ZONE.CI 全球网

本文详细记录了作者在一次直播挖洞过程中，从发现一个无验证码登录口存在SQL注入漏洞开始，通过搜索支撑公司官网的演示视频泄露的账号密码登录后台，进而发现未授权访问和另一个SQL注入点，最终凑齐十个资产提交CNVD的完整过程。文章强调了供应链信息利用和未授权访问的重要性，并提供了可操作的经验。

Chrome与Edge浏览器被发现在后台自动下载约4GB的AI模型文件weights.bin，但要求预留20GB可用空间作为下载门槛，导致C盘空间被占用。用户可手动关闭设备端AI功能以阻止下载和清理文件，但删除后可能自动重下。建议检查设置关闭该功能以释放空间。

Anthropic为Claude添加隐形水印后，市面上涌现大量去水印工具，包括开源项目、付费网站及老牌AI检测规避服务商。但这些工具的有效性存疑，因为Anthropic尚未公布水印检测方法。水印仅证明内容被Claude处理过，不一定是AI生成。

360Quake测绘显示全网约40.9万AI中转站资产暴露，国内占17.2万，香港最多。中转站作为API二道贩子，存在上游Key泄露、用户请求被中间人、未授权调用及合规风险四大安全问题。建议运营者加强鉴权与补丁管理，用户避免传输敏感数据，企业应监控外联流量并收紧出口策略。

AI正重塑Web攻击，攻击者从人变为能自主学习的AI，传统规则库防守失效。嘉韦思Web动态防御系统通过动态身份认证、智能行为分析和动态混淆三大核心机制，以智防智、以变应变，构建主动防御体系，让AI攻击者找不到目标、走不通路径，实现从被动堵漏到动态对抗的转变。

该文档描述了一个以Word为主题的ClickFix攻击页面，伪装成MicrosoftWordOnline，诱导用户按Win+R并粘贴执行恶意命令，试图下载运行SearchIndex.exe。攻击者使用社会工程学手段，负载URL已离线但页面仍活跃。建议用户警惕此类伪装页面，不执行未知命令，并关注IOC指标。

UAC-0099威胁集群利用Notepad++插件加载恶意DLL进行攻击，感染链始于钓鱼邮件，通过VBS脚本部署LUNCHPOKE、BURNYBEAR和MATCHBOIL.V2等工具，利用计划任务维持持久性。建议更新Notepad++、WinRAR等软件，加强钓鱼邮件监控和异常进程检测。

本文详细记录了Bread域渗透靶机的完整攻击流程，从信息收集发现WeGIA管理平台，利用任意文件上传漏洞结合phar://协议实现RCE，获取Webshell后读取用户flag。通过分析系统配置获得数据库凭证，SSH登录后利用Python**pycache**注入攻击提权至root，最终获取rootflag。该过程展示了从Web漏洞到系统提权的典型渗透思路，对安全测试具有参考价值。

2026年7月，研究人员发现136个恶意RubyGems包部署XMRig门罗币挖矿程序并通过SSH横向传播。两个攻击者利用伪装成流行库的gem，通过延迟执行、持久化机制（bashrc、crontab、systemd）和反分析技术实现长期挖矿。安全团队应审核可疑gem、异常进程和SSH密钥访问。

一名威胁行为者声称拥有包含约1.6亿条记录的迪卡龙客户数据库并在网络犯罪论坛出售，数据包括个人身份信息和账户详情，但事件尚未得到独立核实。客户应更改密码、启用多因素认证并警惕钓鱼活动，以降低凭证填充和身份欺诈风险。

微软已修复Windows11及Server2025中代理文件系统驱动的高危漏洞CVE-2026-50458。该漏洞源于并发操作引发的Use-After-Free内存破坏问题，CVSS评分7.8。攻击者需具备本地低权限，可通过特制IOCTL请求绕过沙盒隔离机制，将权限提升至SYSTEM级别，导致系统完全被控。目前尚无在野利用记录。建议安全团队立即核查受影响系统的构建版本号，紧急部署2026年7月累积更新KB5101650；若暂无法补丁，应限制低权限账户本地登录并收紧应用控制策略以降低风险。

Vercel修复了Next.js框架中的九项安全漏洞，包括高危SSRF、中间件认证绕过、拒绝服务攻击及敏感数据泄露等风险。漏洞影响多个版本，建议立即升级至15.5.21或16.2.11版本，并审计重写规则、自定义服务器配置及缓存组件使用情况。

KnotResolver的DNS-over-QUIC模块存在无需认证的堆越界写入RCE漏洞。攻击者利用大小追踪错误覆写TLS对象函数指针实现代码执行，进而伪造下游DNS应答。目前PoC已公开。建议立即升级至6.4.1版本，或禁用DoQ、限制端口访问并监控进程崩溃，DoT与DoH不受影响。

