ZONE.CI 全球网

RoundcubeWebmail的markasjunk插件被曝存在高危命令注入漏洞CVE-2026-74997，CVSS评分达8.8。当插件启用且学习驱动显式设为cmd\\_learn并在训练命令中使用%i占位符时，由于未对用户可控的邮件地址进行Shell转义，攻击者可注入恶意元字符实现远程代码执行，进而导致服务器被完全接管或敏感数据泄露。该漏洞影响1.6.18及1.7.3以下版本，目前已有公开复现细节，建议受影响用户立即升级至安全版本以规避风险。

本文指出安全服务外聘人员减少标志着行业竞争正从人力规模转向组织杠杆与证据质量。过去依赖人海战术掩盖的流程断点在人数收缩后暴露，按工时采购与按结果验收的错配亟待解决。AI虽然降低了报告生成成本，但信任必须回归可复核的原始证据。文章建议服务商转型为能力运营商，通过沉淀可复用的规则与剧本构建组织杠杆；同时强调需建立包含原始性、边界、时效等维度的证据接口，并明确闭环负责人角色，以证据交接替代口头承诺，最终实现从人力堆砌到能力持续交付的质变。

OpenAI开源CodexHarness，这是一个驱动AI智能体的底层执行系统，包含CLI、SDK和app-server三大组件。此举旨在打破通用聊天框的局限，让开发者将AIAgent无缝嵌入自有产品。文章强调Harness设计对模型性能有显著影响，例如在ARC-AGI-3测试中通过优化使GPT-5.6Sol得分从13.3%飙升至38.3%且输出Token减少六倍。案例显示其可应用于税务申报和云平台管理，实现人机协同。可操作建议是开发者可利用Apache-2.0许可的开源组件构建原生AI应用。

《网络数据安全风险评估办法》于2026年8月20日起施行，要求重要数据处理者每年开展风险评估，鼓励评估机构通过认证。公安机关将建立全流程监管机制，对未按规定开展评估的数据处理者依法处理。评估机构需公正客观，不得转委托，同一机构不得连续3次以上对同一对象评估。办法明确了报送、检查、整改等流程，旨在规范网络数据安全风险评估活动。

该文档为一篇公众号文章，作者声称捡到含100万条LBS数据的U盘，有偿征集大数据应用思路。鼓励用于城市治理、应急管理等社会价值高的领域，严禁侵犯个体权益。活动通过私信报名，经评选后发放数据并奖励。数据来源不明，存在法律风险。

PortSwigger和TurtleSec研究人员发现新型CRLF不同步攻击，利用Nginx中proxy\\_pass指令包含$uri的错误配置，通过注入CRLF序列实现请求拆分和响应队列中毒，可窃取HTTPOnlyCookie并劫持账户。建议组织立即审核Nginx配置以避免此漏洞。

本文介绍DesRedTeamv3.0红队Agent平台的源码部署全流程。核心更新包括集成DSH原生Harness调度、高命中率缓存及极简运行模式，可在2分钟内完成一家公司的公开资产信息收集。文章详细说明了从环境准备、编译部署到Hermes适配的步骤，并提供了编译版领取方式。强调工具仅限合法授权渗透测试与学习研究使用。

Lazarus组织借虚假高薪招聘诱骗军工人员，结合SEO仿站与DLL侧加载投递恶意PDF工具。攻击利用Windows零日漏洞提权并部署内核Rootkit与无文件后门，窃取多国航空涉密资料。建议紧急安装补丁，管控软件安装权限并加强招聘审计与流量监控。

本文详细拆解了智能密码钥匙进行ECC数字签名的19步标准流程，涵盖设备枚举连接锁定、应用容器操作、SM2预处理三步曲、PIN校验及签名执行等关键环节。每步均引用SKF标准函数原型与技术要点，强调严格按序调用与资源清理。文章为开发者提供了可直接参考的API调用指南，具有强实操性。

本文详细分析了Kuberneteskubelet10250端口因开启匿名访问且授权模式设为AlwaysAllow导致的未授权命令执行漏洞。攻击者可通过/pods端点获取节点所有Pod信息，再利用/run端点在容器内匿名执行任意命令，进而窃取ServiceAccountToken横向移动至kube-apiserver，最终通过创建特权Pod逃逸宿主机实现集群接管。修复建议包括关闭匿名访问、启用Webhook授权、网络隔离10250端口、启用NodeRestriction准入控制及定期使用kube-bench

本文介绍一款名为混淆工坊的Android混淆加密软件，版本1.0，大小9.73MB。文章强调其简单实用，并提供扫码下载链接。内容缺乏技术细节和原理说明，更像软件推广。

本文深度解析了免杀对抗中的睡眠混淆技术，重点介绍了Ekko技术通过Windows定时器队列实现内存加密解密，避免了RX内存特征。文章从技术细节到代码实现，详细阐述了内存对抗的演进路径，为红队武器研发提供了可操作建议。

