邮件等渠道传播恶意hta脚本文件。该文件伪装成正规采购资料，诱导电商运营人员解压打开，触发恶意程序运行。程序在后台静默运行，释放并启动多层恶意加载器，最终在系统内存中落地运行PureRAT远程控制木马，实现对受害终端的长期控制和数据窃取。攻击流程包括hta文件隐藏窗口、释放加密文件、加载器复制到指定目录并间接启动、修改AmsiScanBuffer阻止扫描、内存加载Loader、解密并运行PureRAT。PureRAT通过TLS通道与控制端通信，使用protobuf交换消息，功能包括主机信息收集、安全软件探测、浏览器及加密货币钱包数据窃取、屏幕截图、摄像头探测、计划任务持久化，并可加载.NET工具模块。火绒安全产品已实现对该行为的拦截与查杀。攻击者利用电商商家商务沟通频繁的特点，发送伪装文件，威胁电商经营终端数据安全和数字资产安全。火绒安全提醒用户警惕此类钓鱼攻击，不要直接打开陌生文件，对压缩包内容保持警惕，避免保存敏感信息，及时更新安全软件并进行查杀。

    钓鱼攻击 恶意软件 hta攻击 PureRAT 数据窃取 持久化 反Amsi 内存加载 TLS通信 社交工程

    0xaa URL解析差异的WCD利用：缓存键原语、PII泄露与缓存投毒

    迷人安全 2026-09-15T14:29:18 © 迷人安全

    Example Image


    本文深入分析了基于URL解析差异的Web Cache Deception（WCD）漏洞。该漏洞源于缓存层与源站应用对同一URL的解析和规范化结果不一致，导致攻击者能够构造特定URL，使缓存层将其判定为静态资源，而源站仍按动态接口处理，从而泄露PII信息。文章详细解析了漏洞的利用原语、攻击链和防护方案，包括通过URL编码后缀构造缓存键原语、缓存投毒与漏洞链的危害，以及测试方法论和防护建议。文章强调，现代Web应用的测试应覆盖请求经过的全部解析与规范化处理层，并建议采用路径白名单、统一URL规范化逻辑、显式禁止缓存认证态接口等措施来防护此类漏洞。

    Web缓存欺骗 URL解析差异 个人信息泄露 缓存投毒 安全测试 安全防护 漏洞分析

    0xab 【2026hvv】搜狗一键RCE漏洞之三个\"各自不算致命\"的缺陷如何变成 Critical，文章详谈~【附验证exp】

    网络安全007 2026-09-15T11:41:32 FL_Clover

    Example Image


    2026年4月，Gen Digital 威胁实验室发现 UNC3569 间谍组织利用搜狗输入法中的 CVE-2026-51990 漏洞进行攻击。该漏洞由三个缺陷组合而成：自定义 URI 协议参数注入、内嵌浏览器页面可被劫持、以及过时且未启用沙箱保护的 Chromium 内核。攻击者诱导用户点击特制链接，即可在受害者机器上以当前用户权限执行任意代码。UNC3569 已在真实攻击中利用该漏洞投放 GRAYRABBIT 后门，目标为东亚及东南亚地区的政府、教育、科技与金融机构。腾讯安全在收到报告后仅12天即发布修复版本（16.3.0.3498）。漏洞影响范围广泛，搜狗输入法国内月活用户超数亿。攻击链利用了多个环节的缺陷，最终通过 V8 类型混淆漏洞（CVE-2021-38003）获得系统级代码执行。UNC3569 的实战攻击展示了多种防御规避技巧，如下载器内联化、侧载宿主选择、反沙箱逻辑、执行方式选择、自删除技术和 C2 协议特征。建议用户立即升级至修复版本，并采取相应的终端检测与排查措施。

    0xac 普通用户能拿到管理员密钥：JumpServer 过滤漏洞已公开 PoC

    字节脉搏实验室 2026-09-15T11:32:06 © tcode

    Example Image


    JumpServer堡垒机近日公开了一个高危安全漏洞，该漏洞允许普通用户在特定API列表查询中读取到不属于他们的AccessKey记录，甚至可能包含其他用户或内部组件的Secret。该漏洞评级为High，CVSS 3.1评分为8.8，影响版本包括>=3.7.0, <3.10.23-lts和>=4.0.0, <4.10.19-lts。漏洞的产生是由于JumpServer的通用API列表过滤组件在特定查询条件下，会反向处理整个查询集条件，以及序列化器选择受到客户端查询参数影响，导致多返回一些正常列表不该出现的字段。尽管目前尚未发现漏洞在野利用，但企业应立即检查是否使用受影响版本，并升级到修复版本。此外，应执行密钥轮换和审计，以确保敏感数据的安全。

    JumpServer 漏洞 堡垒机安全 API 过滤漏洞 权限提升 安全公告 漏洞修复 网络安全 企业安全

    0xad 赛博安全狗：黑客利用腾讯应用漏洞部署 GrayRabbi / Cisco补丁 (9月15日)

