ZONE.CI 全球网

本文推荐了四本开源情报经典读物，涵盖斯诺登回忆录、Bellingcat调查指南等。文章指出OSINT已扩展至大众领域，强调理解方法逻辑重于单纯掌握工具。建议安全从业者通过阅读建立调查思维与数字环境认知框架，提升公开信息收集与分析能力。

本文记录了作者参加快手技术沙龙的收获，重点探讨了推荐系统在大模型时代的演进。核心内容包括快手提出的Onerec生成式推荐框架验证了推荐系统的ScalingLaw，以及Onereason推理模型通过预训练、SFT和RL三阶段让推荐系统学会思考。文章指出单纯模仿推理链（SFT）效果不佳，强化学习（RL）才是提升推理能力的关键，并介绍了Fast-SlowThinking线上部署方案及在广告场景取得的显著收益。最后展望了从Reasoning到Agentic推荐的未来方向。

本文通过模拟玩具公司SlingwayInc.服务器被入侵的完整攻击链，详细分析了攻击者从Nmap侦察、Gobuster目录枚举、Hydra暴力破解、上传Webshell、利用LFI漏洞窃取数据库凭据到最终操作数据库的六个步骤。文章使用ElasticStack日志分析还原攻击过程，为安全运维人员提供了从日志追踪攻击行为的实战思路，并强调监控异常User-Agent、强化密码策略、限制文件上传和防范路径穿越等关键防御措施。

FOSSBilling存在严重的模板注入漏洞CVE-2026-28496（CVSS9.4），影响0.1.0至0.7.2版本。攻击者可通过Twig模板注入实现未授权数据读取和远程代码执行，已发现野外利用尝试。缓解措施包括升级至0.8.0版本、检查可疑模板、轮换API令牌并限制系统目录访问。

本文面向黑客和系统管理员，介绍了JSON处理工具jq的核心用法。文章从基础概念讲起，涵盖美化输出、提取特定字段、使用select过滤数据等操作，并通过解析ldapdomaindump输出等实战示例展示其应用。作者强调掌握点号引用、数组遍历、select过滤等心智模型即可应对大部分场景，鼓励读者放弃传统CSV工具，拥抱JSON。

7月9日AI快讯汇总：商务部等9部门推广人工智能+拓展智能导购等场景；国家超算互联网核心节点在郑州上线，接入超10万卡国产AI算力；淘天AIGX体系升级使AI从工具进化为伙伴；阶跃星辰将发布AI智能体手机；智谱完成约314亿港元配售聚焦大模型研发；蚂蚁灵波开源全球首个具身视频基模LingBot-Video；支付宝AI支付发布Agent全链路经营矩阵；英伟达与HuggingFace合作开发机器人开源模型；黄仁勋称AI智能体创造新岗位；百度称AI写代码占全球模型调用量超一半；GitHubAIAgent首次被证

本文逆向分析了Android应用BOSS直聘的Native网络协议加密机制。通过抓包发现请求参数sp和sig，利用FridaHook定位到加密函数，最终在so库中识别出LZ4压缩和RC4加密算法。分析揭示了请求体先经LZ4压缩再RC4加密生成sp，以及基于特定字符串拼接后签名生成sig的完整流程。该分析为理解应用层协议安全提供了实战参考。

美国原告在诉状中用极小白色字体藏入提示注入指令，企图操控AI审阅系统。该行为被识破，法官确认法院未用AI，但仍以破坏司法诚信处罚原告。测试表明大模型已能忽略此类注入。该事件揭示AI时代文件完整性面临新威胁，建议司法、金融等行业建立防范机制，抵御隐形提示注入。

本文为HackTheBoxDanglingTree靶机（Hard难度）的渗透测试技术复盘。攻击路径始于匿名SMB共享泄露凭据，利用SmarterMailRCE（CVE-2026-24423）获取初始shell。通过DPAPI离线解密和ForceChangePassword横向移动，最终利用ADCS悬空模板重建（ESC1）结合PKINIT获取域管理员权限。核心教训是信息泄露是常见突破口，ADCS配置缺陷可导致权限提升。

本文简要分享了两款用于移除应用签名的安卓工具SRPatch和DPatch，均宣称支持一键傻瓜式操作。文中列出了两款工具的包名、版本及文件大小，并附带操作界面截图与扫码下载链接。该内容仅为基础的工具推荐与分享，缺乏对去签原理的技术剖析与具体使用场景说明，且资源均来源于网络。

