先知技术社区

NodeJs可以写后端、electron又可以打包成exe，还可以通过主进程命令执行，那么不就可以自研一个C2了吗

GitLab 历年来曝出过大量安全漏洞，涵盖远程代码执行（RCE）、提权、SSRF、XSS、任意文件读取、CI/CD 注入以及各种逻辑缺陷等。在红队视角下，这些漏洞尤其值得关注，因为它们往往能被利用实现对GitLab服务器或敏感数据的控制。下面按漏洞类型对关键历史 CVE 和研究案例进行分类梳理，并提供漏洞描述、影响版本、触发点、利用方式等细节。

先知社区更新日志（2025-03-29）

PHP代码审计WCMS11

NSSCTF Round#28 WEB题解

文章主要对python中Bottle框架的模板引擎渲染的安全漏洞问题进行原理分析和利用

深入理解白加黑

frida分析ollvm字符串混淆

近日，笔者发现一起以法国内政部出具的车辆信息文件为诱饵的恶意活动，该攻击利用网络钓鱼手段，诱导受害者执行恶意批处理脚本，进而部署隐秘的远控木马以实现对目标系统的长期控制。

深入解析：高版本 JRE 下 H2 RCE 绕过新思路

Windows下shellCode编写与完善

赛后复现

sctf复现

Gröbner 基是一种用于求解多项式方程组的数学工具，在 CTF (Capture The Flag) 竞赛中常用于破解密码学挑战，如 RSA 变种和 LCG 问题。本文介绍 Gröbner 基的基础概念，并结合示例展示其实际应用

递归请求5次则可以跳过权限校验

免杀，红队，php,webshell

该漏洞是通过利用ssrf获取用户的 accessToken 进行的任意命令执行漏洞，命令执行部分与之前的默认accessToken的部分基本一致。

模板补全（Template Completion）定义模板补全是一种针对大语言模型的黑盒越狱攻击方法。攻击者通过预定义一个看似无害的“模板框架”，将恶意问题嵌入其中，利用大模型对上下文模板的“逻辑补全”惯性，诱导模型生成违规内容。核心原理上下文误导：大模型（如ChatGPT）具有强大的上下文学习（In-context Learning）能力，会优先遵循输入文本的模板结构和隐含逻辑。攻击者通过设计特

Next.js 中间件鉴权绕过漏洞 (CVE-2025-29927)

对近期卡饭上的一个样本进行分析