    赛博看门狗 2026-09-15T10:56:04 赛博安全狗

    Example Image


    本文报道了网络安全领域的最新动态，包括全球勒索软件攻击、关键漏洞利用、数据泄露事件以及焦点漏洞与攻击预警。8月份全球勒索软件攻击数量创下历史新高，达到997起。VMware vCenter的关键漏洞CVE-2026-59310被勒索软件利用，而一款针对Android的勒索软件不仅加密文件，还实时传输受害者屏幕画面。俄罗斯国家背景组织利用AI自动重构恶意软件以规避查杀。数据泄露方面，日本数字厅发现VPN漏洞导致24.6万条记录泄露，Microsoft账户被钓鱼劫持，Revolut用户信息泄露。在漏洞与攻击预警部分，黑客利用腾讯应用漏洞部署GrayRabbi后门，Cisco Secure Email及Secure Email and Web Manager存在关键路径遍历漏洞，MeshCentral后门被用于获取根权限，JFrog Artifactory的多个漏洞被利用部署后门，Anyquery存在服务器端请求伪造漏洞。

    勒索软件攻击 漏洞利用 数据泄露 恶意软件 网络攻击 安全漏洞 网络安全事件

    0xae WooCommerce批发潜客捕获插件漏洞遭在野利用

    sec随谈 2026-09-15T09:45:52 sec随谈

    Example Image


    本文报道了一起针对WooCommerce批发潜客捕获插件的在野利用活动。该插件存在一个严重漏洞，使得未经身份验证的远程攻击者能够上传任意PHP脚本，从而夺取服务器控制权。受影响的WordPress网站数量估计超过6000个，这对依赖该插件的B2B商家构成了严重威胁。攻击者可能访问私人客户记录和财务数据，甚至注入支付窃取程序或劫持管理员权限。Wordfence报告称已拦截超过10万次针对该漏洞的利用尝试。漏洞源于文件上传过程中缺少服务端输入验证，攻击者可以通过伪造参数绕过文件类型限制。开发团队已发布2.0.3.2版本修复了该问题，管理员应立即更新插件以保护其网站。同时，建议管理员检查网站目录和访问日志，以发现可能的恶意活动。

    漏洞利用 WooCommerce插件安全 WordPress安全 文件上传漏洞 远程攻击 服务器安全 商业影响 应急响应

    0xaf DeepSeek-DSH红队模式 - 覆盖渗透测试、红队评估、代码审计、免杀对抗等

    HACK之道 2026-09-15T09:26:21 SeaOf0

    Example Image


    0xb0 银狐投毒云调度进化：被识破的假官网改发微信安装包，黑名单机制上线

    AI和提效工具实验记 2026-09-15T09:20:09 © 安全情报官

    Example Image


    银狐投毒云调度完成第四次进化，从无条件返回到白名单限制，再到被安全侧批量探测摸清规律后，于9月12日凌晨切换为云端黑名单机制。仿冒目标持续向泛互联网生态扩散，Netlab公开了12+仿冒域名、13个中转节点等完整IOC底账。微步IoC总量刷新至7010，热点域名baidu787.com编号子域族成片出现，腾讯云COS香港区桶首次进入热点榜。Derp数据质量规律第四次验证兑现，美国C2首次登顶。银狐云端调度升级的黑名单机制，具备反侦察能力，对防御方造成挑战。技术分析表明，攻击链具备服务端决策权、反探测自适应和容灾工程化等特点。终端侧新 hunting 点包括伪Python安装目录藏.py脚本载荷、OneDrive缓存目录借壳等。建议网络侧封禁域名族优先于IP，终端侧进行浏览器取证、目录名正则检测等。

    0xb1 高危预警｜CVE-2026-51990 搜狗输入法RCE漏洞！可植入灰兔后门，已被APT野利用

    维度攻防 2026-09-15T09:18:13 © 维度攻防

    Example Image


    本文报道了搜狗输入法存在的一个高危远程代码执行（RCE）漏洞，漏洞编号为CVE-2026-51990。该漏洞允许攻击者通过构造恶意链接来远程执行代码，并在受害主机上植入灰兔（GrayRabbit）模块化后门，从而完全控制设备。这一漏洞已被APT组织UNC3569公开在野利用，对政企、金融、科研、教育单位构成严重威胁。漏洞的核心原因在于搜狗输入法自定义协议sgbiz://的安全校验缺失，以及内置老旧Chromium内核的沙箱防护失效。文章详细分析了漏洞原理、受影响范围、自查与修复方案，并强调了终端安全的重要性，建议企业升级输入法版本、加强安全教育和终端行为监测。

