ZONE.CI 全球网

猎洞时刻推出第四期SRC挖洞培训，主打真实案例实战与AI自动化挖洞，承诺零基础学员可快速掌握企业级漏洞挖掘技能，学员在EDUSRC、网易、国通星驿等平台屡获榜首，多人入职奇安信、360等大厂，课程售价1888元含永久学习权及一对一答疑。

本文是作者从甲方安全到业务安全创业五年的复盘，核心观点包括：创业不是因为有把握成功而是算过失败也值得；安全终点是业务和数据；业务安全难点常在于组织归属；服务能活下来但需产品化；创业要活下来但不能只会活下来。作者强调看问题坐标系的变化，从专业判断转向商业现实。

本文分析了一起冒充北森HRSaaS厂商的精准钓鱼攻击事件。攻击者伪装成系统管理部，通过加密RAR附件投递恶意载荷squidloader，利用密码保护绕过网关扫描，诱导受害者执行恶意程序，导致终端被控制及数据泄露。文章提供了详细IOC指标及紧急处置、短期加固和长期防护建议，强调企业需从技术、人员意识、流程规范多维度构建防护体系。

2026年8月31日，疑似俄语攻击者利用AI与数百个智能体对PaperCutNG/MF发起全球攻击，攻陷至少440个实例，波及48国395个组织。攻击者从空白环境到拿下首个真实受害者仅用不到4小时，利用CVE-2026-81578和CVE-2026-82078漏洞，结合OpenAICodex与DeepSeek模型驱动智能体实施入侵。攻击者通过三种路径获取域管理员权限，使用DCSync窃取凭据。报告强调传统安全加固对防御AI赋能的攻击仍具积极影响，组织应加强根本性安全防护。

本文探讨黑盒渗透智能体的方法论，基于56个开源渗透agent的审计，总结通用思路。核心观点包括：验证文化比代码量更重要，安全边界应写入系统而非提示词，知识图谱用于记录事实，失败驱动技能迭代。文中对比了不同agent的验证策略、执行权限、记忆划分等设计选择，并指出真智能体仅35个，强调验证文化与知识编码是赛道壁垒。

OFCMS系统存在SQL注入漏洞，编号CVE-2026-10193，危险等级为高危。漏洞位于/ofcms\\_admin/admin/comn/service/query.json接口，经身份验证的攻击者可利用该漏洞获取数据库敏感信息。影响版本为OFCMS1.1.3，POC已公开。建议用户升级至官方修复版本，以规避风险。

本文介绍Yakit工具中隐藏的codecflow功能，用户可拖拽加密逻辑保存后，在WebFuzz中通过{{codecflow(名称|字典)}}直接调用，支持标签嵌套，可满足80%场景，省去编写热加载的时间。文末附有HVV招聘广告。

本文分享了AI智能化渗透的实践经验，指出渗透测试作为开放性问题缺乏Coding的Harness，核心难点在于生态缺失。提出L2-L4分级架构，强调正交原则，将数据、经验、基础设施与模型解耦。通过GraphRAG、AgenticTool及自然语言交互机制，实现从辅助到自主的演进，主张减少工程约束以释放模型能力。

本文记录一次攻防实战过程，入口点为viewstate反序列化，利用工具获取shell并植入冰蝎码，通过suo5建立正向代理。后续进行免杀处理并重构fscan进行信息收集，在C段发现weblogic反序列化漏洞，B段通过mssql进行横向移动，10段入口为shiro反序列化。文章展示了完整的渗透测试流程，包括信息收集、漏洞利用、横向移动等关键步骤，对红队实战具有参考价值。

本文介绍了面试鸭这款程序员面试刷题神器，强调了其全面覆盖面试题库、高质量题解、多端同步等优点，并推荐用户开通会员以获取更多资源。

程序员鱼皮开源了一个AI视频制作工具，通过AI自动生成视频，无需剪辑和制作画面，可制作多种风格的产品宣传片。该工具开源，可通过简单的命令行操作生成视频，并支持多种AI编程工具。

本文介绍自研通用场景AgentKila，支持渗透测试、蓝队值守、内网渗透等场景，采用单Agent加Skill模式，效果良好但跑分不高。项目已开源至GitHub，所有会话保存在本地，后续计划优化多Agent架构并推出专注渗透的版本。

本文介绍凌曦安全发布的SQL注入验证Skill工具，强调范围控制、证据链与低噪声可复现报告。工具将任务分为判断注入存在性、识别数据库类型、确认注入类型、按需提取数据及WAF绕过语义复验五个环节，并支持知识库扩展。文章提供具体使用示例，强调合法授权与证据链完整性，适合SRC场景。

