Aggregator

本期周报简介： 1、AI正重塑网络攻防格局，面对漏洞发现自动化、智能体安全风险和传统防护能力失效等问题，企业安全建设应优先补齐哪些能力？ 2、企业如何准确识别网络平台运营者身份，并建立网络安全审查预判及采购合规机制？当前制度执行中存在哪些问题？

快来注册体验吧！

筑牢医疗数字化安全底座

环境异常 当前环境异常，完成验证后即可继续访问。 去验证

环境异常 当前环境异常，完成验证后即可继续访问。 去验证

The allies blamed Center 16, the FSB’s signals intelligence arm, for acts of attempted cyber sabotage targeting Poland’s energy sector and water treatment facilities, alongside “a wide range of malicious cyber activities with growing severity.”

【事件类型】 MaaS（恶意软件即服务）犯罪产业链覆灭 运营时间： 2018-10 ~ 2026-06（超7年） 执法行动： Europol 主导 · Operation Endgame · 2026-06 Amadey 是由"Increase"运营的 C++ 后门，StealC 是 InfoStealer 工具，两者形成完整的 MaaS 犯罪流水线：Amadey 负责初始投递与持久化，StealC 负责系统性窃取浏览器凭证、Cookie、信用卡数据。攻击者将窃取数据在地下市场变现，用于勒索软件入侵、金融欺诈和账户冒名登录。 Europol 协调荷兰 NCA、加拿大 RCMP、德国 BKA、美国 FBI 四国执法机构，联合 Microsoft DCU、Bitdefender、ESET、BitSight、Lumen、MBSD 六家企业协办方，2026 年 6 月实施 Operation Endgame，两周内同步打击 Amadey、StealC、SocGholish 三大 MaaS 生态，共查封 326 台犯罪服务器、142 个恶意域名，冻结超 4700 万美元加密资产，追回 2700 万条被盗凭证。 【核心启示】 MaaS 生态的覆灭证明打击是有效的，但 2700 万条被追回凭证和持续活跃的 MaaS 变种表明威胁并未消失。 企业防御的核心在于：缩短"被入侵 → 被发现"的时间窗口，系统梳理自身"攻击路径图"，强制推行 MFA/PASSKEY 建立凭证安全最后防线，同时积极参与行业威胁情报共享机制（ISAC），而非依赖单一技术产品。

学习一下漏洞原理和流程

本年度最后一次HVV记录，也是取得成果最多的一次

核心设计理念：渐进式披露agent调用Skill时不是一次性全部丢进上下文，如果所有Skill一次性全部丢进上下文的话会使得上下文长的爆炸因此Agent Skills 采用渐进式披露机制​核心思想是：不一次性加载所有内容，而是按需、分层加载​这解决了大模型智能体的核心矛盾——既要拥有海量专业能力，又受限于有限的上下文窗口​渐进式披露的三层加载机制第一层：元数据加载（启动时）注意：不同生态元数据位置

通过构造全量虚假对话历史，攻击者可利用大模型的无状态 API 与角色一致性缺陷在单次请求中污染上下文，从而诱导模型绕过安全策略执行敏感操作。

攻防旺季，助力红队

本篇文章完整解析了黄河流域全部逆向题目，涉及的考点包括手动脱壳，控制流劫持，父子进程 ptrace，花指令混淆，python VM，HarmonyOS逆向 ArkTS + NAPI

本文详细讲解了文件上传漏洞各种高级上传手法

Nginx ACL 绕过 SSRF php反序列化

第四届黄河流域挑战赛web方向部分wp，包含原型链污染，ECDSA 签名漏洞，yaml， Thymeleaf SSTI

通过自然语言实现浏览器自动化的Claude Code skill，由浏览器使用驱动，可进一步应用于提示词注入场景

偷吃蟠桃上手先玩了一把，第一关很好过，第二关没法过（需要100000分）前端泄露了JS源码方法一：利用浏览器控制台调用函数方法二：手动发包你会渗透吗test账号登录进去有一张图片，一个社会工程学字典生成器（显示没有权限访问）这里有squirtle的一些信息，直接访问工具的路径就能下载，用社工字典生成器生成密码爆破密码是PolarDN138可以给管理员发送消息和重置密码，重置密码存在CSRF漏洞：没

autho2.0 结合未授权注册拿下管理员权限