    远程代码执行漏洞 搜狗输入法漏洞 APT攻击 灰兔后门 高危预警 安全漏洞修复 终端安全 企业安全 安全意识教育

    0xb2 Web安全测试的终极利器：Burp Suite核心模块与插件开发实战

    运维安全入门 2026-09-15T09:00:00 © 不懂安全的运维

    Example Image


    本文深入探讨了Burp Suite在Web应用安全测试中的核心作用，将其定位为该领域的行业标准工具。文章首先详细解析了Burp Suite的核心模块，包括代理拦截（Proxy）和自动化爆破（Intruder），并介绍了它们的高级用法。接着，文章转向API安全测试，展示了如何使用Burp Suite测试现代Web应用的RESTful API和GraphQL。此外，文章还介绍了Burp的BApp Store和插件开发，包括如何使用Java或Python编写自定义扩展。最后，文章从蓝队视角提供了防御Burp探测的策略，包括检测Burp流量、防御Intruder爆破以及加固策略。全文强调了工具和技术的合法使用，并提醒读者不要用于未授权的非法攻击行为。

    网络安全工具 Web安全测试 渗透测试 漏洞挖掘 API安全 插件开发 防御策略 安全运维

    0xb3 搜狗输入法曝一键 RCE 漏洞（CVE-2026-51990），已被在野利用投放后门

    随笔漫记安全路 2026-09-15T08:39:21 零日手记

    Example Image


    本文报道了腾讯搜狗输入法Windows版存在的一处一键式远程代码执行（RCE）漏洞，编号CVE-2026-51990。该漏洞允许攻击者在受害者点击特定链接后，无需受害者察觉即执行恶意代码。攻击者已利用此漏洞在野投放GRAYRABBIT后门程序，实现远程控制。漏洞涉及搜狗输入法中的自定义协议处理器和过时的Chromium引擎。官方已在16.3.0.3498版本中修复了该漏洞，用户应立即升级。文章详细分析了攻击链，包括利用自定义协议处理器、过时嵌入式浏览器、DLL侧加载等技术。同时，提供了应急处置和整改建议，包括升级软件、保持软件更新、企业资产盘点和网络监测等。

    软件漏洞 远程代码执行 后门攻击 自定义协议漏洞 内嵌浏览器安全 DLL侧加载攻击 C2通信 应急响应 安全意识

    0xb4 iOS 27 发布当日即遭破解：AirLift 配对越狱 PoC 深度技术分析

    黑白之道 2026-09-15T08:34:00 © Red Hunter

    Example Image


    本文深入分析了iOS 27发布当日即遭破解的事件。安全研究员@0xjohnny公开了名为AirLift的沙箱逃逸概念验证工具，该工具利用苹果的AirTraffic媒体同步服务，通过已配对的Mac设备，无需安装应用即可读写iOS沙箱外的敏感目录。文章详细剖析了攻击链路，揭示了沙箱闸门的路径验证缺陷，并介绍了PoC工具的工作原理。文章还讨论了该漏洞的影响范围和缓解措施，强调了对企业安全团队的重要性，并提出了对MDM策略和沙箱闸门的审计建议。

    iOS安全漏洞 越狱技术 沙箱逃逸 Apple产品安全 安全研究 恶意利用预防 企业安全 红队/蓝队

    0xb5 GitLab CVE-2026-85706路径遍历漏洞：无认证任意文件读取

    黑白之道 2026-09-15T08:34:00 © Blake Chen

    Example Image


    本文详细分析了GitLab于2026年9月10日修复的CVE-2026-85706路径遍历漏洞。该漏洞允许攻击者无需认证，通过单次HTTP请求读取服务器上的任意文件，影响范围涵盖多个GitLab版本。漏洞的核心问题在于路径限制不严和认证校验缺失，导致攻击者能够读取配置文件、SSH私钥、数据库配置等重要信息。该漏洞在披露后不到24小时内便被野外利用，GitLab官方迅速发布补丁。文章从漏洞概览、技术分析、野外利用、蓝队检测与响应以及长期防御与修复建议等方面进行了深入探讨，强调了及时补丁和加强日志监控的重要性。

    GitLab 漏洞 路径遍历漏洞 任意文件读取 无认证访问 CVE编号 CVSS评分 安全响应 供应链安全 自托管实例安全

    0xb6 漏洞复现｜中药煎药查询系统IndexNew存在SQL注入漏洞

    Poc复现 2026-09-15T08:33:38

    Example Image


    本文详细介绍了中药煎药查询系统IndexNew存在的一个SQL注入漏洞。该漏洞可能影响所有版本的系统，并且提供了一个漏洞复现的Poc（Proof of Concept）示例。文章中强调了使用这些信息进行非法测试活动的风险，并提醒读者所有后果由读者自行承担。文章还提供了使用Nuclei工具进行漏洞自查的命令示例，并建议用户联系厂商打补丁或升级版本，同时增加Web应用防火墙防护。此外，文章还提到了如何获取poc以及如何加入相关圈子以获取更多信息。

