先知技术社区

这是 Weaxor 勒索家族系列复盘的新一篇，事件发生在 2026 年 9 月 5 日晚间，被攻击的是一套通过动态域名映射到公网的用友 U8 Cloud 系统。

纯标准库搭一个三跳以内的邮件靶场，把两封信读成投递链：伪造那封在 Received 时间倒挂 6000 秒、信封域与显示域不一致两处露馅，判定脚本给出退出码 0/1，可批量初筛。

WCD 的本质不是“缓存”,而是 URL 规范化错位 —— 浏览器原样发送 URL,CDN 凭字符串外观判定缓存,源站做宽容归一化,三方对同一个 URL 各有一套解释,私有响应就掉进了公共缓存。本文穷举出 ;.css、.css、编码、大小写、双斜杠、query 后缀等 13 个变体,并用 Express + Nginx 真实组件交叉验证,最后用四组对照实验测出各层修复的真实效果。结论:具体哪些变体

这是一篇万字的完整溯源分析。我们沿攻击者实际使用的参数逐层跟进源码，完整还原了 weax 勒索家族利用某国产 ERP 通杀 0day 入侵、投递、绕过查杀、落地加密的全过程，并对攻击者遗留的多层混淆载荷逐层解码。赶时间的读者可直接查看文末 IOC 清单与修复建议；有条件的读者，我们建议完整阅读，这是一次不常见的、证据链完整闭环的 0day 攻击溯源实录。

样本的文件来源: https://bbs.360.cn/thread-16185961-1-1.html白加黑：白进程 360speedld.exe，黑 DLL somkernl.dll。黑 DLL 内部名是 proram_c_nocrt_agent_failover_dll.dll，构建标记 clash-silent-speedld-dll。导出故意对齐系统库 msimg32.dll（Alpha

本文通过拆解六款智能渗透 Agent 的源码与真实执行链路，分析它们在状态管理、上下文控制、工具调用和证据约束上的工程设计与取舍。

AI 漏洞挖掘全链路实战分析

控件类数据查找思路和过程详讲

gzip 请求体可以由多个合法 member 直接拼接而成。入口组件只解开首 member，业务组件继续解开全部 member 时，同一条 HTTP 请求会产生两份参数视图。记录中的网关允许 mode=read，业务端却取得 mode=write；变化不在请求行、头字段或分帧位置，而在首 member trailer 之后的压缩字节。 一条请求在入口已经通过权限判断，到了业务代码却换了参数，这种现

本文复盘一次某行业四层内网攻防演练：攻击方从Log4j2拿下面向互联网的据点，用大小写变形与替代函数绕过WAF，再借NPS/ew代理链逐段穿透DMZ、办公区、运维区与核心区，经MySQL UDF提权、MS17-010、向日葵RCE、Zabbix脚本执行、SAM破解、xp_cmdshell、Redis写公钥等手段横移提权，最终上传冰蝎木马拿下OA后台凭据，串起信息收集到内网横移的完整攻击链。

Ezflagtask分析题目给了个64 位 Linux 动态链接可执行文件（PIE），目标机器不是 Windows。判断为re+密码 题，主要是没接触过逆向，逆出来的东西有点懵逼。我们可以知道程序的运行逻辑是输入密码，然后运行f函数，逐步输出flag。其中密码在逆出来的伪代码中可以直接得到。因为f函数的作用是计算斐波那契数列，如果按照程序里面的输入密码运行程序那么在有限时间内无法获取flag，我们

刷到一条视频，作者说他花两天把"特征加密"从花指令升级成了"虚拟化"，10MB 程序 8 秒编完。顺着这句话我去查了 VMProtect——它和花指令差在哪、有哪几种处理方式、为什么"8 秒"说明不了强度、以及拿到一个 VMP 样本该先做什么。这是一篇入门向梳理，不碰反虚拟化的深水区的文章

动调

一条 12 字节的字节流，无权限、无交互，就能让运行了二十余年的 glibc iconv 模块在一致性校验处直接终止进程。IBM1390/IBM1399 两个字符集模块的组合字符展开逻辑，是这条崩溃链的入口。

CVE-2026-9669 是 CPython bz2 模块的一处错误后复用缺陷：BZ2Decompressor 解压报错后仍可再次调用，libbz2 状态机以错误现场重入，越界值写入 6 字节栈数组 pos（CWE-787），触发 stack smashing detected（SIGABRT）。

无堆泄露的 tcache 劫持

通过反推代码逻辑拆解协议进行绕过白名单

Rust 承诺在编译期消除内存安全问题。本文把 Rust 官方漏洞公告库 RustSec advisory-db 全库拉下来数了一遍：1246 条公告中，346 条（27.8%）带内存类标签。但按年拆开，会看到一个结构性转折 —— 内存类公告里带 CVE 编号的比例，2020 年是 94%（77/82），2025–2026 年只有 6% 和 10%，同期「自称 unsound」的条数升到 35 和

程序最终调用到的那份实现,不是代码里写定的,而是加载器在启动时按“搜索顺序”裁决出来的。glibc 对同名符号的裁决规则是:主程序排最前,接着是 LD_PRELOAD 注入的库,然后是依赖图广度优先、先定义者胜。攻击者不碰任何目标 ELF,只靠改环境变量、调依赖声明顺序、选 dlopen 时机,就能让程序调用到自己构造的同名函数——把同名函数做成新旧两版,就是一次加载期降级;把目标换成 suid

结合第十九届ciscn的awdp赛制