CiscoTalos发现JWR钓鱼框架，通过AES-CTR加密WebSocket实时操控受害者浏览器，伪装成Shopify、PayPal等平台窃取银行卡、登录凭据等敏感数据。该框架可能是TheOutsider钓鱼即服务平台的变体，在东南亚和中东活跃。建议加强WebSocket流量监控和用户安全意识培训。

本文记录了一次新能源汽车充电小程序支付逻辑漏洞的挖掘过程。通过替换订单价格ID参数，成功将高价订单金额修改为低价，实现了降价购买。漏洞根源在于后端对价格ID的校验缺失，导致攻击者可以篡改支付金额。文章详细分析了漏洞利用步骤和支付逻辑，并提供了可操作建议，即加强后端参数校验。

本文介绍在私有漏洞赏金计划中，通过向S3请求添加jsessionid参数，触发AWSSignatureV4签名流程，导致错误响应泄露存储桶名称和部分AK。关键发现是配置错误可被利用进行侦察，建议安全处理错误消息并限制调试信息泄露。

mitan是一款集成资产信息收集、子域名爆破、空间测绘、指纹识别、弱口令破解、JWT密钥爆破及AI渗透（MCP、代码审计）等功能的渗透测试工具包。它支持多种测绘引擎聚合，并提供Fuzz爆破、工具箱等模块。项目开源，旨在辅助安全测试，但严禁用于非法用途。