ZONE.CI 全球网

这篇文章报道了名为Reverse-engineeredTradingViewPremium的开源项目在数周内冲到49.1kstars后被强制转私有的事件。文章指出该项目违反TradingView服务条款，且此类破解版长期是Vidar与AMOS窃密木马的分发渠道。Hexastrike与Bitdefender均发布报告警告相关风险。文章提醒用户stars不等于合法性，建议走官方API，警惕破解版下载链接。

2026年初出现针对AI开发工具的SEO投毒攻击，攻击者伪造GeminiCLI和ClaudeCode安装页面诱导开发者执行恶意PowerShell命令，部署无文件窃密木马。该攻击采用ETW/AMSI绕过、内存驻留等技术，窃取OAuth令牌、CI/CD凭据等高价值数据。建议加强PowerShell约束执行、凭据保护和安全意识培训。

文档报道ClaudeFable5模型发布后24小时内完整系统提示词遭泄露事件，泄露内容包含12万字符的模型人格定义、安全规则及拒绝逻辑等核心信息。关键发现显示Fable5与Mythos5共享同一底层模型，区别仅在于安全措施严格程度。事件暴露AI系统内部提示词管理漏洞，建议关注后续安全影响。

本周攻防动态聚焦红队技术演进与工具更新，涵盖EDR规避、权限提升、DNS隐蔽传输等关键技术，同时介绍多款新型安全工具如SAM提取器、强制提权工具等，为攻防实战提供最新技术参考。

Storm-Breaker是由ultrasecurity团队开发的社交工程渗透测试工具，具备设备信息采集、实时位置追踪、摄像头访问和麦克风窃听等功能，采用PHP+Python混合架构并配备Web管理面板。该工具适用于企业授权的红队演练、安全意识培训等合法场景，需严格遵守网络安全法规。

CVE-2026-45504是微软ExchangeServer2019的高危SSRF漏洞（CVSS8.8），允许低权限认证用户通过构造恶意WOPI端点返回file://协议URL，结合#字符绕过参数拼接，实现服务器本地任意文件读取。漏洞利用链涉及TryTwice函数未验证URL协议、GetWacUrl解析WebApplicationUrl时的设计缺陷。公开PoC显示可窃取系统配置、凭证等敏感文件。建议立即安装微软2026年6月补丁，临时缓解需限制服务器出站连接并监控异常EWS活动。

MicrosoftExchangeServer存在服务器端请求伪造漏洞CVE-2026-45504，经身份验证的低权限用户可通过构造WOPI请求读取服务器任意本地文件。漏洞源于GetWacUrl函数未校验返回地址的协议类型，攻击者利用file://协议和#字符绕过参数拼接机制实现文件读取。影响所有启用OneDrivePro/WOPI功能的Exchange2019环境，CVSS评分8.8。建议及时更新补丁并禁用相关功能缓解风险。

微软OneDrive的`回忆`功能因算法缺陷将用户12年前已删除的私密照片自动打包发送至邮箱，引发严重隐私泄露事件。安全专家指出云存储的`删除`可能仅为标记而非真实清除，暴露了云端数据永久留存的风险。建议用户立即检查云盘历史文件并重新评估云存储隐私设置。

Heavener项目是一款模块化EDR仿真引擎，通过逆向提取SentinelOne、CortexXDR、CrowdStrike、Sophos四款主流商业EDR产品的真实检测逻辑，在本地复现其完整检测流水线。该系统基于内核驱动与ETW采集全维度系统遥测，通过单线程事件管道保证行为顺序一致性，支持实时检测与事件回放，为安全研究人员提供免真实环境安装的EDR行为验证方案。

本周蓝军技术推送汇总了Web安全、内网渗透、终端对抗、漏洞相关、人工智能安全及云安全等领域的最新攻击技术与工具。核心内容包括CivetWebPUT+SSI组合实现RCE、MITM6结合NTLMRelay导致域入侵、滥用云日志服务进行防御规避、LinuxDRMUAF本地提权漏洞CVE-2026-46215、以及AzureKeyVault权限提升方法等。这些技术细节和PoC为安全团队提供了重要的防御参考。

该文档首次公开曝光了名为Avalon的Windows全栈攻击框架，其具备高度模块化设计。核心亮点包括全程无文件落地执行、通过ETW/AMSI内存Patch致盲安全产品、在用户态复刻Windows加载器、集成多层EDR防御规避、优先攻击备份基础设施以实现可逆勒索及磁盘级摧毁。该框架展示了先进的对抗技术与工程化水平，对安全防御具有重要参考价值。

本文介绍基于ETW技术获取SYS驱动加载发起方进程的方案。常规ImageLoad回调只能获取SystemPID，无法识别真实发起方。文章详细分析了应用层通过SCM和RPC/ALPC加载驱动的流程，并提出通过关联KernelImageLoad、ALPC和RPC事件，在时间窗口内溯源到services.exe的RPC客户端进程，从而确定加载源。提供了基于krabsetw库的代码实现，包括KernelTrace和UserTrace的联合采集与事件关联逻辑。

