先知技术社区

如果攻击者能够在Agent“页面观察”与“动作执行”之间改变目标状态，就可能让模型针对正常按钮生成的动作，最终落到已经变化的高风险操作上，这就是 TOCTOU（Time-of-Check to Time-of-Use）状态竞争。

衍界AI安全实验室-jake

Fastjson 1.2.83最新RCE

Fastjson 1.2.83 file: 协议不出网利用分析

基于GPT架构的webshell识别模型

这篇文章复盘 Directus 12.x 的 CVE-2026-61835（文件导入 SSRF）。官方在 12.0.0 修了 0.0.0.0 绕过，但只修了一半：私网地址依然放行、redirect 链能中转、editor 低权限账号能用、Flow 路由还能匿名触发以系统身份写库。我在 11.17.0 和 12.2.0 上对比验证，附 import-ssrf-audit.py（双版本 + CVE 自

本文记录了一次针对高校教务系统的跨场景安全测试过程。在PC端发现邮箱修改无验证漏洞后，通过将攻击面拓展至移动端Angular SPA应用，逆向webpack打包产物提取了150+个REST API端点及签名算法，并发现服务端完全不校验API请求签名。在此基础上构造了完整的账号接管攻击链：移动端签名校验缺失 → 无验证修改绑定邮箱 → PC端密码重置 → 账号劫持。同期通过遍历课程学生查询接口的le

Craft Commerce 是 Craft CMS 的电商插件。后台订单管理里有个"可购买商品列表"接口，前端表格支持按列排序，参数叫 sort，格式是 列名|方向（比如 title|asc）。后端拿到这个字符串，explode('|', $sort) 拆成左右两半，左半截直接塞给 Yii2 Query Builder 的 orderBy()。 问题在 Yii2 的 orderBy() ——它假

FilePress 是一款基于 DZZ 框架的开源网盘/图库系统，提供文件管理、图片展示、分享外链等功能，由上海巧巧时代互联网科技公司开发维护，在 Gitee 上持续更新。2026 年 4 月 21 日，该软件 ≤ 2.2.0 版本被披露存在严重的 SQL 注入漏洞（CVE-2026-8133 / GHSA-pxqj-577f-7xfv）——其文件分享列表接口中的 order 参数在 ORDER

一个公开的 Form 端点,5 步走完整条攻击链:任意文件读取 → 读 encryptionKey → 伪造 JWT 接管 admin → 表达式注入沙箱逃逸 → RCE。从发第一个 POST 到拿到 root,不到 3 秒。本文基于 n8n 1.65.0 真实复现,附完整攻击脚本与检测工具,所有 PoC 已开源。

本文详细记录了一次针对 Windows 域控 FOREST.htb.local 的完整渗透过程。攻击从匿名 LDAP 枚举开始，构建用户字典后通过 AS-REP Roasting 成功破解服务账户 svc-alfresco 的弱口令。借助 BloodHound 分析出复杂的组嵌套关系，利用 GenericAll 权限将自己注入 Exchange Windows Permissions 组，进而向域

如果一个特权程序存在可控写入缺陷，而导入函数槽所在页面仍然可写，那么后续函数调用就可能被改向。

MariaDB 远程代码执行漏洞分析复现

整理 Fastjson1 全版本利用要点——反序列化流程、版本/依赖/期望类探测、WAF 绕过，以及 1.2.47 / 68 / 80 / 83 关键绕过与各利用链；并附配套工具，方便复习与落地。

Hackropole FCSC 2026 Pwn 全12题系列 Writeup（上篇），本篇详细复现其中 5 道题的解题思路与利用过程。

这个漏洞是 CVE-2026-25243 的补丁绕过变种。原始 CVE-2026-25243 的修复方案没有完全解决消费者 NACK 共享的根本问题——RDB 加载时仍然允许不同消费者引用相同的 NACK 对象。攻击者通过精心构造的 RDB 流数据，配合 jemalloc 堆分配器的 tcache 机制，可以实现任意地址读写，最终通过劫持 dictType 的 hashFunction 函数指针执

Ollama 默认监听 0.0.0.0，14 个 API 端点无认证暴露在公网，Shodan 上 1000+ 台可查。本文对其中一台做了完整攻击面实证——黑盒测试 14 端点、白盒审计 v0.31.1 Go 源码追踪 ParseNameBare 调用链（types/model/name.go:146）、对比 v0.30.10→v0.31.1 files 参数差异，发现 Ollama 团队只加校验器

当域控制器同时暴露了Web服务，是巧合还是致命疏漏？本文记录了对Egotistical Bank域靶机的完整渗透过程。从网页爬取员工姓名，到利用Kerbrute枚举有效用户；通过AS-REP Roasting破解弱密码，再到WinRM登入获取立足点；借助WinPEAS发现存储的凭据，最终通过BloodHound分析DCSync权限，一举拿下域管理员哈希。整个过程环环相扣，展示了信息收集与凭据复用在

我用 NocoDB 2026.07.0 默认部署版本做了一次完整的攻击面分析。注册、上传、下载、邮箱验证、JWT 这 5 个环节都有可利用的缺陷。其中最关键的发现是 JWT 密钥明文存储在 SQLite 的 nc_store 表里，配合 is_api_token 旁路可以绕过 token_version 校验，伪造任意角色的 Token。配套附 nocodb-audit.sh 一键检测脚本。

本文分析了对象存储直传场景中因文件名参数拼接触发 STS Policy 注入的漏洞，通过构造 JSON 片段闭合原有策略并追加高权限 Statement 实现越权。文章详细对比了阿里云与腾讯云的解析差异，并演示了利用 Unicode 编码绕过关键字过滤的二次攻击方法。