    SQL注入 Web应用安全 漏洞复现 漏洞分析 安全研究 安全工具 安全意识

    0xb7 【热点安全风险】9月15日 | ConnectWise ScreenConnect 提权漏洞遭在野利用，攻击者可接管企业终端运维通道（CVE-2026-84869）

    华顺信安威胁情报中心 2026-09-15T07:30:00

    Example Image


    本文详细分析了近期网络安全领域的一系列热点风险事件。其中包括ConnectWise ScreenConnect远程监控与管理工具的提权与未授权漏洞，该漏洞已被在野利用，可能导致攻击者接管企业终端运维通道。此外，运营商的挂失封禁机制存在六处缺陷，攻击者可远程切断陌生设备联网。跨平台开源备份工具Kopia存在未认证请求注入SSH命令的漏洞，可能成为远程代码执行的入口。云安全平台Prowler的SAML域名声明缺陷可能导致跨租户账户接管。漏洞赏金平台HackerOne全面实施强制身份验证，白帽匿名赏金时代走向终结。Laravel Shopper电商后台插件修复一批越权漏洞。文章提出了针对这些风险事件的应对建议，包括升级软件、加强安全配置、实施身份核验和数据保护措施等。

    漏洞利用 远程访问 身份验证 数据备份 云安全 物联网安全 电商安全 安全工具 安全响应

    0xb8 dddd-Next 自动化资产测绘 + 漏洞扫描工具，覆盖指纹识别、弱口令、nuclei POC、Shiro 专项检测和 HTML 报告

    夜组安全 2026-09-15T07:30:00 galact-byte

    Example Image


    文章介绍了名为dddd-next的网络安全自动化资产测绘和漏洞扫描工具。该工具是对原dddd项目的现代化重写，保留了ddd的设计哲学，并采用了现代Go标准结构重构。工具支持指纹识别、弱口令检测、nuclei POC、Shiro专项检测等功能，并提供HTML报告。它能够自动分类输入、进行主动和被动指纹识别，支持子域名枚举、自定义端口扫描、ICMP存活探测、CDN/WAF识别等。此外，它还具备指纹到POC的智能映射、Nuclei v3漏洞扫描、弱口令爆破、漏洞探测等功能。文章还提到了工具的获取方式、真实环境下的回归测试以及与原项目的差异。

    自动化工具 网络安全 漏洞扫描 资产测绘 Go语言开发 漏洞利用 报告生成 社区工具

    0xb9 Avast 防病毒软件零日漏洞利用概念验证允许攻击者导出 SAM 数据库并获得 SYSTEM Shell

    暗镜 2026-09-15T07:00:00 © ZM

    Example Image


    本文报道了Avast antivirus软件中的一个零日漏洞，该漏洞允许攻击者利用Sandbox组件的缺陷，通过本地执行权限获取对SAM数据库的访问权限，进而获得完整的SYSTEM级别命令shell。这个漏洞可能被用于绕过终端安全产品，使得原本旨在保护操作系统的防病毒软件变成了控制本地系统的潜在途径。漏洞的概念验证程序已托管在GitHub上，且已证实与特定版本的Avast和Windows 11兼容。SAM数据库包含敏感的本地帐户凭据，因此获取其访问权限可能导致离线密码破解、凭据窃取和横向移动。目前，GitHub项目尚未提供正式版本、CVE编号、厂商公告、受影响版本信息或补丁详情。此外，该漏洞可能影响GenDigital的其他安全产品，如AVG和Norton。漏洞的公开概念验证程序可能降低了对拥有本地Windows终端访问权限的攻击者的防御难度。攻击者需要本地执行权限，这可能通过多种方式获得。

    漏洞分析 漏洞利用 防病毒软件 本地权限提升 SAM数据库泄露 密码安全 横向移动 GitHub泄露 CWE-287

    0xba 安全工具丨一个轻量 C2 框架覆盖「生成载荷 → 会话管理 → 任务执行」的完整链路。红队演练、渗透测试开箱即用。

    蓝星安全 2026-09-15T06:00:00 © 蓝星安全

    Example Image


    ToShell是一个轻量级的C2（命令与控制）框架，专为授权的红队演练、渗透测试和安全研究设计。该框架提供从生成载荷到会话管理和任务执行的完整链路。它由服务端、Web控制台和多平台植入端组成，支持Windows、Linux和macOS操作系统，并提供多种载荷格式。ToShell具有多通道回连、跨平台支持、全功能会话操作、组网与隧道功能，以及AI副驾驶和自主Agent等特色功能。AI副驾驶提供联网搜索、远程下载工具和权限审批，而自主Agent能够自主执行任务，包括提权和横向移动。此外，ToShell还具备免杀和隐蔽设计，以对抗检测机制。该框架旨在为安全专家提供一个强大的工具，用于模拟和执行复杂的网络攻击场景。