CERT/CC于2026年7月23日披露Logto身份认证平台存在六个漏洞，允许攻击者通过未验证邮箱劫持账户、绕过MFA及重放SAML断言。厂商SilverhandInc.未响应协调，目前无补丁。建议管理员避免本地账户与联合登录使用相同邮箱、停止使用socialSAML连接器、在上游IdP强制启用MFA并监控日志。

安全公司any.run联合BCALtd、Northscan假扮招聘方，诱捕朝鲜Lazarus组织旗下FamousChollima的三名黑客入职虚拟DeFi公司。通过沙盒云桌面全程监控黑客操作，暴露其工具链、私人邮箱及攻击手法。黑客使用AI生成假证件、ChatGPT应付面试，目标为钱包私钥和企业内网。建议企业加强远程招聘活体核验、证件EXIF检查、限制非授权远控软件，并实施最低权限原则。

DeepSeekHarness(dsh)是一个以一切皆插件为核心理念的AIAgent框架,基于Cordis实现可逆注册的插件系统。其关键设计包括seam能力接缝实现组件解耦、以事件溯源为基础的会话日志系统,以及通过预设配置实现不同运行模式(标准、PTC、极简、创造)。该框架适合构建需要长期维护的复杂Agent系统,但当前仍为开发者预览版,不适合快速搭建单任务助手。

该漏洞为WindowsSMBv3内核级远程代码执行漏洞(CVE-2026-57089)，无需认证即可利用，影响广泛，具备蠕虫级传播潜力。建议立即安装补丁或采取封禁445端口等缓解措施。

本文科普了五种后量子密码(PQC)算法:ML-KEM(密钥封装)、ML-DSA(数字签名)、SLH-DSA(无状态哈希签名)、FALCON(格基签名)及中国设计的Aigis-enc。这些算法由NIST标准化或正在标准化中,旨在抵抗量子计算机攻击,是未来密码学迁移的关键技术。建议关注其标准化进展并提前规划系统迁移。

伯明翰大学研究发现恶意SIM卡可通过标准AT命令中的RUNAT功能控制物联网设备,26台设备中9台受影响,涉及充电桩、工业路由器等。攻击利用蜂窝模块标准接口,厂商默认开启该功能导致风险扩大。建议立即盘点资产、向供应商确认补丁状态、加强物理防护。

乌克兰CERT-UA预警APT44通过虚假招聘对IT人员发起定向攻击。攻击者伪造企业账号进行仿真面试，诱导受害者下载基于WireGuard改造的恶意VPN客户端。该后门利用自定义Base64编码与AES加密隐藏载荷，在权限降级前执行恶意代码实现跨平台持久化。建议求职者严格核验企业资质，拒装不明VPN，企业需加强终端入网管控。

DeepSeekV4-Pro与V4-Flash于2026年8月17日起调价，引入峰谷分时计费机制。高峰时段输出价格涨幅达350%，缓存命中价格涨幅最高达1100%。建议用户利用空闲时段（价格50%）调用以控制成本。尽管大幅涨价，其高峰价格仍低于海外竞品ClaudeFable5约57倍，具备成本竞争力。

本文揭露美西方对华认知战中的公关雇佣军西区战略团队WEST,其核心团队由前情报特工与政客组成,通过索罗斯政治黑金运作,实施双轨战略:一方面武器化人权议题炮制反华叙事,另一方面为经济绞杀战提供理论掩护,并拆解其认知战战术如创伤知情与验证者培育,揭示其作为霸权主义政治打手的真实面目。

CyberStrikeAI项目9个月获5.8kStars和1200+部署，新版对话页从会话中心升级为项目化安全作业台，支持先选项目再开任务、任务清单进度跟踪、模型切换、人工审批等关键变化，旨在支撑真实部署中的持续安全作业与协作审计。

DeepSeekAI开源智能体框架DeepSeekHarness，核心理念为一切皆插件，基于Cordis系统实现高可组合性与扩展性。框架具备全程可追溯日志，支持Standard、Code、Minimal与Creator四种模式及开箱即用的WebUI，可通过npx命令快速启动。项目处于预览阶段，采用MIT协议。本文为技术资讯转载并含安全社区推广。

本文介绍了两个渗透测试常用技能:CK-Skills是一套面向SRC漏洞挖掘的Agent提示词工程与技能知识体系,通过四层架构让通用Agent在垂直安全领域达到专家级表现;JS逆向分析Skill则围绕camoufox-reverseMCP构建工作流,覆盖JS混淆还原、Cookie归因分析、反爬决策等场景。两个工具均提供GitHub链接供用户安装使用。