Aggregator

BucketLoot BucketLoot is an automated S3-compatible Bucket inspector that can help users extract assets, flag secret exposures and even search for custom keywords as well as Regular Expressions from publicly-exposed storage buckets by scanning...

The post BucketLoot: an automated S3-compatible bucket inspector appeared first on Penetration Testing Tools.

CloudPrivs CloudPrivs is a tool that leverages the existing power of SDKs like Boto3 to brute force privileges of all cloud services to determine what privileges exist for a given set of credentials. This...

The post CloudPrivs: Determine privileges from cloud credentials appeared first on Penetration Testing Tools.

Grip SSPM enhances SaaS security by automating misconfiguration fixes, engaging app owners, and unifying risk management for a smarter, proactive defense.

The post Grip SSPM: Next Evolution in SaaS Identity Risk Management appeared first on Security Boulevard.

SaaS security posture management and identity risk are deeply connected. Learn how to unify visibility, automation, and control to protect your SaaS ecosystem.

The post SaaS Security: Connecting Posture Management & Identity Risk appeared first on Security Boulevard.

EmploLeaks This is a tool designed for Open Source Intelligence (OSINT) purposes, which helps to gather information about employees of a company. 🚀 How it Works The tool starts by searching through LinkedIn to...

The post emploleaks: OSINT tool that helps detect members of a company with leaked credentials appeared first on Penetration Testing Tools.

背景

在数字化时代，电子邮件已成为企业和个人日常沟通的重要工具。然而，随着网络攻击手段的不断升级，钓鱼邮件作为一种常见的网络欺诈手段，给用户的信息安全和财产安全带来了严重威胁。为了有效防范钓鱼邮件，保障用户的安全，网络安全领域的研究者和企业正在探索新的技术和理念。

近年来，人工智能技术取得了显著进展，特别是大模型技术，在自然语言处理、模式识别等方面表现出色。同时，零信任安全理念作为一种新的安全策略，主张“永不信任，总是验证”，强调对所有访问请求进行严格的身份验证和权限控制。在这样的背景下，结合大模型技术与零信任理念来检测钓鱼邮件，成为网络安全领域的一个创新方向

从企业角度看钓鱼邮件的防护难点

钓鱼邮件因其丰富的伪装性，给企业的防护造成了巨大困难

1、伪装手段多样性：攻击者会使用各种手段来伪装钓鱼邮件，如常见的模拟相似的邮件域名和地址，进行群发邮件，使用户难以辨别

2、用户意识不足：由于企业内部人员的业务属性不同，增加了对钓鱼邮件识别的难度，部分钓鱼邮件会伪装成市场合作、或宣传的意图，诱导业务同事进行误点

3、技术的不断更新：随着技术的不断进步，攻击者的手段也不断更新，传统的防护模式很难识别新型的钓鱼攻击，很多攻击者会针对性的定制邮件内容，很巧妙的绕过邮件的过滤系统

4、跨平台攻击：钓鱼邮件因其特殊性，可以同时跨越不同的平台和设备，防御措施需要同时在多个层面上进行，增加了企业防护的复杂性

在大模型技术的加持下，零信任“持续认证，永不信任”，对于钓鱼邮件是否能提供新的防护思路？

近期，我们收到了众多客户关于加强钓鱼邮件防护的咨询，他们尤为关注在大模型技术日益成熟的大背景下，如何结合零信任的安全理念来有效应对复杂多变的钓鱼邮件攻击。引入大模型技术确实能够补充传统的基于规则和深度学习能力的钓鱼邮件检测，同时，大模型的高计算能力也能显著提升检测效率。针对于最近爆火的DeepSeek，安几研发团队也是第一时间对DeepSeek模型进行了深入学习与研究，并且引入到现有的检测模块中

1、邮件网关结合大模型分析技术，赋能邮件安全检测能力，有效提升恶意邮件检出效率

为了有效识别和防范恶意邮件，我们引入了先进的大语言分析模型。该模型能够对邮件头部及其他相关内容进行实时深入理解分析，精准识别潜在的安全威胁，目前我们的安全团队正积极对DeepSeek的检测性能和识别准确性进行严格测试，并且对本地部署的DeepSeek进行了微调。一旦测试达标，我们将推出基于DeepSeek大模型的邮件安全检测服务。在追求邮件安全检测模块最优配置的过程中，我们不仅引入了大模型技术，同时也保留了传统的基于规则检测方法，以确保双重保障，提升整体安全性能；

2、创新的邮件头分析（RL 强化学习：ICM&DQN）

安几邮件检测模块采用 RL（强化学习）中的两大经典算法——ICM（Intrinsic Curiosity Module）和 DQN（Deep Q-Network），对邮件头进行高效分析。ICM 算法通过探索邮件头的潜在异常结构，识别出不常见的字段组合，DQN 算法则通过优化决策过程，根据邮件头的各类异常特征对邮件的潜在风险进行评分。结合这两种算法，系统能够动态适应不断变化的钓鱼攻击手法，持续提高识别准确度

