该文档记录了针对某内网靶场的完整渗透测试过程，涉及环境搭建、指纹识别、弱口令利用、数据库操作、密码重置、后台getshell、绕过disable\\_functions及内网渗透初探。关键步骤包括通过MySQL弱口令获取数据库权限、利用Joomla后台模板编辑写入Webshell、使用蚁剑插件绕过函数限制执行系统命令。文档结尾附有安全培训广告及知识库推广内容。

本文系统总结商用密码应用安全性评估能力验证考试核心考点，重点解析SM4分组密码算法的七种工作模式特征、推断方法及安全风险（如CTR模式计数器重叠攻击、CBC模式PaddingOracle漏洞），详细说明SM3\\_HMAC正确实现方式与常见错误，强调密码算法在完整性保护中的规范应用。文档涵盖密码产品接口、密钥管理、量化评估等实操要点，为密码安全测评提供明确技术指导。

本周威胁情报披露多起高级持续性威胁活动，包括蔓灵花组织利用钓鱼网站投递VBS脚本、Kimsuky通过鱼叉邮件渗透企业、VSCode扩展潜伏DPRK后门等。关键发现显示攻击者持续利用未修补漏洞（如WinRARCVE-2025-8088）、滥用云服务（Dropbox、Azure）及AI热点进行社会工程攻击，并出现针对开发者供应链的PyPI恶意包和GitHub账户入侵事件。建议及时更新补丁、加强邮件过滤与代码仓库安全审核。

该文档为360SRC与看雪学苑联合主办的`智弈`AI智能体攻防实战沙龙招募公告，聚焦2026年AI安全前沿趋势。沙龙重点探讨AI智能体越权攻击、供应链安全、自动化漏洞挖掘等实战议题，要求投稿内容具备原创性、可复现性及数据支撑。活动设具体议题提交规范与截止时间，旨在构建AI安全实战技术交流平台。