ZONE.CI 全球网

文章讲述一次内网渗透测试经历，通过Redis未授权访问漏洞获取服务器权限，意外发现生产数据库备份文件，暴露用户表、订单表及支付密钥等敏感数据。问题根源在于测试环境直接升级为生产环境，安全配置未更新，且资产归属不清导致无人管理。建议加强资产清单管理和安全配置审查，避免类似风险。

本文详细记录内网vCenter集群攻击过程，利用CVE-2021-21972漏洞获取webshell，通过CVE-2021-3156提权至root，再通过SAML绕过获取控制台权限。攻击域控时克隆虚拟机并利用kon\\_boot.iso绕过密码，最终进行域内横向移动抓取hash。强调vCenter价值堪比域控，建议运维及时修补漏洞。

2026年7月4日，暗网用户声称出售韩国上市公司韩中NCS的460GB数据库备份，包含ERP、HR、QMS等系统数据。该公司在中国设有子公司，泄露可能波及国内汽车零部件供应链。建议相关企业排查共享系统、强化数据隔离、监控泄露线索并加固备份安全，以防范商业机密泄露和供应链攻击。

本文详细介绍了dsamain工具将离线AD数据库挂载为LDAP服务进行侦察的方法，攻击者可借此识别高价值账户与安全组，并利用secretsdump.py等工具提取密码哈希。防御建议包括监控dsamain使用、保护高权限组成员资格、加密数据库文件及实施纵深防御策略。

CometBackup服务器存在严重远程代码执行漏洞CVE-2026-32999（CVSS9.1），影响26.4.3和26.5.0之前版本。攻击者可通过管理品牌权限上传恶意文件实现RCE，完全控制服务器并窃取配置文件和备份数据。厂商已修复云托管版本，自托管用户必须立即升级到安全版本。

Veeam修复备份与复制软件中的严重漏洞CVE-2026-44963，该漏洞允许域内低权限用户在已加域的备份服务器上实现远程代码执行。受影响版本为12.3.2.4465及更早的12.x版本，修复版本为12.3.2.4854。文档指出勒索软件团伙常针对此类漏洞攻击备份系统以窃取数据、横向移动并阻断恢复，建议企业及时更新并遵循不将备份服务器加域的最佳实践。

SplunkEnterprise存在高危的未授权文件操作漏洞（CVE-2026-20253），攻击者可通过构造恶意请求实现任意文件创建与截断，并最终完成远程代码执行，完全控制目标服务器。该漏洞影响特定版本的SplunkEnterprise，其POC和技术细节已公开。建议受影响用户尽快升级至官方最新版本进行修复。

SplunkEnterprise10及以上版本存在高危漏洞链（CVE-2026-20253，CVSS9.8），攻击者可通过未授权访问内部PostgreSQL服务的API端点，利用参数注入和目录遍历实现任意文件写入，并结合凭证泄露最终获得远程代码执行权限。云部署环境中该服务默认启用，风险更高。建议用户立即更新版本并监控API访问、限制服务暴露。

文档分析了SplunkEnterprise的CVE-2026-20253漏洞，该漏洞因PostgreSQLSidecar服务的HTTPAPI端点缺少身份认证导致未授权远程代码执行。攻击者可通过备份恢复端点利用路径遍历和数据库连接重定向将恶意SQL写入文件系统，再通过凭据文件执行代码。影响版本为10.0.0-10.0.6和10.2.0-10.2.3，建议用户升级至安全版本。

FBI与CISA联合警告俄罗斯黑客组织UNC5792/UNC4221近期升级钓鱼策略，通过冒充Signal支持团队诱导用户提供备份恢复密钥，进而窃取历史消息。攻击目标聚焦政府官员、军事人员、记者等高价值个体。文档强调用户需警惕非官方渠道的密钥索取，并指导受害者通过生成新密钥使旧密钥失效。

FBI/IC3与CISA于2026年6月26日联合发布警报，指出俄罗斯情报相关威胁行为体通过钓鱼手段诱导目标用户交出Signal等商业通讯应用的备份恢复密钥，而非攻破加密机制。攻击者可利用恢复密钥访问历史消息、接管账号，对政府人员、记者等高危群体造成严重信息泄露风险。文档建议用户将恢复密钥视同密码严禁外泄，若已泄露需立即生成新密钥，并呼吁企业将恢复流程纳入安全培训。

文章讲述一次内网渗透测试经历，通过Redis未授权访问漏洞获取服务器权限，意外发现生产数据库备份文件，暴露用户表、订单表及支付密钥等敏感数据。问题根源在于测试环境直接升级为生产环境，安全配置未更新，且资产归属不清导致无人管理。建议加强资产清单管理和安全配置审查，避免类似风险。

