ZONE.CI 全球网

美国司法部宣布乌克兰公民利特维年科认罪，承认参与Conti勒索软件行动。其在2021-2022年期间编写恶意代码并窃取数据，全球超1000名受害者损失超1.5亿美元。Conti成员后分化重组至多个新兴勒索团伙，国际执法持续打击此类犯罪。

本文介绍了使用BurpSuite的ClickjackingPoC生成器快速构建点击劫持验证环境的方法，无需手动编写HTML/CSS即可生成交互式概念验证。文章还提出了通过修改GET参数预填表单内容的高级利用技巧，旨在提升漏洞验证效率与报告质量。

本文介绍使用HermesAgent与Kali系统实现自动化渗透测试的完整方案，包括部署环境选择、模型配置、记忆模块设置和Skills技能包导入。重点推荐在Kali系统部署并选择低道德感模型，详细说明红队渗透专家角色设定和攻击流程规范，提供实战测试案例和技能管理方法。

2026年6月13日黑客团体BABAYOERORSYSTEM在Telegram宣称泄露印尼陆军信息与数据处理服务处机密数据，该机构负责陆军信息化系统建设与数据处理。泄露文件为182KB的XLSX格式，含数据库连接配置但未发现实际表格数据。该团体自2025年持续活跃，本次攻击表明其目标从以色列/印度转向东南亚军事系统，威胁等级较高。

该文档介绍BurpSuite2026.6专业版更新内容，包括升级至Java26运行时、改进BurpScanner扫描能力（如减少误报、优化去重机制）、修复证书有效期和界面渲染等问题，同时提供Windows/Linux/Mac多平台安装方法及免责声明，强调需合法授权使用。

文章探讨了当前AI生成网站普遍采用TailwindCSS模板的现象。技术博主BrianDouglas观察发现，许多AI辅助编程的产品网站在视觉风格上高度相似，并以HackerNews上的多个项目为例进行了说明。文章分析认为，这主要是因为TailwindCSS的实用性和灵活性使其成为AI模型生成网页时的默认选择，从而导致了`模板化审美`的问题。作者指出，这种现象可能反映出产品创建者对产品本身缺乏真正的热情和投入。

LeoAI是基于SpringBoot与LangChain4j开发的红队后渗透管理平台，深度集成LLM智能Agent，内置175款工具和24套预置攻击Skill，支持多模型接口、流量伪装与团队协同。平台提供AI自动化侦察、内存马/WebShell生成、多协议隐蔽通信及完整操作审计功能，支持Docker一键部署，开箱即用。

该文档介绍利用AI工具自动分析JS加解密函数并生成Burpsuite插件autoDecoder的Python脚本的方法。核心流程包括：通过Webpack\\_extract或chrome-devtools-mcp获取JS文件，使用Claude或DeepSeek等AI模型分析加解密逻辑，生成实现请求包加密和响应包解密的Python脚本，并在autoDecoder中验证效果。对于非混淆代码可直接运行，复杂混淆情况建议分步处理。

联想全球安全实验室受邀出席HKHACK大会，分享AI渗透测试、浏览器安全等前沿研究成果，并参与制定《信息安全渗透测试技术要求》团体标准，体现了其在网络安全领域的技术实力和行业影响力。

Zimperium发现新型安卓银行木马Rokarolla，针对217个银行及加密应用，具备137个远程指令。它伪装知名应用传播，利用无障碍服务禁用Play保护、窃取锁屏密码、拦截短信验证码和剪贴板内容实施诈骗。建议用户仅从官方渠道下载应用，警惕异常无障碍权限请求，以保障资金安全。

本文介绍企业微信H5页面开启webview调试的实用方法，针对原调试链接失效问题提供替代方案。详细说明Android端操作流程：通过debugxweb.qq.com生成二维码、连接adb调试、使用Chrome/Edge的inspect功能，并解决404错误和网络访问问题。同时提供请求包复制技巧和其他平台参考指南，具备较高实操价值。

研究者披露FIFA世界杯后台存在高危越权漏洞。通过公开注册账号进入Entra租户后，因后端API未校验角色，成功绕过前端拦截访问流媒体配置、RTMP推流入口及实时赛事数据面板。根因在于服务端授权缺失及权限边界混乱。建议企业必须实施服务端强制鉴权，严格区分身份认证与授权，并完善外部账号权限隔离与安全披露渠道。

本周安全快报汇总了2026年6月11日至17日全球多起重大网络安全事件，包括伊朗黑客组织Handala入侵美国加州水务系统窃取5GB数据、意大利安科纳港口遭勒索软件攻击、英国诺丁汉大学40GB数据泄露等。关键发现显示关键基础设施成为攻击重点，勒索软件、数据窃取和社会工程学为主要手段。建议机构加强系统防护、及时修补漏洞并建立应急响应机制。

