ZONE.CI 全球网

本文是一篇渗透测试实战文章，以devel靶机为例，详细演示了从FTP匿名登录上传webshell获取权限，到利用烂土豆提权及MSF框架提权的完整过程。文章步骤清晰，包含信息搜集、漏洞利用及多种提权方法，对渗透测试学习者具有较高的参考价值和实操指导意义。

卡巴斯基发现NetamLoader恶意软件，针对亚洲政府定制版Windows系统发起供应链攻击。该恶意软件藏于Windows更新CAB文件中，利用XAML加载框架执行多阶段载荷，通过AMSI劫持和EDR规避技术隐藏行为，C2位于Cloudflare后。防御者应监控异常.config文件及dllhost.exe启动行为。

该文档介绍利用.NETDCOM服务器反序列化漏洞实现无文件横向移动的技术工具DCOMIllusionist，需管理员权限通过远程注册表修改关联CLSID与AppID实现跨会话命令执行。核心机制为伪造OBJREF重定向目标机至攻击者主机触发反序列化，支持PSExec、DLL加载等多种攻击模式，适用于域环境横向渗透。

dnSpyMCPExtension是一款将.NET逆向分析与AI结合的插件，通过ModelContextProtocol将23种逆向工具（包括字符串搜索、交叉引用追踪、IL代码编辑等）暴露给Claude等AI助手，实现自然语言驱动的逆向分析。该工具支持从查询分析到代码修改保存的完整闭环，显著降低Unity游戏等.NET程序逆向门槛，并提供了开箱即用的安装体验。

该文档介绍了作者为绕过安全软件内存防护而开发的几个BOF工具，包括检查360核晶防护状态、RDP端口状态及AV/EDR进程的功能。文档提供了具体的使用方法和测试结果，指出这些工具可有效规避某绒等杀软对CobaltStrikeexecute-assembly的拦截，并推荐参考相关GitHub项目进行二次开发。

补天官方推出AI安全工具汇总页面（https://forum.butian.net/AITools），该页面整理了多种类型的AI安全相关工具，为安全研究人员提供实用资源参考。文档主要介绍了这一新推出的工具聚合平台，但具体工具清单和功能细节未完整展示。

Huntress研究发现新型恶意垃圾邮件活动利用谷歌DoubleClick广告跟踪基础设施绕过企业邮件安全网关，通过高度个性化动态诱饵启动五阶段感染链，部署.NET加载器以修补AMSI、禁用ETW遥测和MicrosoftDefender实时保护，最终通过进程空洞化注入合法进程，并使用AES加密消息通过原始TCP协议与基于DDNS的C2服务器通信。

本文分享了一次获两万三千美元赏金的漏洞挖掘过程。研究者通过篡改JWT令牌中的realm字段实现管理后台认证绕过，并利用服务端对Authorization头Bearer关键字校验不严的缺陷绕过API鉴权。最终结合文件上传接口触发AmazonS3与CloudFront的任意文件覆写漏洞，可篡改前端JS或EXE文件实施攻击。建议严格校验JWT声明、规范化认证头解析并限制S3文件覆写权限。

360高级威胁研究院披露APT-C-36盲眼鹰组织在2026年5月使用新型加载器发起攻击。该加载器采用.NETAhead-of-Time编译技术生成原生机器码以增强隐蔽性，通过钓鱼邮件投递诱饵释放白加黑文件，最终将DCRat远控木马注入合法进程AddInProcess32.exe实现远程控制。攻击目标主要为哥伦比亚等南美地区的政府和金融行业。建议相关机构关注IOC并加强邮件安全防护。

该文档为2026年7月11日暗网快讯，报道了多起数据泄露事件，涉及西班牙交通执法技术提供商、教育平台ClassDojo、加密货币服务CoinPayments、流媒体Paramount+、游戏平台Ubisoft等，威胁行为者售卖或泄露用户数据、源代码、数据库等。建议关注此类威胁情报，加强数据安全防护。

老牌俄APT组织Turla推出新后门StockStay，专攻乌克兰军政和欧洲外交机构。该恶意软件采用模块化架构，通过GitHub云通道和漏洞钓鱼入侵，具备强加密和环境锁隔离技术，传统杀毒易漏报。建议升级WinRAR、监控异常WebSocket连接和邮件网关检测，阻断云隐蔽通信通道。

本周网络安全态势显示APT组织利用AI辅助攻击和新型钓鱼手法（如设备代码钓鱼、图像隐写）持续活跃，同时披露了HalluSquatting攻击和Helix勒索组织等新威胁。LinuxKVM、GCPDialogflow等关键漏洞需紧急修复。建议加强AI安全监测、设备代码认证管控和漏洞管理。