    C2框架 红队工具 渗透测试 会话管理 任务执行 多平台支持 免杀技术 隐蔽通信 AI辅助

    0xbb (9.9分) CVE-2026-90605：Totolink路由器formFilter缓冲区溢出

    红队安全圈 2026-09-14T20:00:00 红队安全圈

    Example Image


    本文详细分析了CVE-2026-90605漏洞，该漏洞影响Totolink A3002MU路由器的boa Web服务。漏洞源于formFilter函数对ip6addr参数缺乏长度校验，导致缓冲区溢出，CVSS评分高达9.9。攻击者只需低权限认证即可远程触发该漏洞。文章介绍了漏洞的成因、影响范围、利用分析以及检测与排查方法。同时，提供了修复建议，包括关注固件更新、加强管理口安全、更换弱口令等。此外，文章还从红队视角分析了该漏洞的利用价值和防御建议。

    路由器漏洞 缓冲区溢出 固件安全 网络设备安全 IoT安全 漏洞利用 安全检测 安全修复 红队安全

    0xbc 渗透测试框架之王：Metasploit模块化艺术与高阶Payload生成

    运维安全入门 2026-09-14T19:45:32 © 不懂安全的运维

    Example Image


    本文深入探讨了Metasploit Framework（MSF）在渗透测试领域的重要性。Metasploit以其模块化设计和强大的功能，成为渗透测试框架的佼佼者。文章首先介绍了MSF的核心架构，包括其模块化设计、基于Ruby的简洁语法和面向对象特性，以及后渗透功能。接着，文章详细介绍了msfvenom工具，用于生成和编码Payload，并提供了生成反向Shell的示例。此外，文章还涵盖了自定义模块的开发基础，以一个HTTP服务探测模块的示例进行说明。最后，文章从蓝队的角度出发，讨论了如何检测MSF攻击，包括检测Meterpreter通信和msfvenom生成物，并提出了防御加固策略。

    渗透测试 Metasploit 安全研究 漏洞利用 编码艺术 自定义模块 后渗透 防御策略 安全运维

    0xbd 已复现 | 搜狗输入法 1-click RCE

    微步在线研究响应中心 2026-09-14T17:04:29 © 微步情报局

    Example Image


    近日，搜狗输入法被发现存在一个远程代码执行漏洞（CVE-2026-51990），该漏洞由自定义协议处理缺陷触发。攻击者可以通过构造恶意的sgbiz:链接注入启动参数，诱使内置浏览器访问恶意网页，进而执行任意代码。这一漏洞已被证实可以通过诱导受害者点击一次恶意链接来执行任意代码，并且已经被用于投放GRAYRABBIT后门。受影响的产品是搜狗拼音输入法，版本低于16.3.0.3498。微步情报局已经成功复现了该漏洞，并提供了详细的漏洞情报和修复方案。官方已发布新版本，建议用户尽快更新以修复该漏洞。

    远程代码执行（RCE） 软件漏洞 输入法安全 Windows安全 恶意软件传播 用户教育 漏洞响应

    0xbe 一键绕过CDN获取真实IP

    马哥网络安全 2026-09-14T17:00:00 点击关注👉

    Example Image


    本文介绍了一种名为FUCK-CDN的自动化工具，用于绕过CDN获取真实IP。该工具由Claude Code打造，能够通过40多种OSINT方法自动分析目标域名，构建证据链，并输出最终判定。FUCK-CDN能够识别多种CDN服务，包括Cloudflare、腾讯EdgeOne、阿里云、AWS CloudFront等，并按优先级从低到高尝试不同的方法来绕过CDN。工具的优先级方法包括SPF/MX/TXT记录泄露、IPv6直连、历史DNS回溯、SSL证书序列号比对、子域名枚举、HTTP行为差异分析等。找到候选IP后，工具会进行三重交叉验证，包括SSL证书比对、HTTP行为对比和IP反查，以提供置信度评级。文章还提供了工具的安装方式、API Key配置、支持的平台和Key格式、免费额度以及用途等信息。

    CDN绕过 网络安全工具 IP溯源 OSINT 自动化工具 SSL证书分析 DNS分析 HTTP行为分析 安全漏洞利用 网络安全研究

    0xbf 安全简讯（2026.09.14）

    启明星辰安全简讯 2026-09-14T16:44:23

    Example Image


    本文报道了2026年9月14日前发生的几起网络安全事件。首先，LiteLLM服务器暴露，大量服务器接受默认密码或无需身份验证，导致敏感信息泄露和基础设施被劫持。Revolut因收到伪造政府请求而泄露客户数据，事件未涉及技术漏洞。佛罗里达州车管局确认驾驶员数据库遭泄露，攻击者使用了被盗凭证。JFrog Artifactory曝严重漏洞，攻击者利用漏洞部署Rust后门。GitLab曝最高危漏洞，用户被敦促立即修补。Cl0p团伙声称入侵哈雷戴维森，窃取270GB数据。这些事件反映了网络安全形势的严峻性，提醒企业和个人加强安全防护。