本文详解Windows新型进程注入技术‘进程参数投毒’的原理与免杀实战。该技术利用CreateProcessW将Shellcode藏于PEB启动参数中，通过NtSetContextThread劫持主线程执行流，绕过主流EDR对远程内存写入的检测。针对原项目触发火绒查杀的PEB内存属性修改特征，作者提出用NtCreateSection和NtMapViewOfSection替代的改进方案。文中还剖析了API哈希解析、空字节包装机制及x64动态Shellcode生成等源码细节。

SocGholish木马团伙被欧洲刑警组织OperationEndgame行动捣毁，该团伙3年间入侵超144万个WordPress网站，影响187个国家和地区。攻击链始于利用插件漏洞或弱口令入侵网站，注入恶意JavaScript，通过伪装浏览器更新提示诱导下载，最终部署CobaltStrike等载荷。核心隐蔽技术为域名影子，在合法域名下创建恶意子域名。建议网站管理员检查DNS记录和文件变动，企业终端可部署YARA规则检测。

本文解决DLL注入QQ后无法启动的问题，通过引入一个黑DLL用于上线，原注入DLL调用rundll32启动黑DLL。关键发现是需将上线DLL与QQ.exe同级放置，名称与rundll32启动的DLL一致。作者指出代码有弹窗报错但功能正常，建议有开发能力的读者自行修改。

本文提出恶意软件加密C2流量的无解密溯源技术体系。通过提炼心跳周期、私有协议、上下行比例与后台联网四大差异特征，结合流量指纹聚类、时序分析、五元组关联与行为研判四项核心技术，可在无密钥条件下精准锁定异常会话、还原控制关系与攻击拓扑。针对高阶对抗场景，建议联动终端痕迹与DNS日志进行交叉溯源，有效解决加密流量取证盲区，实战指导性强。

本文详细记录了一起Linux服务器被APT组织入侵的应急响应案例，从时区校准、文件检索、strace动态追踪到样本逆向分析，完整还原攻击链路。样本采用AES-256加密、LZ4压缩及多模块架构，具备高隐蔽性和抗查杀能力。文章提供了可复用的排查命令和分析脚本，强调实战经验，适合安全从业者参考。

Pythagorea是一款平面几何益智游戏，本文分享第25.10至25.13关过定点作切线的解法之一。游戏适合初中低年级学生，非尺规作图。最后留作业，提示25.13关有只需4笔的解法。

ITC中心管理服务器uploadFileApp.do接口存在任意文件上传漏洞，攻击者可上传恶意文件导致服务器被控制。影响版本未明确，fofa查询语句为body=/mt_res_v3/img/public/logo.ico。漏洞复现显示可上传jsp文件并访问。POC及批量扫描工具需加入知识星球获取。整改建议为打补丁。

本文档介绍了如何配置开源终端AgentHermesAgent接入AceDataCloud服务，通过一把APIToken即可访问Claude、GPT、Gemini等60+大模型。核心步骤包括申请APIToken、安装HermesAgent、通过交互式或手动方式配置自定义端点，并提供了验证对接、推荐模型、辅助任务路由、计费说明及故障排查指南。可操作建议是用户应按照配置步骤操作，并利用推荐模型和故障排查部分快速解决问题。

本文介绍了微信小程序自动化审计工具MPScan及一个高校系统未授权注册漏洞案例。该工具基于wxapkg反编译开发，实现从监控、解包、敏感信息识别到报告导出的全流程自动化。其具备双版本适配、内置22条敏感规则、无需外部依赖等特点，可显著提升小程序安全审计效率。

本文披露APT36针对南亚电信等机构的间谍活动，使用PATCHCORD与SHEETCORD新型后门。攻击者利用伪造安装程序实施社工攻击，通过劫持浏览器快捷方式及内存执行shellcode实现隐蔽持久化。文章提供C2域名与IP等IOC指标，揭示攻击目标向电信扩展趋势及大模型辅助开发迹象，建议加强文件来源审查与异常监控。

本文探讨渗透测试中利用服务器处理多步骤请求时的子状态时间差进行竞争条件攻击。核心发现是系统在设置用户ID和强制MFA标记之间存在极短时间窗口，可绕过多因素认证。建议分析业务逻辑中的多步骤序列，识别先发生与慢半拍的动作，并尝试插入其他请求以利用时间差。

ERNW研究者在BlackHatUSA2026展示了Kubernetes多租户隔离的系统性突破，包括CRD跨namespace引用、Kubeflow权限提升、Traefikannotation劫持及Notebook钓鱼。核心结论是namespace边界假设不足，租户可控对象与触达资源间的边界模糊。建议采用识别、评估、修复方法论，并强调AdmissionControl在资源持久化前拦截跨namespace引用的关键价值。

百度网盘未经用户明确同意，将营销赠品价值作为劳务报酬申报个税，引发用户质疑。平台回应称系依法合规操作，但用户认为缺乏知情同意。建议用户定期核查个税记录，企业应优化用户授权机制。