先知技术社区

重新手搓了两个pwn的脚本，作用写在注释里面了

1. 深度分析Dridex分析 2. 介绍分析过程中的各种技巧 3. 编写脚本提取C2

TexSaw CTF 2026 Writeup

2026数字中国创新大赛数字安全赛道暨 三明市第六届“红明谷”杯 pwn 全解解析 附带附件

前言比赛又被拷打了，等了好久这个题都没有wp，没招，只能自己梭哈了。环境搭建这里直接用的SfTian佬的复现平台打的题https://gz.imxbt.cn/。解题登录以及题目漏洞点分析首先访问题目，说明要https访问。https之后其实发现会跳转到localhost。这里需要输入接口/carbon/admin/login.jsp，才能正常访问。然后是找账户密码了，本地 repository/c

01 前言Winget钓鱼是一种容易被防御者忽视的钓鱼方式，以至于公开的文件滥用后缀中并没有它：https://filesec.io/本文会详细介绍这种新的钓鱼伪装技术，包括漏洞复现、涉及的概念，如何一步步构造及原理02 漏洞复现压缩包内有Lnk文件jianli.lnk双击jianli.lnk后可以看到成功弹出了伪装的pdf文档，并下载执行了putty.exe03 前置知识3.1 Powershe

在 Java 领域，Tomcat/WebLogic 的各种 Filter、Listener 内存马早被玩烂了，查杀方案也都很成熟。但换到 Go 语言（Golang），因为它是静态编译的，没有传统的“Web 容器”概念，大家普遍觉得它天然免疫内存马，顶多通过 cgo 或 plugin 搞点二进制注入。

分析了当下最火的openclaw的防御模式

打靶记录分享

在litellm-1.82.8、litellm-1.82.7包的proxy_server.py代码中存在多段不同的b64_payload代码载荷，推测其是历史版本载荷。

第十九届ciscn&长城杯半决赛 isw部分wp分享

想学恶意软件分析却被满屏的乱码和复杂的算法劝退？本文将带你“拆解”一个真实的 Hancitor 样本，把晦涩的逆向理论转化为可操作的实战笔记。我们将像侦探一样，通过寻找内存中的“指纹”（如 M8Z 标志）来穿透程序的层层伪装。文章详细记录了从环境搭建、关键 API 监控到最终还原核心 C2 配置的全过程，特别针对初学者容易困惑的 RC4 密钥派生机制进行了深度拆解。无论你是逆向新手还是安全爱好者，

2026阿里CTF MHGA题解：基于ViburDBCP与HessianProxy的JNDI注入高版本绕过研究

本文分析了 Qwik 框架 server$ RPC 机制中的不安全反序列化漏洞 CVE-2026-27971，通过构造恶意 application/qwik-json 请求并利用 QRL 对象 Hash 校验绕过逻辑，实现了未授权远程代码执行。文章详细拆解了从请求解析到动态模块加载的完整攻击链，揭示

随着HTTPS加密通信的普及，传统基于明文特征的流量检测方法逐渐失效，恶意软件也越来越多地利用TLS协议隐藏其通信行为，给安全检测带来了新的挑战。针对这一问题，JA3指纹技术通过对TLS ClientHello消息中的关键字段进行特征提取与哈希计算，实现了在加密流量环境下对客户端行为的有效识别。

漏洞描述FastGPT 是一个 AI 代理构建平台。在 4.14.8.3 及以下版本中，fastgpt-preview-image.yml 工作流程易受到任意代码执行和外部贡献者秘密窃取的风险。它使用 pull_request_target（运行时可访问仓库机密），但会从拉取请求作者分支中借出代码，然后通过攻击者控制的 Dockerfile 构建并推送 Docker 映像。这也使得通过生产容器注册

ciscn-web-isw

CISCN&CCB 2026分区赛AWDP-Web部分的题目复现

Java 安全 · AI & Security 两大技术图谱正式上线！

中国电信大可实验室是中国电信集团直属分支机构，现开启校园招聘