    服务器安全 数据泄露 数据库安全 供应链攻击 漏洞利用 身份验证漏洞 路径遍历漏洞 勒索软件 电子邮件欺诈 云安全

    0xc0 Casbaneiro银行木马：利用分布式C2服务器规避检测，针对银行用户发起攻击

    安全圈的那点事儿 2026-09-14T15:41:59 © 网络安全9527

    Example Image


    Casbaneiro银行木马是一种针对拉美地区银行用户的恶意软件攻击工具。该木马通过发送带有恶意PDF文件的钓鱼邮件进行传播，邮件内容伪装成伪造的发票或法律通告，以提高邮件的可信度。攻击者利用地理围栏技术，将非目标国家IP的访问者重定向到无害网站，而目标区域的用户则会下载包含恶意软件的ZIP压缩包。恶意软件会检测沙箱环境和操作系统语言，仅在满足条件时执行。它能够在受感染系统上创建伪装的Windows服务窗口，并注入恶意载荷到系统进程中。Casbaneiro还具有键盘控制、剪贴板篡改等高级功能，能够模仿银行界面以欺骗用户输入敏感信息。攻击者会将窃取的数据发送到多个服务器，并通过异常的HTTP请求来隐藏其活动，增加了安全分析的难度。

    银行木马攻击 钓鱼邮件攻击 社会工程学 恶意软件技术 C2通信 地区针对性攻击 数据窃取 加密货币攻击 沙箱逃避技术 网络流量分析困难

    0xc1 AsyncRAT恶意软件滥用AutoIt与PowerShell，藏匿于合法Windows进程内

    安全圈的那点事儿 2026-09-14T15:39:01 © 网络安全9527

    Example Image


    本文详细分析了AsyncRAT恶意软件的攻击手段和隐蔽技术。该恶意软件通过钓鱼文件“右键打开发票详情.bat”进行传播，利用PowerShell和AutoIt技术隐藏在合法Windows进程中。攻击者通过Base64编码和XOR算法绕过静态特征检测，实现恶意代码的隐蔽执行。恶意软件在系统启动文件夹中生成批处理脚本，以实现持久化驻留。它利用AutoIt程序作为执行载体，将恶意逻辑隐藏在脚本中。通过远程线程注入技术，恶意软件注入到charmap.exe进程中，并通过该进程进行网络通信和数据窃取。此外，恶意软件还可能修改.NET运行环境和AMSI防护功能，进一步增强其隐蔽性。

    恶意软件分析 攻击技术 持久化机制 Windows系统安全 防御策略 远控木马 脚本语言攻击 内存注入

    0xc2 搞网络安全连IP都搞不懂？IP、子网掩码、网关、DNS，一篇全搞定

    小新聊攻防 2026-09-14T14:43:01 小新聊攻防

    Example Image


    本文深入浅出地讲解了网络安全学习中常见的网络基础概念，包括IP地址、子网掩码、网关和DNS。文章首先解释了IP地址作为设备门牌号的作用，并详细介绍了私有地址的范围。接着，文章阐述了子网掩码如何划分网络位和主机位，以及如何通过按位与运算计算网络地址和广播地址。网关作为不同网络通信的出入口，其配置要点也在文中进行了说明。DNS作为互联网的电话簿，其解析流程和记录类型也进行了详细讲解。文章还对比了同网段和跨网段通信的数据包走向，并介绍了完整通信流程和故障排查方法。最后，强调了网络基础对于网络安全工作的重要性，并提供了一些学习资源。

    网络安全基础 IP地址 子网掩码 网关 DNS解析 网络通信 故障排查 渗透测试 网络攻击

    0xc3 装了Foxit（福昕阅读器）的机器要看一眼： CVE-2026-57239 提权链解析

    Ots安全 2026-09-14T13:09:58

    Example Image


    Foxit PDF Reader 和 Editor 在 2026 年 7 月发布了安全更新，修复了多个解析 PDF 时的内存破坏问题，其中 CVE-2026-57239 是一个独特的本地提权漏洞。该漏洞不涉及内存破坏，而是利用了两个用户可写的位置和一个硬编码密钥加密的指令。漏洞的攻击链终点是 NT AUTHORITY\SYSTEM 的完整令牌，全程只使用了两个文件写入动作。攻击者需要先在目标主机上取得低权限代码执行能力，然后通过写入加密指令触发更新器弹出一个组件下载对话框，用户点击链接后，恶意模块被加载并执行，从而获得系统权限。漏洞的时间线显示，从报告到补丁发布共用了 82 天，符合厂商的 120 天修复政策。受影响的产品版本范围广泛，包括多个年份的 Foxit PDF Reader 和 Editor。该漏洞揭示了特权服务如何处理用户可写数据的问题，并提醒防御方注意本地提权类漏洞的修复周期。补丁分析表明，官方修复版本为 2026.1.2.36540，而一些转述媒体误报为 2026.2，导致处置排期延迟。同一加载路径在一个月内被三方独立发现，说明其可见度很高。该案例也反映了自动更新器中常见的一类缺陷：低摩擦的进程间通信面加上特权身份的更新路径。