本文介绍利用ClaudeAI结合Skills工具实现自动化漏洞挖掘的方法。内容涵盖环境配置、安全审计技能安装，并以补天平台为例演示了自动化渗透流程，成功发现认证泄露漏洞。文章还提供了MCP接入Burp、多Agent协作等进阶方向，但后半部分主要为付费帮会及CTF课程推广。

伊朗APT组织CavernManticore利用SysAid等RMM工具供应链投毒，部署模块化.NET后门框架，采用DLL侧加载、NativeAOT免杀、内存隔离销毁、伪装微软云C2等高级对抗技术，专攻政企和IT服务商，传统杀毒和EDR几乎无法检测。建议企业立即开展终端文件、网络流量、进程行为排查，并加固RMM运维管控。

文档描述了在网易云音乐9.2.80版本中绕过易盾反调试的实战过程，重点分析了五个安全库的协同防护机制，包括sigtrap自检、线程名扫描等检测手段，并给出了通过signalprobe和patchedfrida-server等方法的绕过方案。关键发现是防护对Android版本和设备历史状态敏感，且多个独立SDK叠加火力。可操作建议：使用signalprobe绕过sigtrap自检，修改frida-server线程名绕过扫描。

本文介绍一款名为Net-Loader的.NET免杀生成工具，可将任意.NETPEclient打包为免落盘的PowerShell反射加载链。工具自动完成AES-256载荷加密、AmsiScanBuffer内存补丁、配置随机化与命名空间混淆，以绕过杀软和EDR检测。提供一键生成Client.vbs下载器与Payload.jpg载荷的功能，适用于红队渗透测试场景。

碳泽信息宣布成功中标许继集团安全自动测试平台项目，这是一项签约喜讯。文章提供了公司联系方式，包括电话、网址和邮箱，用于销售咨询和技术支持。

360漏洞研究院披露用友U9Cloud数据迁移功能存在BinaryFormatter反序列化远程代码执行漏洞(CVSS7.2)。攻击者需具备管理员会话权限，上传恶意构造的.bin文件即可在IIS应用池权限下执行任意命令。影响U9C企业版、标准版及U9V6.6系列。官方已发布补丁，建议用户立即升级。

国家互联网应急中心公布银狐木马专项打击行动中确认的TOP10恶意网络资产，包括IP地址、域名及归属地（主要位于中国香港、日本、美国），日控制规模从4373到18229不等。文章提供了排查方法（检查浏览器历史、DNS请求、可疑程序）和处置建议（更新IOC、隔离感染终端、加强安全防范），并鼓励向指定邮箱报告线索。

CNCERT披露银狐木马团伙使用的TOP10恶意网络资产，主要分布在中国香港、日本和美国，日控制规模达数千至一万八千余台。报告提供排查方法如检查DNS请求和可疑进程，并建议更新IOC、隔离感染终端及加强钓鱼防范。

国家互联网应急中心公布银狐木马专项打击行动成果，披露10个恶意IP及关联域名，主要位于中国香港，日控制规模最高达7737台。建议更新IOC进行拦截，排查终端感染情况，加强钓鱼网站防范，并向指定邮箱报告线索。

2026年3月25日暗网出现美国博彩网站BodogLife.com用户数据泄露事件，25,000条记录包含姓名、地址、邮箱、电话等真实个人信息。经分析，数据并非新近泄露而是2008-2013年采集的旧库重发，已在2024年12月传播过。数据属于营销线索库，无账户密码或财务信息，但仍有隐私泄露风险。

本文预警PHP两个CVSSv4.09.2分RCE漏洞，编号CVE-2026-109618与CVE-2026-109619，补丁定于今晚22点发布，影响PHP5.4及以上版本，EOL版本无官方补丁。文章建议立即盘点资产、预演升级路径、架设监控，发布后24小时内完成升级并关注异常进程链，强调WAF无法作为依赖，需在基础设施层修复。

国家互联网应急中心CNCERT披露最新一批银狐木马恶意网络资产，包括TOP20恶意IP及关联域名，主要分布于中国香港、新加坡和美国等地，日控制规模最高达9808台。文章提供排查方法如检查浏览器历史、DNS请求及终端异常进程，并建议更新IOC进行拦截、隔离感染终端、加强钓鱼防范，并向指定邮箱报告线索。

2026年10月20-21日主流语言与运行时密集披露高危漏洞，其中PHP两个CVSS9.2未认证RCE漏洞（php2shell）影响千万级，可致堆UAF、内存泄露和远程代码执行，POC已公开。同期涉及Node.js、Java、MySQL、Go、.NET、Traefik、Vyper、Perl、Ruby、Python、LiteLLM供应链投毒及eMudhraCA私钥泄露等。文章提供各组件修复版本及优先处置建议，强调PHP最优先升级排查入侵痕迹。