3、针对钓鱼邮件的防御，用户侧除了意识培训之外，是否还有其它的解决思路

钓鱼邮件的多样化，完全依靠用户进行识别，几乎不太现实，这时候我们需要提供协助用户进行钓鱼邮件的有效识别，就能最大化的遏制钓鱼邮件的攻击行为，安几零信任方案中，除了通过邮件网关对钓鱼邮件进行事中的检测外，同时也提供对用户收取的邮件进行事后的识别（识别范围包含邮件正文、附件、以及恶意链接等），操作方面也非常简单，用户只需要将可疑邮件转发给指定邮箱地址，检测完成后以邮件的形式将结果反馈给用户，整个过程耗时不超过30S（参考时间来源于内部的测试环境，具体时间可能会受网络环境等多重因素影响）

4、安全空间隔离技术，有效防止恶意软件传播

在应对钓鱼邮件的防御与检测挑战中，我们必须认识到并非所有恶意行为都能被完全拦截。一旦含有木马病毒的邮件被接收，关键在于采取技术措施防止恶意行为的扩散，以及保护敏感数据不受侵害。安几零信任产品集成的安全空间隔离技术，正是有效遏制恶意软件传播的核心策略。在零信任终端安全防护体系中，安全工作空间技术的运用实现了工作与个人生活的彻底分离。在这一环境中，用户能够安全地处理工作事宜，包括接收和发送工作邮件。一旦邮件中检测到恶意病毒程序，旨在控制计算机或实施数据勒索，安全工作空间的技术防护将立即启动，有效遏制威胁

• 简单直接敏感资料外发：攻击者获取到当前电脑的操作权限后，想将电脑内的敏感资料外传，因为安全工作空间内本身的数据、资料都是落地加密，所以不管攻击者通过什么手段对文件进行外发，对面收到的也都是乱码，从而保护了敏感信息不被泄露。此外，安全工作空间同时提供网络出口控制，用户可对外发的目标进行白名单设置，除白名单之外的外发行为都会被拦截

• 深谋远虑的APT（高级威胁攻击）攻击：很多黑客在获取到电脑的操作权限后，不满足于简单的敏感资料外发，而是继续潜伏或者通过远程操控当前主机，继续下一步的入侵，零信任模型不仅在于登录阶段实施严格的访问控制，还通过对用户行为的持续监控和分析，构建用户行为画像。即使攻击者绕过了登录验证，后续的操作也会受到多因素认证策略的拦截，有效遏制了高级攻击的进一步扩散。通过这种方式，零信任架构为终端安全提供了坚固的防线，防止了主机被作为跳板机进行进一步的入侵活动

针对钓鱼邮件的防护，是企业与安全服务提供商必须持续关注的重要课题。在安全防御领域，不存在一劳永逸的解决方案或产品。同样，零信任防御体系的实施也不应孤立于传统安全防御体系之外。优秀的产品理念和策略应当是传统安全防御体系的补充和延伸，在此基础上提供更加强化的安全防护能力。这种融合和创新的做法，才能确保企业在不断变化的威胁环境中保持稳固的安全态势。

在2025年春节期间，安几大模型漏洞挖掘系统——安几天鉴，通过创新的技术架构和强大的模型能力，成功地在漏洞检测领域取得了令人瞩目的成果。在这项技术的背后，正是安几科技依托DeepSeek大模型结合先进的静态代码分析手段，推动了漏洞挖掘技术的飞跃。

安几天鉴最新战报：系统成功挖掘包括：·CVE-2025-1171

·CVE-2025-1170

·CVE-2025-1164

·CVE-2025-1163

·CVE-2025-1162

·CVE-2025-0961

漏洞截图

传统代码审计工具存在的四大结构性缺陷：

规则误报率高，噪音淹没真实威胁告警；

漏洞诊断深度不足，缺乏上下文关联分析；

扫描效率滞后，无法适配持续集成需求；

规则泛化能力差，缺乏新出现漏洞的覆盖度。

破局者登场：下一代代码审计认知革命！

安几天鉴漏洞挖掘引擎突破传统工具结构性缺陷，实现误报率从30%到＜3%的下降、千万行代码扫描效率提升8.6倍、新兴漏洞模式覆盖度达91.2%。

安几天鉴引擎的核心武器解析：

1.大模型驱动的全程序分析

2.语义增强型AST解析

3.过程间污染传播引擎

4.多语言统一建模框架

安几天鉴运行示意

安几天鉴自动生成报告截图

性能验证：NIST SAMATE基准测试结果显示，误报率仅为2.7%，CWE Top25漏洞检出率高达94.8%，千万级代码库平均扫描耗时仅为4.2小时。

这一技术的突破将为软件安全领域带来新的发展机遇和挑战，助力构建更加安全可靠的数字社会。安几天鉴漏洞挖掘引擎的出现，将为信息安全领域带来新的发展机遇和挑战，助力构建更加安全可靠的数字社会。随着每行代码的风险感知能力的提升，我们正在重新定义数字世界的安全边界！