    本地提权 自动更新器漏洞 CWE-427 二进制植入 特洛伊木马 Windows 平台 PoC 公开 硬编码密钥 证书校验绕过 用户交互

    0xc4 AI 化身钓鱼者：提示词注入如何让可信助手变成定向恶意工具（上篇）

    睿伟网络科技 2026-09-14T13:00:00

    Example Image


    攻击者不再只是钓鱼用户，而是利用 AI 来钓鱼用户。

    0xc5 蓝队溯源组注意：从一条告警还原攻击链，容器逃逸这样防

    网络安全老宋 2026-09-14T12:00:00 宝十八

    Example Image


    本文详细介绍了网络安全中的蓝队溯源组如何从一条告警信息中还原整个攻击链，以及如何在云原生环境下防范容器逃逸。文章首先强调了攻击链还原和溯源反制能力对于防守的重要性，并介绍了如何利用洛克希德·马丁的七阶段模型和ATT&CK框架来分析攻击者的每一步。接着，文章提出了五步攻击链还原方法：锚定关键事件、前向追溯、后向追踪、横向关联和链式组装。此外，还介绍了溯源的三种路径：IP溯源、载荷溯源和社工溯源，以及相应的反制措施，如蜜罐和信标。针对云原生环境，文章指出容器逃逸成为蓝队的新挑战，并分析了配置错误和漏洞导致的逃逸风险，提出了准入控制、运行时监控和最小权限RBAC的三层防御策略。最后，强调了将容器纳入演练范围和监控的重要性，以提升防御能力。

    攻击链分析 容器安全 蓝队溯源 安全防御策略 云原生安全 ATT&CK框架 网络安全取证

    0xc6 搜索“官网下载”却装回远控木马：游蛇仿站钓鱼正在盯住中文用户

    字节脉搏实验室 2026-09-14T10:32:30 © tcode

    Example Image


    本文揭示了游蛇（银狐）团伙利用搜索引擎SEO投毒和仿冒站点，针对中文用户进行钓鱼攻击的网络安全威胁。攻击者通过将远控木马伪装成中文用户熟悉的软件安装包，诱导用户在“官网下载”时感染。文章分析了攻击者的策略，包括利用SEO投毒提高仿冒站点排名、针对中文系统进行环境与语言判断等。文章还提供了针对个人和企业用户的防御建议，包括改变下载习惯、监控终端行为、建立内部告警等，以帮助用户识别和防范此类攻击。

    钓鱼攻击 SEO投毒 木马下载 远控木马 网络安全意识 安全检测 中文用户风险 企业安全 恶意软件分析

    0xc7 CVE-2026-88062（CVSS 9.5）：OmniRoute远程代码执行漏洞PoC已公开

    sec随谈 2026-09-14T09:07:18 sec随谈

    Example Image


    安全研究人员近期公开了一个严重的安全漏洞CVE-2026-88062，该漏洞影响OmniRoute统一AI网关的所有3.8.49之前版本。这个漏洞允许远程攻击者在无需身份验证的情况下执行任意命令，从而可能窃取API密钥、泄露敏感数据并横向移动至内网。漏洞源于自定义代理注册端点的恶意HTTP请求处理不当，导致攻击者提供的JavaScript代码能够在服务器上直接执行。目前，一个概念验证利用代码已经被公开，尽管尚未有在野利用的案例报告。为了缓解这一风险，用户应立即升级至3.8.49或更高版本，或者采取额外的安全措施，如配置强密码、启用登录验证要求，并限制网络访问。

    远程代码执行漏洞 CVE编号 身份验证问题 AI网关安全 API安全 横向移动 补丁管理 防火墙规则

    0xc8 互联网攻击面收敛技术培训（上）

    小安伴你行 2026-09-14T09:06:00 © 小安伴你行

    Example Image


    信息安全#互联网攻击面收敛

    0xc9 GitLab CVSS 10.0 满分路径遍历漏洞 （CVE-2026-85706）

    观未安全 2026-09-14T09:03:27 © 观未安全

    Example Image


    GitLab CVSS 10.0满分路径遍历漏洞（CVE-2026-85706）是一个严重的未授权任意文件读取漏洞，攻击者可以通过添加一个末尾斜杠到特定URL上，绕过GitLab的安全机制，读取服务器上的任意文件。该漏洞由四个缺陷叠加而成，包括路由歧义、Workhorse JWT注入、认证顺序错误以及File.read无路径约束。GitLab官方在发现漏洞后迅速发布了补丁，受影响的版本包括18.7至19.3.1之间的版本。该漏洞的发现和修复过程展示了从漏洞发现到利用再到官方响应的整个流程，强调了及时更新和监控的重要性。

