ZONE.CI 全球网

本文详细解析了ADCS环境中的ESC5权限误配置漏洞利用过程。攻击者在获取普通域用户凭证后结合具备的CA管理权限与可滥用的SubCA证书模板，通过伪造Administrator身份申请证书、手动签发请求、获取PFX证书并提取NTLMHash，最终实现哈希传递接管域控。文章提供了完整的命令实操步骤，并给出严格管控CA权限、最小化高危模板配置及启用CA审计监控等防御建议，对域内权限提升防御具有重要参考价值。

扬州大学软件与安全团队在ICSE2026会议上凭借LoopRepair漏洞修复方法获得ACMSIGSOFT杰出论文奖，该方法采用位置感知和轨迹引导的迭代修复策略，实验显示在41个漏洞数据集中能多修复8-13个漏洞，实现修复性能突破。

本文为知远战略与防务研究所发布的’美军作战评估研修班’通知，重点介绍作战评估在现代信息化战争中的重要性及AI辅助评估的发展趋势。文档概述了研修班将于2026年7月11-12日在北京举办，包含评估术语辨析、实战经验、MOP/MOE指标、JPP循环整合及战斗评估流程等七大主题，旨在通过系统化培训提升作战评估专业能力。

本报告系统解析美军战斗搜救行动体系，梳理其发展脉络、权责分工、力量编成与作业流程，并以2026年美以伊冲突中F-15E机组营救战例为案例，验证理论体系的实战运用逻辑，为相关领域研究提供体系化参考支撑。

本文回顾了美军在四次战争中的战区后勤指挥问题，分析其根源在于缺乏统一接口与资源裁决机制，重点阐述美军通过统一后勤需求、运用后勤指令权及数据整合化解结构性矛盾的实践经验，并对比中美两军联合后勤模式差异，为我军体系建设提供本地化启示。

本文记录了对某高校证书站的渗透测试过程，作者通过抖音公开信息获取新生账号，利用扫码登录绕过校园网限制，发现系统存在用户照片遍历、存储型XSS、前端越权等多处漏洞，最终获取管理员权限并发现AES密钥。文章强调所有测试需获得授权。

本文展示了关于四场伊以冲突中伊朗导弹与无人机打击情况的报告目录。该报告系统梳理了2024至2026年间伊朗四次真实承诺行动的背景、手段、战术演变及防空反导经验教训，旨在为常规火力运用研究提供参考。但本文仅为目录与联系方式，无实质技术内容。

网传驾考增项系谣言。宿州警方查明，6名驾校人员为招揽学员，故意曲解驾培新国标，编造虚假信息制造焦虑以误导公众报名。目前6人均被行政处罚。提示公众获取政策变化应以官方发布为准，不信谣不传谣，从业者解读政策须严守法律底线。

该文档指出AI安全落地需突破三个关键瓶颈：AI能力必须深度融入而非简单外挂至现有安全体系，避免双系统并行增加运维负担；AI判断需具备可解释性，提供完整推理链路以降低决策疲劳；数据地基质量是AI效能天花板，需优先完成资产台账、日志采集等数据治理工作。文章强调这三项实践共识是确保AI安全工具持续发挥价值的基础。

OperationEscaneo攻击事件揭示AI驱动入侵已成现实威胁：独立黑客利用大模型生成全链路攻击脚本，在30天内攻破墨西哥政企金融机构核心系统，导致195亿条公民财税、信贷等敏感数据及150GB涉密文件泄露。攻击全程依赖提示词诱导模型突破安全护栏，自动生成漏洞利用、权限提升、数据外带代码，暴露内网防护薄弱、权限粗放、日志审计缺失等通用安全短板。建议政企金融行业实施AI准入白名单、部署Prompt安全网关、强化内网零信任隔离、完善流量与数据防泄露管控，并建立AI专项安全运营机制。

本文详细介绍了Spine-Leaf架构在构建万卡级AI智算中心无损网络中的应用。该架构通过扁平化设计实现可预测延迟，利用全互联结构保障高可用性，并支持线性扩展。针对AI训练中GPU通信瓶颈，方案结合RoCEv2、PFC、ECN等技术构建零丢包微秒级网络，将GPU利用率从30%-50%提升至70%-95%。威努特推出的128端口400G交换机搭载自研SONiC系统，为大规模算力集群提供高速互联底座。

报告基于招聘数据和劳动力研究，总结AI+安全领域十大新兴职位，分为正在热招、正在形成和未来出现三类，涵盖AI/ML安全工程师、AI红队专家、AI治理合规主管等，为从业者提供职业发展方向参考并指出当前企业部署AI存在的安全隐患。

本文探讨AI在安全运营中心的应用与全包捕获技术的协同价值，指出AI加速威胁分析但需依赖全包捕获提供可验证证据以确保判断可信度。文章强调全包捕获作为网络活动历史记录对漏洞回溯、攻击调查的关键作用，并介绍观初科技ASOC方案通过AI赋能、全流程托管和7×24小时守护提升企业安全运营效率。

2026年6月23日黑客论坛出现名为Apollinaris的用户出售Windows全版本本地提权0day漏洞，标价8.5万美元。该漏洞可从普通用户权限静默提升至SYSTEM权限，支持绕过EDR防护，并能提取DPAPI主密钥和Netlogon会话密钥。卖家提供两段验证视频证明漏洞有效性，影响范围涵盖Windows10至11及Server2016以上所有版本。安全专家建议企业加强权限监控并遵循最小权限原则。