本文详细记录内网vCenter集群攻击过程，利用CVE-2021-21972漏洞获取webshell，通过CVE-2021-3156提权至root，再通过SAML绕过获取控制台权限。攻击域控时克隆虚拟机并利用kon\\_boot.iso绕过密码，最终进行域内横向移动抓取hash。强调vCenter价值堪比域控，建议运维及时修补漏洞。

2026年7月4日，暗网用户声称出售韩国上市公司韩中NCS的460GB数据库备份，包含ERP、HR、QMS等系统数据。该公司在中国设有子公司，泄露可能波及国内汽车零部件供应链。建议相关企业排查共享系统、强化数据隔离、监控泄露线索并加固备份安全，以防范商业机密泄露和供应链攻击。

本文详细介绍了dsamain工具将离线AD数据库挂载为LDAP服务进行侦察的方法，攻击者可借此识别高价值账户与安全组，并利用secretsdump.py等工具提取密码哈希。防御建议包括监控dsamain使用、保护高权限组成员资格、加密数据库文件及实施纵深防御策略。

FBI/IC3与CISA于2026年6月26日联合发布警报，指出俄罗斯情报相关威胁行为体通过钓鱼手段诱导目标用户交出Signal等商业通讯应用的备份恢复密钥，而非攻破加密机制。攻击者可利用恢复密钥访问历史消息、接管账号，对政府人员、记者等高危群体造成严重信息泄露风险。文档建议用户将恢复密钥视同密码严禁外泄，若已泄露需立即生成新密钥，并呼吁企业将恢复流程纳入安全培训。

SplunkEnterprise10.x版本存在高危漏洞CVE-2026-20253(CVSS9.8),根因是PostgreSQLSidecar服务缺乏认证。攻击者可通过空凭证访问backup和restore端点,利用路径遍历和数据库注入实现远程代码执行。CISA已将其列入KEV清单,受影响版本为10.0.0至10.0.6与10.2.0至10.2.3,建议立即升级至10.0.7、10.2.4或10.4.0修复版本。

文章讲述一次内网渗透测试经历，通过Redis未授权访问漏洞获取服务器权限，意外发现生产数据库备份文件，暴露用户表、订单表及支付密钥等敏感数据。问题根源在于测试环境直接升级为生产环境，安全配置未更新，且资产归属不清导致无人管理。建议加强资产清单管理和安全配置审查，避免类似风险。

本文详细记录内网vCenter集群攻击过程，利用CVE-2021-21972漏洞获取webshell，通过CVE-2021-3156提权至root，再通过SAML绕过获取控制台权限。攻击域控时克隆虚拟机并利用kon\\_boot.iso绕过密码，最终进行域内横向移动抓取hash。强调vCenter价值堪比域控，建议运维及时修补漏洞。

2026年7月4日，暗网用户声称出售韩国上市公司韩中NCS的460GB数据库备份，包含ERP、HR、QMS等系统数据。该公司在中国设有子公司，泄露可能波及国内汽车零部件供应链。建议相关企业排查共享系统、强化数据隔离、监控泄露线索并加固备份安全，以防范商业机密泄露和供应链攻击。

本文详细介绍了dsamain工具将离线AD数据库挂载为LDAP服务进行侦察的方法，攻击者可借此识别高价值账户与安全组，并利用secretsdump.py等工具提取密码哈希。防御建议包括监控dsamain使用、保护高权限组成员资格、加密数据库文件及实施纵深防御策略。

本文详细介绍了dsamain工具将离线AD数据库挂载为LDAP服务进行侦察的方法，攻击者可借此识别高价值账户与安全组，并利用secretsdump.py等工具提取密码哈希。防御建议包括监控dsamain使用、保护高权限组成员资格、加密数据库文件及实施纵深防御策略。

VeeamAgent存在高危本地提权漏洞CVE-2026-32996，低权限用户可获取SYSTEM权限，PoC已公开，影响13.0.1.2067及更早版本。漏洞源于gRPC命名管道会话校验缺陷，攻击者可通过读取日志文件获取高权限会话UID利用。官方已发布修复版本13.0.3.1220，建议优先修补多用户共享设备，限制本地访问作为临时缓解措施。

本文作者参加字节跳动火山杯AISkill安全对抗赛，从传统红队思路碰壁后转向研究AI审核机制本身，通过构造标准化实验样本反向推演AI审核逻辑，发现AI审核核心依赖静态语义判定而非动态执行，存在可利用的信息差。文章以ProjectBackup恶意Skill样本为例，展示通过自然语言指令引导AI代理窃取数据、配置与逻辑解耦规避静态检测的方法，为AI安全对抗提供了可操作的研究思路。

本文记录小米手机微信聊天数据恢复完整流程：识别MIUI备份格式、提取IMEI与UIN推导SQLCipher密钥、全量解密数据库，通过msgId连续性、type字段10002及WAL帧比对判断删除与撤回记录，成功恢复3条被删消息，并破解加密zip获取隐藏文件。提供分级探测密钥、WAL按盐值筛选等实操建议。