本文分享了BugKu平台WEBGET题目的解题过程。根据源码提示ifwhat==flag，在URL后添加?what=flag参数即可获取flag。文章实际以推广随波逐流工作室的扫描工具及微信公众号为主，技术深度极低，仅适合CTF新手了解最基础的GET传参概念。

本文深入剖析了2025年终端安全对抗中EDR规避的三大前沿技术：间接系统调用通过从ntdll.dll内合法地址执行syscall来绕过用户态hook；ETW绕过通过patchEtwEventWrite等函数使EDR无法接收关键事件；内核回调脱钩通过遍历并清零EDR注册的回调函数指针来隐藏进程创建等行为。文章指出攻击者已能在500ms内完成规避，防御方则向硬件虚拟化、行为分析和内存完整性扫描演进。建议防御者采用纵深防御策略，结合应用白名单、网络分段和最小权限原则。

本文介绍高级红队shellcode加载器KhaosLdr，采用多阶段架构，通过AES-256-CBC解密donut壳码，利用早鸟APC注入技术执行。核心模块实现间接系统调用、呼叫堆栈伪装、ETW/AMSI硬件断点绕过及沙箱规避，具备高隐蔽性。文章末尾推广付费圈子，分享免杀工具与红队技术。

本文深入解析WindowsETW遥测机制，从用户态枚举到内核数据结构拆解，揭示EDR检测信号来源。作者用WinDbg分析_ETW_SILODRIVERSTATE等结构，指出攻击者可通过修改内存位禁用遥测，并以Sysmon为例演示清零驱动回调数组致进程事件消失。对红蓝队均有重要操作指导价值。

DroidHunter是HexSecTeam开发的开源Android安全评估CLI框架，整合设备管理、APK静态分析、漏洞扫描与利用、Payload生成及报告输出等八大模块。内置30+已知CVE映射，支持ADB交互与远程控制，适合授权渗透测试。安装依赖Python3.8+及可选组件，提供交互式菜单与命令行操作。

EtwSuite是一款面向蓝队检测工程的开源ETW检视GUI工具，整合了Provider浏览、Schema解析、实时消费与ETL录制回放全流程。其独门能力是静态TraceLoggingPE扫描器，无需运行目标程序即可从二进制中剥离未文档化的TLG事件与字段，对盘点EDR遥测面极具价值。工程上采用三层分离与有界队列等严格规范，安全可靠。建议蓝队利用其离线研究安全产品遥测盲区，但需注意其缺乏跨Provider关联及内核会话支持的局限。

EtwSuite是开源WindowsETW分析平台，助蓝队打破ETW黑盒。它提供Provider浏览、实时采集与录制等功能，适用于威胁狩猎、应急响应取证及规则开发。虽消费ETW-TI需PPL授权且不支持evtx，但该工具降低了分析门槛，建议蓝队纳入工具箱发现监控盲区。

文章系统解析EDR架构与检测机制，设计哲学为纵深防御与多源关联，假设失陷、重在尽快发现与响应。总体架构为用户态加内核态混合传感器网络：用户态hookDLL挂钩ntdll敏感API并借ETW采集参数上下文，内核态驱动通过进程线程映像回调、ObRegisterCallbacks句柄权限剥离及注册表文件过滤获取难以绕过的高保真信号。结论强调免杀须使EDR无法从任何信号源拼出恶意结论，单点绕过价值有限。

本文讲解Windows用户态异步执行注入技术，先回顾CreateRemoteThread注入的完整EDR检测链，再深入剖析APC内核数据结构、KiDeliverApc派发机制、经典APC注入流程、EarlyBird变体及Fiber原理与注入方法，指出异步执行可消除跨进程线程创建这一最强检测信号，但跨进程内存操作仍受ETW-TI监控，并给出选择alertable目标线程、结合ModuleStomping合法化例程地址等规避建议。

2026年初出现针对AI开发工具的SEO投毒攻击，攻击者伪造GeminiCLI和ClaudeCode安装页面诱导开发者执行恶意PowerShell命令，部署无文件窃密木马。该攻击采用ETW/AMSI绕过、内存驻留等技术，窃取OAuth令牌、CI/CD凭据等高价值数据。建议加强PowerShell约束执行、凭据保护和安全意识培训。

文档报道ClaudeFable5模型发布后24小时内完整系统提示词遭泄露事件，泄露内容包含12万字符的模型人格定义、安全规则及拒绝逻辑等核心信息。关键发现显示Fable5与Mythos5共享同一底层模型，区别仅在于安全措施严格程度。事件暴露AI系统内部提示词管理漏洞，建议关注后续安全影响。

本周攻防动态聚焦红队技术演进与工具更新，涵盖EDR规避、权限提升、DNS隐蔽传输等关键技术，同时介绍多款新型安全工具如SAM提取器、强制提权工具等，为攻防实战提供最新技术参考。

Storm-Breaker是由ultrasecurity团队开发的社交工程渗透测试工具，具备设备信息采集、实时位置追踪、摄像头访问和麦克风窃听等功能，采用PHP+Python混合架构并配备Web管理面板。该工具适用于企业授权的红队演练、安全意识培训等合法场景，需严格遵守网络安全法规。