本文介绍pscan作为红队内网渗透工具，基于fscan二次开发实现免杀绕过，通过参数混淆、模块重命名等技术规避检测。工具集成内网存活探测、端口扫描、弱口令爆破、POC漏洞检测和后渗透利用功能，提供WebUI管理和多种扫描模式，支持凭据复用、哈希传递等高级攻击手法。

该文档介绍GitHub项目RuoJi6/audit-skills近期更新情况，项目将复杂代码审计内容大幅删减，转向简化提示词设计，体现lessismore理念。核心观点是通过MCP工具赋予Agent目标导向能力而非过程干预，并推荐AI赋能黑盒渗透测试实践文章作为延伸阅读。

本周安全周报披露多项重大安全事件：国家网信办公布境外恶意网址与IP列表，警示木马入侵风险；澳大利亚糖厂遭勒索软件攻击致停产；Claude将强制实名认证引发隐私担忧；诺丁汉大学45万学生数据泄露；世界杯系统曝高危权限漏洞可篡改直播。报告强调需及时屏蔽恶意地址、防范信息窃取，并关注AI管控趋势下的数据安全风险。

白帽黑客发现FIFA系统存在严重越权漏洞，利用普通经纪人账户绕过前端限制，因后端API未校验权限，直接获取世界杯转播控制与比分修改等核心权限。因FIFA缺乏漏洞披露渠道，最终由CISA协助修复。此事件暴露仅依赖前端控制的普遍风险，建议必须在服务器端对所有API实施强制权限校验。

本文介绍hack-skills安全技能知识库的安装与使用教程，涵盖Web安全、API安全、操作系统提权等多元安全领域。文档详细演示了通过trae工具配置技能库、调用分类入口进行自动化安全测试的完整流程，并提供了实战案例验证工具在渗透测试中的有效性。

微软研究人员披露AutoJack攻击链，可利用AI浏览Agent加载恶意网页实现远程代码执行。漏洞存在于AutoGenStudio预发布版本的MCPWebSocket处理程序，攻击者通过诱导Agent访问恶意URL即可在主机执行任意命令。当前稳定版不受影响，预发布版本用户需手动拉取GitHub修复代码或采用容器隔离等缓解措施。

文章披露AutoGenStudio框架中的AutoJack漏洞利用链，恶意网页可通过浏览智能体绕过localhost信任边界，直连未鉴权的MCPWebSocket服务，在主机上执行任意命令。攻击无需用户交互，仅需诱导智能体访问恶意页面。漏洞涉及来源验证缺失、认证中间件豁免路径、命令注入三重缺陷。建议加强本地服务鉴权、严格验证WebSocket来源、对MCP参数实施白名单过滤。

本文介绍HopLaBurpSuite插件，该工具集成PayloadsAllTheThings测试载荷库，支持自动填充和自定义JSON扩展以提升漏洞挖掘效率。文档包含工具安装方法、自定义载荷配置操作指南，并附作者攻防演练经验及免杀工具列表。文末提供星球付费社群推广信息及历史技术文章链接。

本周网络安全热点涉及漏洞、事件与政策三方面。漏洞情报包括SplunkEnterprise未授权文件操作漏洞和Linux内核本地提权漏洞；安全事件涵盖InfiniteCampus教育数据泄露、MackaySugar勒索攻击及德州政府300万人信息泄露；政策方面发布首批网络安全标识产品目录和《网络数据安全风险评估办法》。建议及时修补漏洞、加强供应链安全管理和关注新规实施。

keyhacks是一个专门用于验证各类API密钥有效性的开源安全工具，支持包括AWS、GitHub、GoogleCloud等80余种常见服务的密钥测试。项目明确声明仅限安全研究使用，并提供了完整的免责声明。核心功能是通过标准化方法快速检测API密钥的活跃状态，为渗透测试和安全审计提供实用参考。

AIScan是一款多Agent分布式协同扫描工具，融合传统漏洞扫描精准性与AI智能分析能力，支持自动复盘校验以减少误报漏报。采用IOA协作协议实现多节点自主组网，提供Scan模式（端口发现、Web探测、弱口令检测、POC检测流水线）和Agent模式（自然语言任务规划），内置gogo、spray等扫描工具及浏览器侦察模块，适用于红队安全评估、内网巡检等场景。文档包含工具下载、配置指南及VIP星球推广内容。

本文介绍当Web应用请求响应包全加密时，利用大模型分析明文数据包进行渗透测试的两种方法：一是通过MITM中间人解密对称加密流量后经Burpsuite/Yakit转发；二是借助YakMCP连接yakit自动获取历史流量，结合autodecoder脚本解密保存为明文markdown。文章详细演示了Claude提示词操作流程、Yak热加载脚本实现及webfuzzer应用，强调大模型在提升安全测试效率方面的价值。