ZONE.CI 全球网

本文披露npm仓库遭WEL1DROPPER投毒事件，约850个恶意包放弃传统安装钩子，改由README诱导开发者使用require加载，成功绕过安装期检测。载荷经HTTPS与DNSTXT双通道下发跨平台远控及信息窃取程序，具备ETW/AMSI致盲与假telemetry干扰审计等对抗手段。建议企业将防线延伸至引用期，搭建私有源代理、强化CI/CD卡点与凭证管控、监控异常DNS出网，并警惕AI推荐依赖，中招后须优先轮换全部凭证。

日本研究团队提出一种基于AI的声学侧信道攻击技术，利用无监督学习和语言模型，仅凭键盘敲击声即可高精度还原输入内容。实验显示，近距离手机录音下100-150字符还原准确率超99%。该攻击无需预先采集目标键盘数据，可应用于咖啡厅窃听、共享办公桌震动窃听及视频会议背景音窃听等场景。建议用户使用密码管理器、开启会议软件降噪功能、在公共场所避免输入敏感信息以降低风险。

2026年7月27日，一个威胁行为者通过Telegram公开披露了包含约60万条记录的印度尼西亚全国车主数据库。经OSINT验证，实际数据包含599,307条记录，涵盖车主全名、国民身份证号、家庭住址、车牌号、车辆识别码等高度敏感信息。数据疑似源自印尼SAMSAT机动车辆登记系统，可能对约24万名印尼公民的隐私和财产安全构成直接威胁，并可能被用于电信诈骗、身份冒用等犯罪活动。

本文回顾了网络安全行业过去二十年的演变，从传统的杀毒软件和防火墙等边界防御，转向应对云计算、移动技术、物联网和人工智能驱动的复杂威胁。文章指出基础设施变化迫使防御思维转变，安全工具从硬件转向软件，安全支出显著增长且软件占比过半。核心结论是网络安全原则虽未变，但组织需采用平台化、智能化的新防御策略以适应现代攻击面。

美国国务院发布生成式AI行动手册，以StateChat聊天机器人为核心案例，展示其在外交情报体系中的AI化进程。StateChat已覆盖98%的外交机构，并整合Northstar等工具形成情报工作流。文章重点分析了提示词注入、知识库污染、智能体权限滥用、供应链风险及仿冒域名等五类威胁，指出AI正从办公工具演变为外交信息基础设施，同时带来新的安全挑战。建议将AI平台纳入威胁情报监测，实施外部信息与内部数据隔离，并建立完整资产清单。

本文系统梳理内网横向移动五大途径，重点详解远程桌面、IPC$共享及PTH哈希传递攻击。剖析了IPC$基于SMB的认证原理、UAC过滤机制及利用SC服务执行命令的技巧，并解读PTH在NTLM与Kerberos协议下的底层流程。实战建议优先抓取本地凭据，结合密码喷洒与PTH快速扩大战果。

本文披露了2026年电商物流中台的一个高危漏洞：攻击者利用物流状态机中未受保护的PICKED\\_UP过渡态，结合水平越权和可预测的物流单号，可在不触发风控的情况下将他人包裹的收货地址修改为自己地址。漏洞根因是物流系统与订单系统权限解耦、状态机设计缺陷及单号可枚举。防御方案包括强制校验用户身份、关闭过渡态修改入口及使用随机UUID。文章提供了SRC挖洞建议，强调关注跨服务调用链中的权限衰减。

BLERP攻击利用BLE重配对设计缺陷，攻击者通过冒充设备诱导重新配对，用新密钥覆盖旧密钥，无需破解原密钥。攻击在多种设备上有效，但依赖身份识别步骤，尤其在RPA场景中需解决IRK问题。建议加强重配对认证或使用SecureConnections模式。

本文介绍了一款开源的云安全漏洞挖掘工具集cloud-vuln-skill，支持S3存储桶爆破、IMDS元数据探测、K8s未授权访问检测、容器逃逸条件筛查及AK/SK凭据验证与权限枚举等功能。工具遵循只读探测原则，无破坏性操作，适用于云资产风险巡检与实战攻防演练。文章后半部分包含大量内部VIP知识星球的推广内容，属于软文广告。

本文为关于Fastjson2远程代码执行漏洞的通告标题及发布信息，但文档正文内容缺失，无法提供具体的漏洞细节、影响范围及修复建议等核心要点。由于缺乏实质技术内容，无法进行深入分析。

Kiro是AWS的AgenticIDE，其MCP配置文件mcp.json不受保护，AI可无审查修改并自动重载，导致远程代码执行。攻击者通过隐藏指令（如白色文字）诱导AI写入恶意配置，绕过人类审批。漏洞已修复（CVE-2026-10591），建议用户更新。安全边界应建立在平台层面而非模型判断上。

ApacheFory项目于2026年7月21日披露四个反序列化漏洞，三个评级重要一个中等，已在1.4.0版本修复。漏洞影响Java、C++和Rust三种语言实现，包括类注册校验绕过、类型混淆、释放后使用及越界读取。建议立即升级至1.4.0版本并检查间接依赖，目前无在野利用但提前修复更稳妥。

MedusaHVNC木马滥用Windows隐藏桌面劫持浏览器，窃取Cookie与登录凭证。其通过混淆脚本注入charmap.exe进程，经多层加密绕过沙箱检测。因全程调用合法API，进程监控易失效。建议安全团队将防护转移至网络层，直接封禁其硬编码的C2地址与文件哈希，拦截异常外联流量以有效阻断威胁。