    漏洞分析 路径遍历 GitLab漏洞 CVSS评分 安全应急响应 代码审计 安全加固 漏洞复现

    0xca CVE-2026-74997｜Roundcube Webmail插件可实现服务器远程代码执行

    信安百科 2026-09-14T09:00:00 alicy

    Example Image


    本文分析了CVE-2026-74997漏洞，该漏洞影响Roundcube Webmail系统的markasjunk插件。该插件中的cmd_learn驱动存在远程代码执行（RCE）漏洞，攻击者可以通过构造特定的垃圾邮件标记操作，在邮件服务器上执行任意命令。漏洞的CVSS评分高达8.8，属于高危漏洞。文章详细描述了漏洞的描述、影响版本、攻击链、利用机理以及官方的修复方案。此外，文章还提出了针对该漏洞的排查建议，包括检查配置、升级版本、禁用插件和审计日志等。

    Webmail 安全漏洞 远程代码执行 插件漏洞 命令注入 CVE 漏洞修复 开源软件安全 安全漏洞利用

    0xcb CVE-2026-67276 | RouterOS SSH公钥认证绕过漏洞（POC）

    信安百科 2026-09-14T09:00:00 alicy

    Example Image


    本文详细分析了CVE-2026-67276漏洞，该漏洞是MikroTik RouterOS中的一个SSH公钥认证绕过缺陷。该漏洞允许攻击者绕过RSA密钥认证，以目标用户的身份登录SSH。漏洞存在于SSH公钥认证过程中，RouterOS只比较了密钥类型和模数，而忽略了指数e，使得攻击者可以构造一个有效的“孪生公钥”并伪造签名。文章介绍了漏洞的详细描述、影响版本、攻击链、以及如何通过补丁和配置调整来防御该漏洞。同时，文章还提到了利用AI辅助漏洞挖掘的趋势，并给出了一些建议来帮助安全研究人员和系统管理员识别和修复该漏洞。

    CVE-2026-67276 MikroTik RouterOS SSH公钥认证绕过 密码学签名验证不当 网络设备安全 漏洞利用 CVE 安全漏洞分析 安全补丁 AI辅助安全研究

    0xcc xerxes靶机：图片夹带私货，黑客如何破解？！

    网络安全研习社 2026-09-14T08:54:07 © zavic赵

    Example Image


    本文记录了一个网络安全学习者的渗透测试过程。首先通过nmap扫描确定了靶机IP为192.168.40.137，开放了22与80端口。在访问网站时，通过目录扫描发现了敏感文件和上传功能，但上传需要密码。通过分析二维码图片，发现其中隐藏了Base64编码的字符串，解密后得到Brainfuck编码的密码，最终解密得到上传文件的密码。上传PHP一句话木马成功后，发现存在远程命令执行漏洞，利用该漏洞反弹shell并获取交互式会话。在提权阶段，首先尝试使用amanpour用户的bash_history文件重置密码，成功登录后，通过suid文件发现了notes脚本，利用pickle模块的不安全反序列化漏洞成功提权到curtz用户。接着，通过delacroix用户的组文件和私钥登录，修改权限后成功登录。最后，通过分析check.sh和generate.sh脚本，计算出了MD5值，并利用该值成功登录root用户。最终在root用户下找到了flag，flag为png格式的图片。整个过程涉及了信息收集、漏洞利用、提权、权限维持等多个网络安全技术点。

    0xcd 一款面向攻防演练、红蓝对抗和安全研究场景的高交互智能欺骗蜜罐平台

    菜鸟学信安 2026-09-14T08:30:00 Fausto-404

    Example Image


    AlterHive（幻巢）是一款专门为攻防演练、红蓝对抗和安全研究设计的智能欺骗蜜罐平台。该平台利用虚拟拓扑、会话记忆、规则引擎和多Agent欺骗规划等技术，创建一个可控的“子网幻象”环境，以吸引和监控攻击者的活动。平台提供高交互欺骗功能，包括SSH入口、模拟服务和虚拟文件系统，以模拟真实环境，并提供连续的交互体验。它还具有动态扩展影子子网、跳板主机和服务资产的能力，以及证据驱动的攻击链引导。平台还具备状态可控和安全边界保护功能，通过Web控制台提供可视化的审计和运营总览。AlterHive支持多种配置和部署方式，适用于多种安全研究和防御场景，包括攻防演练、蓝队对抗和企业内网安全测试。

    蜜罐技术 攻防演练 红蓝对抗 安全研究 虚拟化技术 规则引擎 攻击者行为分析 可视化审计 自动化部署

    本站文章为人工采集，目的是为了方便更好的提供免费聚合服务，如有侵权请告知。具体请在留言告知，我们将清除对此公众号的监控，并清空相关文章。所有内容，均摘自于互联网，不得以任何方式将其用于商业目的。由于传播，利用此文所提供的信息而造成的任何直接或间接的后果和损失，均由使用者本人负责，本站以及文章作者不承担任何责任。