ZONE.CI 全球网

本文详细分析了TLCP协议中基于密码套件ECC_SM4_GCM\\_SM3的双向身份鉴别过程，涵盖客户端与服务端的证书交换、签名验证及密钥协商。分析遵循GB/T38636-2020等标准，通过抓包数据展示了ServerKeyExchange签名与验签成功等关键步骤，验证了协议实现的正确性。

AutoCVE是一个Agent驱动的自动化CVE发现平台，实现从项目筛选、源码审计、漏洞验证到CVE报告生成的全流程自动化。其核心能力包括一键式流水线、Multi-Agent协同审计机制、三种审计模式（增强扫描、智能审计、综合审计）以及专用FindingAgent。平台支持交互式审计与全流程追踪，并具备智能漏洞管理与Skills扩展功能。在测试中，AutoCVE共发现并提交了30个安全漏洞，用户可通过GitHub获取。

本文针对服务器iLO证书过期或不安全导致的浏览器拦截问题，提供了两种解决方案。一是通过修改hosts文件并使用主机名访问，再将iLO证书导入系统受信任根证书颁发机构以解决信任问题。二是生成自定义证书，包含iLOIP地址，使用本地CA签发并导入，同时将CA证书导入受信任根证书颁发机构，实现长期一劳永逸的解决。

本期暗网快讯披露2026年7月3日全球多起重大数据泄露事件，威胁行为者ShinyHunters、MOSAD等窃取并售卖法国FICOBA银行账户、澳大利亚TEG票务、阿塞拜疆国家安全局等超20家机构数据，涉及客户信息、内部凭证及军事文件，凸显暗网数据交易活动猖獗与全球数据安全防护严峻挑战。

本期网安早报涵盖全球网络安全动态，包括谷歌联合FBI打击NetNut住宅代理网络、FortiBleed行动者利用NextCloud零日漏洞、Anubis勒索软件利用CitrixBleed2漏洞攻击多行业等威胁事件；美国计划2028年建成量子计算机以破解数据保护，FCC路由器禁令豁免Verizon引发安全担忧，最高法院裁决动摇欧美数据隐私框架；MustangPanda通过DLL劫持植入间谍软件，Ousaban恶意软件通过钓鱼PDF攻击银行用户，ChocoPoc恶意软件瞄准安全研究人员。

本文详细阐述了curl在Web渗透测试中的核心价值与实战技巧，强调其作为命令行工具在字节级控制、可脚本化及落地即用方面的不可替代性。文章覆盖了从参数速查、信息收集、认证会话处理到SQL注入、SSRF、路径遍历、文件上传等漏洞验证的完整流程，并提供了绕过技巧与脚本化fuzz方法。全文明确要求仅用于授权测试，未授权测试他人系统违法。

该文档介绍了一款针对若依Vue系统的自动化漏洞检测工具，支持扫描Swagger泄露、Druid未授权、文件读取、SQL注入、定时任务读取、密码修改及接口越权等漏洞。工具还提供JS接口爬取、批量接口测试和敏感信息搜集等辅助功能，具备多线程并发、代理支持和SSL忽略等特性。建议安全测试人员使用该工具进行若依系统的安全评估。

文章揭示施耐德电气浮动许可证管理器存在CVE-2024-2658漏洞，源于FlexNetPublisher组件路径校验缺失，允许本地用户构造恶意配置文件，在服务重启后加载DLL，实现从普通用户到SYSTEM的权限提升，威胁工业网络。建议升级FLM至3.0.0.0及以上版本修复。

本文介绍了使用Claude结合JEBProMCP工具分析AndroidAPK的方法。首先配置MCP环境，然后利用AI进行组件安全审计，发现Provider的SQL注入、路径遍历漏洞及Service组件任意文件写入等安全问题。最后通过AI辅助解CTF题，成功计算出正确flag。文章提供了具体配置步骤和实战案例，展示了AI在APK安全分析中的应用效果。

本文系统研究`十五五`时期生产性服务业发展路径，梳理其理论内涵与`十四五`期间规模扩容、结构升级等成效，解读`十五五`顶层战略定位及研发设计、信息技术等六大重点领域发展方向，剖析当前结构失衡、创新不足等挑战，并提出深化两业融合、推进数智化转型等系统性政策建议。

阿图因AI在CyberGym测试中得分84.0%超过Mythos，并发现Mythos未发现的curl中危漏洞(CVE-2026-9079)。该系统在多个加密算法库中发现严重逻辑漏洞，包括OpenSSL和国密算法，最高评分9.3。阿图因AI在BVI严重漏洞总数榜排名第5，严重程度榜排名第1。文档强调阿图因AI是专为漏洞挖掘设计的Agent，与通用模型Mythos设计目标不同，不能简单比较。

