ZONE.CI 全球网

该文档记录了针对某内网靶场的完整渗透测试过程，涉及环境搭建、指纹识别、弱口令利用、数据库操作、密码重置、后台getshell、绕过disable\\_functions及内网渗透初探。关键步骤包括通过MySQL弱口令获取数据库权限、利用Joomla后台模板编辑写入Webshell、使用蚁剑插件绕过函数限制执行系统命令。文档结尾附有安全培训广告及知识库推广内容。

本文系统总结商用密码应用安全性评估能力验证考试核心考点，重点解析SM4分组密码算法的七种工作模式特征、推断方法及安全风险（如CTR模式计数器重叠攻击、CBC模式PaddingOracle漏洞），详细说明SM3\\_HMAC正确实现方式与常见错误，强调密码算法在完整性保护中的规范应用。文档涵盖密码产品接口、密钥管理、量化评估等实操要点，为密码安全测评提供明确技术指导。

本周威胁情报披露多起高级持续性威胁活动，包括蔓灵花组织利用钓鱼网站投递VBS脚本、Kimsuky通过鱼叉邮件渗透企业、VSCode扩展潜伏DPRK后门等。关键发现显示攻击者持续利用未修补漏洞（如WinRARCVE-2025-8088）、滥用云服务（Dropbox、Azure）及AI热点进行社会工程攻击，并出现针对开发者供应链的PyPI恶意包和GitHub账户入侵事件。建议及时更新补丁、加强邮件过滤与代码仓库安全审核。

该文档为360SRC与看雪学苑联合主办的`智弈`AI智能体攻防实战沙龙招募公告，聚焦2026年AI安全前沿趋势。沙龙重点探讨AI智能体越权攻击、供应链安全、自动化漏洞挖掘等实战议题，要求投稿内容具备原创性、可复现性及数据支撑。活动设具体议题提交规范与截止时间，旨在构建AI安全实战技术交流平台。

近日，名为TheGentlemen的勒索软件组织引发全球关注，截至2026年4月已声称攻陷478个受害者。其恶意软件具备蠕虫式自我复制能力，支持–spread参数在内网传播，–wipe参数可擦除恢复痕迹。该组织由前勒索软件附属成员创立，采用90%高分成吸引攻击者，并要求提交1GB真实数据作为投名状。企业需及时修补漏洞、加强EDR能力并定期隔离备份以应对威胁。

Langflow开源低代码平台存在高危路径遍历漏洞CVE-2026-5027（CVSS8.8），攻击者通过未认证请求即可实现任意文件写入和远程代码执行。公开暴露的7000余个实例中多数位于北美，攻击活动已确认在野利用。维护者已在Langflow1.9.0版本修复漏洞，建议用户立即更新至最新版本。

伊朗法尔斯通讯社声明将马斯克旗下星链地面站列为军事打击目标，指控其在美国对伊军事行动中提供通信支持。文档分析星链从民用网络演变为军事工具的过程，包括为美军无人机提供指挥链路，并探讨国际法对双重用途基础设施的界定困境。伊朗此次行动延续了其将美国科技企业资产列为打击目标的策略，同时通过纳入阿联酋股东设施向海湾国家施压。

甲骨文确认其PeopleSoft人力与薪资管理服务存在严重漏洞，该漏洞无需密码认证即可通过互联网被远程利用，已被ShinyHunters黑客组织用于攻击全球100多家机构（主要涉及美国高校）。漏洞导致数十万条学生敏感信息泄露，甲骨文建议客户立即采取缓解措施但尚未发布补丁。

文档披露WinRAR漏洞CVE-2025-8088自2025年7月曝光后仍被黑客大规模利用，该路径遍历漏洞允许恶意载荷通过压缩包解压时自动写入系统启动项。受影响版本为7.12及以下，因缺乏自动更新机制导致大量用户未修补。建议立即检查WinRAR版本并手动更新至7.13以上以阻断攻击。

本文详细解析了UDS协议安全CTF挑战的完整解题过程，涵盖VIN码读取、多级安全访问机制（Level1-5）、内存dump等关键技术点。通过实际CAN总线通信示例展示了ISO-TP多帧传输、Seed-Key认证、会话控制等UDS核心机制，提供了从基础接口识别到高级内存取证的全流程实战经验。

安全研究员brutecat利用AI驱动的模糊测试流水线，在90天内通过大规模收集API密钥、逆向工程认证机制及集成ClaudeAI进行自动化渗透测试，发现谷歌1500个API中的系统性访问控制缺陷，包括账户接管、数据泄露等高危漏洞，累计获得50万美元赏金，凸显AI在攻防安全中的可扩展性。

韩国电商巨头Coupang因大规模数据泄露事件被处以6247亿韩元罚款，影响超3700万用户数据，占全国人口72.67%。监管机构指出泄露主因是安全管理体系不足而非复杂攻击，包括未妥善管理身份认证系统及未经授权收集用户活动记录。建议企业加强数据防护体系并严格遵循隐私法规。