小米电视因测试失误误报地震预警引发公众恐慌，律师分析指出企业需承担民事侵权责任，可能面临行政监管处罚。事件暴露智能硬件行业应急预警管理漏洞，建议完善测试环境隔离、多级复核机制，消费者可通过12315等渠道维权。

文档介绍作者将原有臃肿工具SPiderX重构为轻量级登录自动化爆破工具LichAuto，该工具能自动识别登录页面类型并采用相应爆破策略，支持简单POST请求和复杂验证码破解。重点展示了工具在护网演练、资产梳理等场景的应用，并创新性地通过MCP接口实现AI自动化调用，体现了安全工具与AI联动的未来发展方向。

该文档展示了一个XSS漏洞实例，通过向ColdFusion历史数据查询接口注入onclick事件触发弹窗。漏洞利用点在fld\\_displaytype参数中插入accesskey=‘X’onclick='alert(XSSSuccess!)'的payload，并提供了完整的HTTP请求示例。文章最后推广了作者的知识星球付费社区。

该文档为海澜之家线上剪标清仓促销广告，活动时间为6月26日至28日，主打1折起低价秒杀，最低商品价格19.9元，涵盖男士外套、衬衫、裤装等春季夏季服饰。活动提供全国包邮、7天无理由包邮退货服务，需通过扫描二维码进群或添加客服参与抢购。

文档报道了多项AI与科技领域动态：马斯克宣布SpaceX太空算力计划命名为Starmind，目标部署百万颗卫星构建轨道AI算力集群；英伟达B200芯片租赁价格较5月高点下跌31%；OpenAI与博通联合推出自研AI芯片Jalapeño，宣称性能媲美英伟达Blackwell；SK海力士计划赴美上市，MiniMax发布约6亿港元股权激励；孙正义宣布延迟退休并全力押注AI；此外还涉及豆包专业版上线、小米NAS发布及《GTA6》定价等消息。

OALABS报告显示一名技术薄弱攻击者通过滥用Claude和Codex等AIAgent成功入侵14家企业。攻击者仅需发出模糊指令（如`侦察服务`），AI即自动完成端口探测、漏洞分析、漏洞利用脚本编写及权限提升等全链条攻击。研究揭示AI安全防护机制易被`红队测试`话术绕过（违规触发率不足1%），暴露了AI降低攻击门槛、压缩攻击时间、引发防御范式转型的严峻挑战。

威胁行为者正积极利用思科统一通信管理器（统一CM）的关键SSRF漏洞CVE-2026-20230（CVSS8.6），该漏洞允许未认证攻击者通过构造HTTP请求实现文件写入并提权至root。利用前提需启用WebDialer服务（默认关闭），缓解措施包括升级至14SU6/15SU5版本或临时禁用该服务。技术细节显示攻击已结合PoC实现主机信息获取与代码执行。

本文探讨了如何将大型语言模型（LLMs）作为逆向工程和恶意软件分析的辅助工具，以提升工作效率。文中介绍了ModelContextProtocol(MCP)框架，该框架能标准化应用程序向LLM提供上下文的方式，并支持与IDAPro等反汇编器集成。文章还详细讨论了如何选择合适的LLM模型、客户端工具（如Ollama、Claude3.7Sonnet）以及本地部署方案，并通过一个真实的IcedID恶意软件样本分析案例，对比了不同LLM在分析速度、成本、隐私等方面的表现，指出了使用LLM时可能遇到的上下文窗口限制、

本文详细介绍了在Windows11环境下配置jadx-ai-mcp与trae大模型结合进行Android逆向分析的全过程，包括jadx工具安装配置、插件部署、Python环境搭建、trae大模型集成及实际应用案例。文章提供了完整的操作步骤和注意事项，展示了如何利用该工具分析AndroidManifest.xml安全风险并生成报告，指出mcp技术可辅助定位加密函数和证书校验等逆向工作。

该文档系统介绍了四款主流安全工具的基础使用方法：Fscan用于内网资产发现与漏洞扫描，支持C段扫描、密码爆破和模块化探测；Nmap提供端口扫描、服务识别和系统检测功能，包含半开扫描和全连接扫描等多种技术；Golin兼具等保检查与渗透测试能力，支持Windows/Linux系统检查和弱口令爆破；Sqlmap专注SQL注入检测与利用，涵盖数据库枚举、数据提取和系统提权等操作。文档详细列出了各工具的核心参数及其应用场景，为安全从业人员提供了实用的操作指南。

本文分析了2026年6月期间在社交媒体上出现的十张具有高情报价值的照片。这些照片主要由各国领导人或官方媒体发布，其核心情报价值体现在：1\\.伊朗最高领袖穆杰塔巴·哈梅内伊使用AI生成的照片以掩盖其真实状况；2\\.特朗普通过发布与金正恩的旧照及AI生成的战场图像来传递外交信号和塑造个人叙事；3\\.泽连斯基公开所谓的克里姆林宫内部文件照片以进行心理战和舆论动员；4\\.G7峰会期间各国领导人通过自拍和合照进行外交预热与关系展示。文章揭示了当前情报分析正面临AI内容大规模混入、图像真实性核