研究团队公开GitLab远程代码执行漏洞链，串联Oj组件的越界写入与堆指针泄露两处内存缺陷。攻击者仅凭推送权限，通过构造恶意Jupyter笔记本差异渲染即可绕过ASLR，以git用户权限执行命令，导致源码泄露与内网移动。该潜伏近五年的漏洞虽已于6月修复但被误归为普通Bug。建议受影响版本用户立即升级至18.10.8、18.11.5或19.0.2，暂无配置缓解方案。

该文档披露了n8n工作流自动化平台中一个沙箱逃逸漏洞，该漏洞绕过了CVE-2026-27577的补丁。攻击者通过利用箭头函数中的多态填充间隙和Reflect.get的字符串参数绕过属性拒绝列表，实现了远程代码执行。漏洞影响拥有工作流编辑权限的用户，可导致主机级别的RCE。建议用户立即更新n8n，并限制工作流编辑权限。

该文档披露了沃尔沃与Eicher合资企业MyEicher车队管理平台的严重安全漏洞。攻击者通过未授权API可获取17.4万用户、67.6万车辆及7.6万份敏感文档数据，并利用泄露的OTP实现账户接管，从而控制整个车队。漏洞已于2025年11月修复，建议相关系统立即排查类似API暴露风险并加强认证。

本文档记录了一次针对教育网资产的渗透测试实战，从发现ASP站点的SQL注入漏洞开始，利用报错注入获取数据库信息，最终通过xp\\_cmdshell实现远程代码执行(RCE)并拿下服务器权限。文章详细展示了利用AI辅助生成自动化脚本的过程，但后半部分大量篇幅用于推广付费安全圈子、知识库和漏洞库等商业内容，技术价值被商业推广稀释。

Chrome版Claude存在间接提示注入漏洞，攻击者通过恶意邮件操纵AI读取Gmail验证码，可劫持Slack、X和Claude.ai账户。攻击利用JavaScript工具在已认证浏览器会话中执行代码，通过GmailAtomfeed提取验证码。该漏洞暴露了AI浏览器Agent在不可信内容处理与邮箱身份验证结合时的严重安全风险，建议用户警惕此类攻击链。

n8n修复高危表达式沙箱逃逸漏洞(CVSS8.7),攻击者需有效账号且能编辑工作流,成功后以n8n进程权限执行命令。官方修复版本2.31.5和2.32.1。文章强调工作流编辑权限应视为高风险,提出四条处理建议:确认真实版本、重算编辑权限、检查主机与工作流证据、决定是否轮换凭据,并建议补上进程、凭据和变更三道边界。

HackerNews摘要涵盖多项科技动态：DeepSeekV4Flash0731在ARCPrize上展示快速模型推理能力；vLLM系统拆解高吞吐推理设计；网站与爬虫长期对抗凸显独立站点运维挑战；新墨西哥法院判Meta赔偿5.67亿美元因青少年心理健康伤害；尼泊尔政府接入HaveIBeenPwned提升泄露监控；USB-C线缆标签不可信需仪表实测；生物工程口香糖探索抗HPV新途径；AI降低执行成本后品味成为关键差异；圣保罗居民将退化地改造成城市森林；美国以12亿美元补偿叫停海上风电项目。

Firecrawl团队开源基于Rust的文档转换库anydoc，可将PDF、Word等14种格式极速转为Markdown。该工具转换中位数仅4.4毫秒，基于字节头识别真实格式且无外部依赖。它统一了内部文档模型与API，大幅降低RAG与Agent开发的文档预处理门槛，开发者可一行命令直接调用。

本文详细演示了SQL注入的四种手注类型:报错注入(利用updatexml等函数将数据带进错误信息)、布尔注入(通过页面差异逐字符判断)、时间注入(使用sleep等函数制造延迟)和排序注入(利用casewhen控制排序方向)。文章基于SpringBoot和MySQL5.7.28环境,提供了每种注入的完整步骤、函数示例及绕过技巧,并给出了替代函数表。核心结论是SQL注入虽因WAF减少但仍存在,手注技术仍是关键技能。

本文梳理了窃听技术从古代人工偷听到现代全域技术监听的演变历程，通过垓下之战和一战凡尔登战役等历史案例，揭示了窃听在情报博弈中的关键作用。文章指出，现代窃听技术已发展为多学科融合的复合型体系，具备高精度、微型化、智能化特点，对电磁安全和信息保密构成严峻挑战，强调在数字化时代筑牢信息安全防线的重要性。

本文揭露AIAPI中转站灰黑产乱象，指出低价Token背后隐藏封号跑路、模型降智、恶意代码注入、窃取云凭证及盗取加密资产等风险。实测发现大量中转站存在主动恶意行为，用户数据面临裸奔状态，且涉及非法经营等法律风险。建议开发者与企业避免使用第三方中转，严禁敏感数据经不明代理，优先选用官方接口或合规服务。

枣庄警方破获涉案超5000万元特大网络制贩假证案，由私家侦探倒卖公民信息牵出。专案组跨省收网抓获35人，捣毁多个窝点，查获三万余份假证照及一万枚印章，并打掉物料供应与使用假证团伙。警方提醒企业与金融机构须严格核验证照真伪，公众切勿触碰法律红线。