ZONE.CI 全球网

本文分析黑产iOS定向入侵与数据窃取系统，由漏洞投递服务、C2后台和载荷库组成，受害者点击链接即可被无感入侵，支持窃取钥匙串、钱包、通讯录等敏感数据。作者通过代码审计发现该系统存在任意文件读取和JWT密钥泄露等致命漏洞，可未授权获取管理员权限，建议加强安全意识防范此类攻击。

本文为混合开发APP渗透测试实战，通过抓包提取H5页面测试API接口，发现充值、转账接口存在负数金额漏洞，可反向增加余额；电费缴纳接口存在签名校验，通过逆向前端JS分析出MD5签名算法并成功绕过，实现负数缴费加电费。文章提供了完整漏洞分析过程与签名算法代码，强调仅供授权环境测试。

第三届数证杯电子数据取证分析大赛启动报名，由公安部指导，面向全国政企单位、科研院所、高校等机构开放。报名时间为2026年11月2日至15日，初赛于11月21日线上举行，决赛12月中旬线下进行。每队1至3人，设团队赛和个人赛奖项，旨在加强电子数据取证分析人才队伍建设。

国际网络安全奥林匹克NCO湖北省选报名启动，由中国网络空间安全学会主办，湖北省首次入列区域组委会。面向湖北初高中学生，考试时间为2026年12月13日，题型含选择题与CTF题，涵盖密码学、Web漏洞利用、逆向工程等方向。报名截止至2026年11月20日，不收取报名费，学生自愿参与。

本文为中央网信办主任庄荣文署名文章，阐述构建网络空间命运共同体理念的时代价值与使命任务。文章强调顺应数智化发展大势，深化网络空间国际交流合作，应对人工智能等新技术带来的安全挑战，推动数智发展成果普惠共享，并提出坚持开放创新、守望相助、包容并蓄、平等互信等实践路径，为全球互联网发展治理贡献中国方案。

2026智能经济大会将于11月6日至8日在武汉举办，主论坛定于11月7日上午举行，专题会议贯穿三日。该活动由武汉网络安全公众号发布，旨在聚焦智能经济与网络安全议题。文档同时回顾了人民日报聚焦中国网谷、网络安全普法讲堂及木马防护知识等内容，为参会者提供背景参考。

本文提出网安行业并购标的筛选方法论，核心为能力、嫁接、变现、规模化四步验证法，配套一票否决红线与量化打分卡体系，强调明确核心诉求、用真实客户验证协同效应，以提升并购成功率并实现从买资产到买增长的认知升级。

本文探讨KVCache压缩引发的选择性失忆与系统提示词泄露风险。研究发现压缩可能导致模型对系统指令的遵循能力非均匀退化，安全约束指令可能比普通业务指令更早失效，从而引发系统提示词泄露。泄露程度与压缩率并非线性关系，高压缩率下泄露分数下降可能因模型连指令内容都无法完整复现，而非安全防御恢复。

2026年11月2日网络安全动态显示四大风险：VeilDHT僵尸网络感染超4万台Linux服务器与IoT设备，具备DDoS与远程控制能力；LXD与MicroCloud存在CVSS10.0严重漏洞可致权限提升；某云平台漏洞致客户AIAPI密钥遭滥用；ChatGPT共享链接存在跨域攻击风险。建议及时修复漏洞、强化口令、监测IoC并隔离受感染设备。

观安信息接待钱塘区教育干部研修班开展校园数字安全研学活动，聚焦校园数据治理、AI伦理与未成年人隐私保护。活动包括展厅参观、专题报告和反窃密体验，强调校（园）长作为数据安全第一责任人，推动产教融合与校园安全建设，为学校数据资产分级管控和应急演练提供实操指引。

浙大网安学院林峰长聘副教授因在智能物联网系统安全与实现方面的贡献，荣获2026年度IEEE可扩展计算技术委员会职业中期研究成就奖。该奖项表彰博士学位6-15年内有杰出贡献的中青年学者，全球每年仅3-4名。此荣誉体现了其在网络安全领域的学术影响力。

本文介绍hashcat密码破解工具的安装与使用方法，涵盖下载安装、常见命令、攻击模式及破解示例，重点演示破解Linux用户密码的完整流程，包括掩码暴力破解与字典爆破两种方式，并提供实用操作建议。

冯登国院士指出AI与密码学相互赋能，AI带来自身安全、应用安全及赋能安全三类问题，同时驱动密码学创新发展。文章提出面向AI的密码学应重点发展8个方向：困难问题复杂度分析、密码威胁感知、密码设计新理念、密码分析新方法、智能化自动化密码检测评估、密码高效实现、密码应用范式及量子人工智能密码，为未来密码学研究指明方向。

本文演示AI加持下SQLMap在DVWA靶场进行SQL注入的流程，涵盖low与high级别操作，强调通过请求或源码分析注入点后实施注入，并警示仅限内网靶场安全教学，反对危害网络安全行为。

本文介绍Mac软件管理方案，推荐组合使用AppStore、Homebrew配合Applite图形界面以及AppCleaner&Uninstaller工具，分别解决软件搜索安装、更新卸载及残留清理问题。文章指出AppStore存在软件不全且无直接卸载功能，Homebrew对普通用户不友好，而AppCleaner&Uninstaller支持多来源软件更新卸载和残留清理。

Nacos3.0.0至3.2.3版本存在鉴权绕过漏洞，源于/v3/auth/\\*接口注解作用域错配，默认配置下无需凭证即可未授权访问。实测无法直接创建ROLE\\_ADMIN管理员，但可创建普通用户并绑定自定义角色获得全量读写权限，效果等同管理员。建议升级至3.2.4版本，或开启nacos.core.auth.enabled并同步配置客户端凭证。

本文研究文生图模型ApproximateCache的安全问题，指出其仅要求输入语义相似即可命中缓存，导致不同用户间产生间接联系。文章提出两种观察对象（响应时间差与生成图片相似性）并组合出三种攻击：RemoteCovertChannel利用时间差传递二进制信息、CacheExposer通过探针恢复受害者缓存中的原始Prompt、CachePoison污染缓存影响他人生成结果。实验证明攻击可行，提示共享缓存机制引入新的安全攻击面。

本文介绍一套纯Web的网络安全教学考试系统，配套《网络安全实战教程》教材，无需安装虚拟机，浏览器即用。系统内置虚拟终端仿真，支持nmap、hydra、john等命令，以破晓行动剧情串联六大渗透测试关卡，涵盖信息收集到漏洞利用全流程。具备实时评分、加密答卷防作弊、教师可视化配置题库等功能，覆盖教、学、评全流程，适用于课堂教学与攻防演练场景。