本文为凌曦安全课程中秋国庆促销软文，推广原价1899元的三合一实战课程，涵盖红队攻防、安服渗透与SRC挖掘三大方向，叠加大学生、组团及节日优惠可减300元，并展示团队SRC排名成绩与课程配套服务如靶场、答疑及就业指导等。

本文深入分析CVE-2026-42271漏洞，该漏洞存在于LiteLLM的MCP测试端点，属于命令注入类型，影响1.74.2至1.83.7版本。攻击者可利用有效APIKey执行任意系统命令，并可链式利用CVE-2026-48710实现未授权RCE。文章提供完整复现步骤、影响评估及修复建议，建议立即升级至1.83.7+版本并采取临时缓解措施。

本文分享了AI自动化渗透的实践落地经验，针对Agent动态性与传统审计局限提出以Claude+基模构建演练引擎，借鉴Cairn事实假设验证循环理念，通过Harness牵引提升效率并控制探索深度。实践表明有效引导可缩短解题时间30倍，过度知识注入反降效果。架构采用IOA图引擎实现信息分层与按需读取，结合Watchdog奖惩机制避免无效空耗，平衡成本与覆盖度，为甲方海量资产自动化演练提供通用化、低成本解决方案。

AI安全是AI进入真实业务的前置条件，当前AI能力扩张速度已超过安全边界建设速度。AI安全正从内容治理转向执行治理，核心问题是合法动作产生的非法后果。现状是模型侧开始成熟，应用侧在补工程欠账，agent执行侧刚暴露风险。需构建模型安全、应用安全、agent执行安全、工具链与供应链安全、治理与运营安全五层能力，重点解决权限隔离、行为监督和边界确认。

本文作者分享了资产测绘自动化项目的缘起，指出影子资产和旁路资产常因手动循环搜索易漏而丢失。作者提出用AIagent编排框架（如langgraph）构建带环的自动化流程，将确定性采集与推理判断结合，实现资产发现循环自动收敛，并计划后续接入渗透与漏洞分析。

AutoHunter是自动化SRC漏洞挖掘系统，采用多Agent协同架构，包含Collector、Worker、Reviewer和控制台四大组件，实现7x24小时持续挖洞。基于Docker部署，支持Linux和Windows，提供交互式安装引导。系统通过LLM自主侦察结合真实工具链挖洞，AI初审过滤误报，人工仅需复审确认。建议部署于2C4G以上Linux环境，磁盘需20G以上。

Calif团队在Hexacon2026会议上展示了iOS27.0.1的iPhone18Pro的untethered越狱，使用TSS票签欺骗、cryptex子系统绕过和PAC硬件指针保护绕过，Apple在9月14日修复了273个CVE，但10月16日又被攻破，对专业级威胁者来说存在风险。

本文分享Googlesg\\_ss与recaptchaV2的逆向学习经验，作者基于iv8项目改造并构建类似RPC的接口服务，将sgss中间页面打包交由挂载的Chrome操作，兼顾并发与更新便利。通过补环境方式实测无感与点击验证及谷歌搜索均通过，但验证码识别仍为手动输入，期待模型分享交流。

本文系统讲解安卓App抓包实战技巧，涵盖代理抓包、VPN抓包、iptables透明代理及FridaHook四类方法，详述各方案原理、配置步骤、检测机制与绕过思路，并给出具体代码示例，对移动安全测试人员具有较强实操参考价值。

本文实测两款AI漏洞挖掘工具DeepAudit与ARMMetis，验证其在实际项目中可用但非银弹。DeepAudit通过4个Agent协作加沙箱验证，在2万行代码中发现10个问题，其中2个为可验证真漏洞，能发现传统扫描器漏掉的配置错误；Metis轻量快速，4个故意植入漏洞全部检出。建议扫描前清理密钥，根据代码敏感度选择本地或云端模型。

本文介绍程序员鱼皮开源的免费VibeCoding零基础入门教程，GitHub已获2万Star，内容扩充至170篇，覆盖AI编程工具、项目实战、经验技巧与产品变现等，提供学习路线和视频课程，适合零基础与程序员进阶学习。

本文复盘了AIagent在红队实战中的应用，展示了其在信息搜集、代码审计、WAF绕过、弱口令检测、内网横向移动等环节的高效表现，效率提升数倍至十余倍。文章强调人机分工模式：agent负责技术执行，人负责策略决策，并指出内网是agent的主场，自动化不等于无人化，需保持人工监督。