2026年6月首席安全官月度内参指出，前沿大模型将已知漏洞武器化周期压缩至小时级，体系化攻击正取代单点漏洞成为企业主导风险，安全与数据治理要求加速嵌入各行业日常运营流程。同时，CiscoSD-WAN、CheckPoint、LiteLLM及Linux/FreeBSD内核等出现高危漏洞，企业需同步推进边界收缩、老旧协议清理与高危资产快速阻断。

本文为目录遍历漏洞绕过技术指南，介绍四种绕过防护的实战方法：嵌套序列迷惑过滤器、URL编码绕过、合法路径越狱及空字节截断。文章强调技术仅用于授权测试，严禁非法使用，并提醒遵守网络安全法。内容包含具体参数示例，适合安全研究人员参考。

微软近期从Edge插件商店移除119款名为Stegoad的恶意扩展，其通过PNG、WebP及WOFF2文件隐写术植入恶意代码，采用灰度执行、反调试、C2指纹校验与多层解码等复杂免杀技术，并滥用CloudflareWorkers、GitHubPages及GoogleAnalytics等基础设施构建僵尸网络，窃取凭据、会话并植入RCE后门，已感染约260万用户。建议用户检查并移除可疑扩展、重置核心密码并采用硬件安全密钥替代短信验证码。

Gogs存在高危路径遍历漏洞CVE-2026-52813，影响版本低于0.14.3。攻击者可通过构造恶意组织名称绕过校验，将仓库写入预期目录外并篡改GitHooks脚本执行任意命令。POC已公开，官方已发布修复版本，建议用户立即升级至0.14.3。

ADPulse是一款开源只读轻量级AD安全扫描器，提供35项安全检查、风险评分系统及三种报告格式，支持极低权限要求和Pass-the-Hash。项目地址为GitHub，仅供安全研究使用，使用者需承担法律责任。

该文档为2026年中国第三方算力中心服务商发展研究报告，由科智咨询发布，内容涵盖算力中心服务商的发展现状与趋势，并提供了相关行业报告及政策文件的下载链接，旨在为读者提供算力产业深度分析与参考。

文档标题为DDoS攻击趋势与防御演进，但正文仅包含图片和文件下载链接，无具体文字内容，无法提取核心要点。

美军MASH实验成功集成多个AI微服务，实现跨域指挥控制决策链条的自动化，显著提升决策速度。该实验验证了即插即用模块化架构的可行性，并首次让太空军深度参与，标志着美军在构建联合全域指挥控制能力上取得关键突破。

本文指出使用10080端口会导致Chrome和Firefox浏览器无法访问Web服务，因为该端口被浏览器内置的受限端口黑名单拦截。建议搭建Web服务时避开此端口及列表中的其他端口，改用如18080等非受限端口即可正常访问。

Socradar威胁研究团队将FortiBleed大规模凭证窃取活动与IncRansom和Lynx两个勒索软件组织直接关联，攻击者利用FortiGateSniffer工具从超43万台FortiGate防火墙中窃取凭证，并已对至少354个组织完成从入侵到域控获取的全链条攻击，其中12次攻击已确认部署勒索软件。研究显示该运营团队约20人，结构严密，操作员同时管理勒索软件谈判面板，证实了凭证窃取与勒索攻击的直接关联。

Adobe已为ColdFusion和CampaignClassic发布安全更新，修复了多个严重漏洞，其中包括七个CVSS评分为10.0的最高严重性漏洞。这些漏洞可能允许攻击者执行任意代码、提升权限、读取敏感文件或绕过安全防护。Adobe强烈建议客户尽快应用更新以降低风险，目前尚未发现这些漏洞被积极利用的证据。

北京银行发布2026年大模型安全网关建设项目招标公告，预算200万元，仅限大模型原厂商投标，不接受代理商。投标人需满足特定资格条件，通过中招联合平台获取文件，投标截止日期为2026年7月23日。该项目旨在加强AI安全建设，为相关厂商提供商业机会。

中国邮政储蓄银行以单一来源采购方式，确定北京智谱华章科技股份有限公司为’大模型智能研发测试辅助系统2025年新增功能工程智能编程应用软件技术开发项目’的成交供应商，成交金额为49万元人民币。该项目旨在通过大模型技术提升智能编程与研发测试效率，公告发布于2026年7月3日。

Synacktiv发现ArgoCDrepo-server组件存在未认证RCE漏洞，可导致整个Kubernetes集群被攻陷。文章详细介绍了利用CodeQL进行静态分析发现漏洞的过程，包括自定义RemoteFlowSource以增强污点跟踪，并描述了从漏洞利用到获取集群控制权的完整攻击链。建议用户立即升级ArgoCD版本并实施网络隔离等缓解措施。