漏洞概述

Ivanti Connect Secure、Ivanti Policy Secure和Ivanti Neurons for ZTA gateways  是Ivanti 公司提供的远程访问和安全连接解决方案，主要功能包含VPN、访问控制、流量加密等。其IF-T/TLS协议在认证前，存在栈缓冲区溢出漏洞，攻击者可以利用该漏洞实现未授权远程代码执行。该漏洞已被APT组织利用。

影响范围

Ivanti Connect Secure 22.7R2 - 22.7R2.4

Ivanti Policy Secure 22.7R1 - 22.7R1.2

Ivanti Neurons for ZTA gateways 22.7R2 - 22.7R2.3

复现环境

版本：Ivanti Connect Secure 22.7R2.3

环境搭建

Ivanti Connect Secure 22.7R2.3导入虚拟机后开机，按照界面提示设置IP地址，管理员账号和密码等。

配置成功后，进入命令行界面，可以根据编号进行系统管理，但是无法执行底层Shell命令。

同时在浏览器中使用HTTPS协议打开配置的IP地址，可以正常显示Web登录界面。

查看虚拟机磁盘文件，尝试挂载到其他系统，解包出系统中的文件。但是文件系统被加密，无法通过常规挂载方式获取系统文件。这种情况下，常见方案可以逆向分析系统启动流程，分析解密算法，解密出系统文件。但是时间成本比较高。

笔者则是选择使用另一种方法，将虚拟机暂停后，修改其内存文件中的/home/bin/dsconfig.pl字符串为///////////////bin/sh。/home/bin/dsconfig.pl是控制台界面执行时需要调用的脚本文件，替换后等待控制台界面超时后按“回车”，即可获取底层Shell。

获取到底层Shell后，可以执行任意系统命令。然后使用自带的python程序，开启web服务，下载系统文件进行逆向分析。

漏洞分析

根据公开的POC，漏洞使用HTTPS触发。定位到HTTPS服务的进程为/home/bin/web。

逆向分析该web程序后发现，IF-T/TLS协议在认证时，获取客户端属性字段“clientIP”、“clientHostName”、“clientCapabilities”等进行处理。

在处理过程中，使用strncpy复制clientCapabilities属性值时，最后一个参数v23是要复制的最大字节数。但是这里错误的使用了从客户端获取的clientCapabilities属性值的长度加1，用户可控制。

而目的缓冲区（dest）是一个栈缓冲区，最大长度为256。客户端可传入超过256字节长度的clientCapabilities属性值，从而导致该栈缓冲区溢出。

溢出后可覆盖栈中保存的返回地址，待执行到函数返回时，将跳转到覆盖的指定内存地址执行任意代码。

漏洞利用

根据以上分析，溢出后只需要覆盖栈中保存的返回地址即可执行任意代码。但事实并非这么简单。目前遇到的问题：

1. 程序自身安全措施

2. 虚函数调用

3. 释放对象内存

首先分析下web程序自身的安全保护措施。

该程序有NX和PIE保护，溢出后，栈中的数据默认没有执行权限，不能作为shellcode直接执行，可使用ROP技术绕过。

PIE和系统地址随机化安全措施，导致内存地址不再是固定值，无法提前预测，可使用信息泄露或者暴力破解等方法解决。分析后没找到可泄露内存地址的方法，由于该程序是32位程序，理论上最多尝试16的4次方，共65536次，可暴力破解libc.so.6的内存基地址。

在执行到覆盖的返回地址前，还执行了许多其他代码，其中一个虚函数调用地址可能被覆盖，导致程序异常退出，无法执行到栈中被覆盖的返回地址。解决方法是在libc.so.6的内存中搜索满足该条件的虚函数调用，保证能正常执行到后续代码。

此外，还有一处代码释放DSUtilMemPool对象内存，但是该内存被溢出覆盖了，导致程序异常退出。可将该对象内存地址设置为-1（0xFFFFFFFF），保证能正常执行到后续代码。

经过上述分析，最终的栈布局如下图所示：

经过布局，溢出后的clientCapabilities属性值数据，最终覆盖栈中返回地址，函数返回时，配合ROP技术，可执行任意代码。

参考链接

ddpoc链接：

www.ddpoc.com/DVB-2025-8730.html

近日，工业和信息化部公示了2024年网络安全技术应用典型案例拟支持项目名单。盛邦安全与大同市第五人民医院联合申报的“网络资产安全治理”项目成功入选。

  相关阅读  

原文链接