先知技术社区

CDG文件服务器的 uploadSoftWareFile 接口存在路径遍历漏洞和目录控制绕过漏洞。攻击者通过构造特殊请求参数，可以绕过目录访问限制，将恶意文件写入服务器任意可写目录，最终实现远程代码执行（RCE）。

WordPress CVE-2026-9104 源码分析附 POC

sql注入->php webshell->系统shell

本文记录了 HackTheBox Shibboleth 靶机的一次完整渗透测试过程。文章首先通过 TCP 全端口扫描确认目标主要暴露 80/tcp 服务，并从 Web 重定向、页面源码、目录枚举和页面页脚信息中提取出 Zabbix 与 Bare Metal BMC 线索；随后结合 UDP 623 扫描与虚拟主机爆破，定位到隐藏的 Zabbix 登录入口以及 IPMI 服务暴露面。在初始访问阶段，文

安全工作的本质是"在不确定性中做判断"——无论是代码审计、渗透测试还是应急响应，安全工程师的核心能力不是执行固定流程，而是根据上下文灵活决策。这恰恰是 Agent 最擅长的事情

豆包Claw恶意项目外联载荷迭代更新；反沙箱、反虚拟机、反调试等对抗能力显著升级；全网首发 Remcos 远控木马一键配置提取脚本；

CVE-2026-23394漏洞分析

你的 HIDS 检查了 TCP 端口、扫了 UDP、抓了全量包——但如果后门根本不走网络栈呢？

结合glibc源码讲解一下延伸手法，顺便结合实例讲解一下agent的优势和缺点

Linux中的java内存马排查

针对LitCTF2026中密码方向的题目进行详细分析和解答

基于高度混淆的JavaScript脚本，对比网页AI与AI IDE的JS逆向分析能力

LitCTF2026webwp，这次比赛题目质量比较高，好好学习，天天向上

ISCC 2026 逆向安全竞赛全部 9 道题目的完整题解，涵盖 Conway's Trap、l11nk、北极星混淆、手忙脚乱、QuorumGlyph、如影随形、像素迷宫、拆弹专家以及毛毛虫的逆袭。每题均含逆向分析流程、算法推导与可运行解题代码。

资产识别、RCE执行、WebShell 控制、UDF提权、权限控制、综合场景、ATT&CK、信息收集

CVE-2025-39682漏洞分析

本文讨论的是 CTF、靶场、本地实验和授权安全研究场景下的大模型使用方法。核心目标不是绕过安全边界，而是在合法环境中把大模型从聊天助手调成“会拿证据、会调用工具、会及时在一个方法上停下止损的大手子”。

只丢一个 JAR 进类路径，不用改代码、不用配配置、不用碰应用，就能悄无声息偷走数据库密码、植入 Web 后门？

一个开源的 AI 代码助手 CLI 工具存在任意文件读取漏洞

利用 TEXT 段页对齐产生的代码洞（Code Cave），结合 PT_NOTE 段头篡改为 PT_LOAD 的手法，在不改变目标文件大小的前提下，向合法 ELF 程序注入自定义可执行载荷。感染后的程序功能表现完全不受影响，仅哈希值发生变化。