Posts of last few hours
Please support the site operations by clicking ads.
记录一次真实众测中的攻击面扩展过程。文中资产信息均已脱敏,仅用于技术交流。
https://xz.aliyun.com/news/92800
不解密 HTTPS、不装终端插件,纯靠流量侧能不能发现内网谁在调大模型。隔离网段里对照采集 DeepSeek API、Ollama 明文、普通浏览和文件下载,从 DNS、SNI、JA3、HTTP、SSE 五层拆痕迹。Suricata 四道闸门回放混合 pcap:六条告警全是真阳性,12 个主流站点加 pip 装包零误报。DoH 只拆掉 DNS 闸门;IP 直连前置代理会让 DNS 和 SNI 一起
https://xz.aliyun.com/news/92806
MCP stdio 服务器配置的授权检查仅部署于 REST 层,经流程图组件参数路径可完全绕过,导致任意 npm/PyPI 包执行
https://xz.aliyun.com/news/92807
WCD 的本质不是“缓存”,而是 URL 规范化错位 —— 浏览器原样发送 URL,CDN 凭字符串外观判定缓存,源站做宽容归一化,三方对同一个 URL 各有一套解释,私有响应就掉进了公共缓存。本文穷举出 ;.css、.css、编码、大小写、双斜杠、query 后缀等 13 个变体,并用 Express + Nginx 真实组件交叉验证,最后用四组对照实验测出各层修复的真实效果。结论:具体哪些变体
https://xz.aliyun.com/news/92808
Dify 1.16.1 版本中,发现未授权SSRF漏洞,这与之前的CVE-2025-29720、CVE-2025-56520属于同地址的漏洞,但是我并未在公网上找到详细的分析报告,而且版本很靠前,为什么最新版本的还是会存在这个问题,那就一种可能修了没修好,不管怎么修该有问题下一个版本还是这里出问题。 第二个漏洞就是代码沙箱的网络访问,直接创建节点就可以进行ssrf+命令执行
https://xz.aliyun.com/news/92812
在实际内网渗透过程中,拿到个人主机的权限(如钓鱼、域控下发)后,个人主机大部分还无法操控鼠标(无RDP服务且会引发目标警觉)以及安装终端防护软件,如何无痕实现针对浏览器中保存的Cookie和账户密码的提取和还原,便成为内网渗透必不可少的一环。
https://xz.aliyun.com/news/92813
There has been a sharp escalation in attacks that use malicious calendar invites to reach targets, email security providers Check Point and Sublime Security have warned. Sublime recorded a 1,216% month-over-month increase in August 2026, and the first half of September alone surpassed the whole of August by 1,426%. Check Point’s numbers tell a similar story: the volume of these emails grew from a few thousand a month in April to more than 118,000 in … More →
The post Quarantined, but still on your calendar: The explosion of invite-based attacks appeared first on Help Net Security.
https://www.helpnetsecurity.com/2026/10/20/malicious-calendar-invites/
通过血量寻址,本文介绍两种新思路:一是利用数据邻近性,配合数据遍历工具从血量附近逐层搜索,找到最大蓝量、最大血量、人物 ID 等数据;二是堆栈回溯法,以人物 ID 为例演示当遍历搜不到时,如何借助堆栈区逐层向上查找,最终得到基址 + 偏移。
https://xz.aliyun.com/news/92814
篇文章不复盘架构,复盘过程:每一步我当时的想法是什么,那个想法错在哪,是谁发现的。九个坑里大部分我能自己抓到,有两类永远抓不到——判据本身和盲区本身,它们只能由外面的人指出。
https://xz.aliyun.com/news/92817
状态类数据查找在了解完基础的数据类的数据查找方法和思路之后,这篇文章就给大家提供一下关于状态类数据我们的基本思路是怎样的,这里我们就拿骑马状态和寻路状态来给大家展示一下:注意:在此之前我们先要想一下关于这种状态类数据我们该如何打开突破口?他不像基本数据那样有很多数据变化,一般来说这种数据只有或者不是两种状态,那么这个时候自然用0/1来表示是最方便简单的,那么我们就顺着这个思路去找:1.1骑马状态搜
https://xz.aliyun.com/news/92818
本文记录一次网盘转存业务中的绕过。测试过程中,账号因 VIP 和存储空间限制无法正常转存某公开分享文件,但在多次进行下载、保存等操作后,文件最终进入个人网盘。后续尝试未能稳定复现该现象,因此本文不对服务端具体实现进行武断定性,而是从前后端校验、异步任务、状态一致性、重复请求及竞态等角度分析其可能原因,并讨论该类业务逻辑问题的测试与修复思路
https://xz.aliyun.com/news/92819
PE 文件是 Windows 可执行程序的标准格式,也是逆向和恶意代码分析的基础。它由 DOS 头、NT 头、区段以及各类数据目录组成,文件对齐与内存对齐的差异、RVA 和 FOA 地址转换、导入导出表、重定位表、TLS 回调都是核心知识点。掌握 PE 结构,才能看懂程序加载流程,理解 IAT Hook、代码注入、脱壳等技术原理,是学习病毒逆向必须跨过的第一道门槛。
https://xz.aliyun.com/news/92822
一次普通的 Web 安全测试中,我成功绕过了目标 WAF 的部分规则,却没有找到实际可利用的 SQL 注入。随着测试继续进行,目标的防护行为似乎发生了变化。尝试切换 Tor 后,我原本以为改变出口 IP 就意味着“换了一个身份”,但实际表现却让我开始重新思考:一个防御系统究竟是如何判断,现在的我和刚才的我,仍然属于同一个攻击者?
本文从这次测试经历出发,结合 Fingerprint、行为关联、风险
https://xz.aliyun.com/news/92823
程序最终调用到的那份实现,不是代码里写定的,而是加载器在启动时按“搜索顺序”裁决出来的。glibc 对同名符号的裁决规则是:主程序排最前,接着是 LD_PRELOAD 注入的库,然后是依赖图广度优先、先定义者胜。攻击者不碰任何目标 ELF,只靠改环境变量、调依赖声明顺序、选 dlopen 时机,就能让程序调用到自己构造的同名函数——把同名函数做成新旧两版,就是一次加载期降级;把目标换成 suid
https://xz.aliyun.com/news/92824
gzip 请求体可以由多个合法 member 直接拼接而成。入口组件只解开首 member,业务组件继续解开全部 member 时,同一条 HTTP 请求会产生两份参数视图。记录中的网关允许 mode=read,业务端却取得 mode=write;变化不在请求行、头字段或分帧位置,而在首 member trailer 之后的压缩字节。
一条请求在入口已经通过权限判断,到了业务代码却换了参数,这种现
https://xz.aliyun.com/news/92825
本文首发实验环境与全部结论均为本人实测。漏洞编号 CVE-2026-68771,影响 ComfyUI v0.22.0 ~ v0.25.0,v0.26.0 修复。所有测试均在本地隔离虚拟机内进行,请勿对未授权目标复现。
https://xz.aliyun.com/news/92827
本文主要内容是:攻击者把 GEO 技术"武器化",让恶意下载站被生成式 AI 当作权威答案推荐给用户,从而完成"投毒 → 诱导下载 → 落地执行"的闭环。
https://xz.aliyun.com/news/92829
Latest Blog Posts
- 12 hours 29 minutes ago
- 12 hours 30 minutes ago
- 12 hours 30 minutes ago
- 12 hours 30 minutes ago
- 12 hours 30 minutes ago
- 12 hours 30 minutes ago
- 12 hours ago
- 12 hours ago
- 12 hours ago
- 12 hours 32 minutes ago