美国国防部于2026年6月10日宣布启动网络精通激励薪酬计划，该计划是网络司令部2.0框架的重要组成部分，旨在通过技能激励薪酬和特殊职责津贴两个层次改革网络作战部队薪酬体系。计划将于2026年10月1日生效，通过将薪酬与认证技能掌握程度和艰巨职责直接挂钩，系统性地提升美军网络作战岗位专业技能，吸引、培养和保留网络领域人才。

该文档系统分析了智能体技术在金融领域应用面临的安全风险，涵盖技术攻击、模型能力和治理合规三大维度，并针对支付、投研、信贷等具体场景提出安全治理框架。文章指出智能体在提升金融服务效率的同时，其内生脆弱性可能引发系统性金融风险，建议通过权限收敛、意图保护、决策验证等六项措施构建纵深防御体系。

本文档针对火绒安全企业版用户，详细说明了异常终端（红色状态）的定义、排查与处理方法。核心内容包括通过控制中心查看终端状态、本地重启设备、检查服务、使用专杀工具及联系技术支持等步骤，并提供了启用管理员密码保护、定期检查异常终端数量等预防建议，旨在帮助企业快速恢复终端安全状态。

国家网信办指导重点网站平台制定《整治涉企侵权信息优化营商网络环境自律公约》，要求平台清理侵犯企业家个人权益信息、清除涉企虚假信息、加强榜单管理、优化算法推荐、杜绝涉企负面信息投流行为，从严管理非法牟利账号并取消其营利权限，加强账号处置力度以保护企业和企业家网络合法权益。

国家安全部发布警示称境外间谍情报机关正通过多种手段窃取我国海洋敏感数据，威胁国家安全。文档提醒相关单位和个人加强数据防护意识，采取有效措施防范数据泄露风险。

本文介绍了YakMCP架构演进，通过标准化协议实现AI与安全工具的深度集成。核心转变是从定制化黑盒交互到标准化总线模式，支持动态工具链发现和双向能力开放。Yakit可作为MCP客户端调用外部工具（如IDAPro逆向分析），也可作为服务端将网络测绘、漏洞扫描等安全能力开放给第三方AI。文档详细展示了实战案例和三种传输模式（Stdio/SSE/StreamableHTTP），为构建企业级AI安全工作流提供工程化解决方案。

上汽集团首届网络安全应急响应竞赛由360数字安全集团提供全程技术支持，通过理论赛、CTF夺旗赛和AWD攻防赛三大模块选拔出30名专业人才组建集团首支应急响应团队。竞赛聚焦汽车行业全链路安全风险，以实战化演练提升应急响应能力，实现了以赛代练、以赛促建的目标，为车企网络安全体系建设奠定人才基础。

TeamPCP是一个自2025年下半年活跃的AI驱动供应链攻击组织，其攻击横跨npm、PyPI、DockerHub等10+分发渠道，通过窃取凭据劫持发布权限进行供应链投毒。该组织利用AnthropicClaude、GPT-4o等AI工具生成恶意代码，使武器迭代周期缩短至2-3周，并开源核心框架引发第三方变种扩散，首次实战击穿SLSABuildLevel3可信发布标准，对开源供应链安全构成严重威胁。

国家网信办首次发布《中国个人信息保护报告（2025年）》，系统总结2025年我国个人信息保护工作在法规建设、监管治理、社会共治等方面取得的成果，包含顶层设计、宣传教育、国际合作等内容，并为2026年工作提供指引。报告还收录了相关法规、标准和典型案例。

日本九州电力株式会社因物理安全漏洞导致存储1090万客户数据的硬盘丢失。事件发生于4月27日至5月26日间，服务器机柜未上锁致使硬盘失窃，泄露数据包含客户姓名、地址、用电信息等敏感内容。公司已报案并配合监管部门调查，承诺加强物理安全措施并通知受影响客户。

2026年5月全国网络举报量达1799.4万件，主要举报类型包括色情低俗、侵权假冒、网络诈骗等有害信息。数据显示微信、微博等平台成为主要举报渠道，反映公众积极参与网络治理。文章呼吁进一步畅通举报途径，提升处置效率，共同维护清朗网络空间。

公安部通报当前电信网络诈骗呈现刷单返利（占25%）、虚假网络投资理财（占损失40%）等10类高发手法，占全部案件85%。新变化包括通过网络平台寻找目标、使用小众通联软件洗脑、诱导下载诈骗APP盗刷、诱骗购买贵重物品转移资金。警方提示需警惕96110预警并配合劝阻，6月启动`全民反诈在行动`宣传月活动。

Maigret是一款开源情报收集工具，可通过用户名在3000多个网站搜索目标公开注册信息并生成个人档案。工具支持递归搜索、绕过封锁检测，提供Web界面和AI分析功能，适用于网络安全领域的开源情报收集工作。