Ropedia发布新一代多模态采集系统HOMIEGen2，旨在将人类经验规模化转化为机器人训练数据，提出HumanExperienceScalingLaw概念。产品具备4目全景360度与多模态同步采集能力，精度达训练级标准。公司定位为机器人学习基础设施方，构建采集、加工、模型三层经验飞轮，推动PhysicalAI发展。

本文推荐了四本开源情报经典读物，涵盖斯诺登回忆录、Bellingcat调查指南等。文章指出OSINT已扩展至大众领域，强调理解方法逻辑重于单纯掌握工具。建议安全从业者通过阅读建立调查思维与数字环境认知框架，提升公开信息收集与分析能力。

本文记录了作者参加快手技术沙龙的收获，重点探讨了推荐系统在大模型时代的演进。核心内容包括快手提出的Onerec生成式推荐框架验证了推荐系统的ScalingLaw，以及Onereason推理模型通过预训练、SFT和RL三阶段让推荐系统学会思考。文章指出单纯模仿推理链（SFT）效果不佳，强化学习（RL）才是提升推理能力的关键，并介绍了Fast-SlowThinking线上部署方案及在广告场景取得的显著收益。最后展望了从Reasoning到Agentic推荐的未来方向。

FOSSBilling存在严重的模板注入漏洞CVE-2026-28496（CVSS9.4），影响0.1.0至0.7.2版本。攻击者可通过Twig模板注入实现未授权数据读取和远程代码执行，已发现野外利用尝试。缓解措施包括升级至0.8.0版本、检查可疑模板、轮换API令牌并限制系统目录访问。

本文面向黑客和系统管理员，介绍了JSON处理工具jq的核心用法。文章从基础概念讲起，涵盖美化输出、提取特定字段、使用select过滤数据等操作，并通过解析ldapdomaindump输出等实战示例展示其应用。作者强调掌握点号引用、数组遍历、select过滤等心智模型即可应对大部分场景，鼓励读者放弃传统CSV工具，拥抱JSON。

7月9日AI快讯汇总：商务部等9部门推广人工智能+拓展智能导购等场景；国家超算互联网核心节点在郑州上线，接入超10万卡国产AI算力；淘天AIGX体系升级使AI从工具进化为伙伴；阶跃星辰将发布AI智能体手机；智谱完成约314亿港元配售聚焦大模型研发；蚂蚁灵波开源全球首个具身视频基模LingBot-Video；支付宝AI支付发布Agent全链路经营矩阵；英伟达与HuggingFace合作开发机器人开源模型；黄仁勋称AI智能体创造新岗位；百度称AI写代码占全球模型调用量超一半；GitHubAIAgent首次被证

本文逆向分析了Android应用BOSS直聘的Native网络协议加密机制。通过抓包发现请求参数sp和sig，利用FridaHook定位到加密函数，最终在so库中识别出LZ4压缩和RC4加密算法。分析揭示了请求体先经LZ4压缩再RC4加密生成sp，以及基于特定字符串拼接后签名生成sig的完整流程。该分析为理解应用层协议安全提供了实战参考。

美国原告在诉状中用极小白色字体藏入提示注入指令，企图操控AI审阅系统。该行为被识破，法官确认法院未用AI，但仍以破坏司法诚信处罚原告。测试表明大模型已能忽略此类注入。该事件揭示AI时代文件完整性面临新威胁，建议司法、金融等行业建立防范机制，抵御隐形提示注入。

本文为HackTheBoxDanglingTree靶机（Hard难度）的渗透测试技术复盘。攻击路径始于匿名SMB共享泄露凭据，利用SmarterMailRCE（CVE-2026-24423）获取初始shell。通过DPAPI离线解密和ForceChangePassword横向移动，最终利用ADCS悬空模板重建（ESC1）结合PKINIT获取域管理员权限。核心教训是信息泄露是常见突破口，ADCS配置缺陷可导致权限提升。

本文简要分享了两款用于移除应用签名的安卓工具SRPatch和DPatch，均宣称支持一键傻瓜式操作。文中列出了两款工具的包名、版本及文件大小，并附带操作界面截图与扫码下载链接。该内容仅为基础的工具推荐与分享，缺乏对去签原理的技术剖析与具体使用场景说明，且资源均来源于网络。

Ropedia发布新一代多模态采集系统HOMIEGen2，旨在将人类经验规模化转化为机器人训练数据，提出HumanExperienceScalingLaw概念。产品具备4目全景360度与多模态同步采集能力，精度达训练级标准。公司定位为机器人学习基础设施方，构建采集、加工、模型三层经验飞轮，推动PhysicalAI发展。

本文推荐了四本开源情报经典读物，涵盖斯诺登回忆录、Bellingcat调查指南等。文章指出OSINT已扩展至大众领域，强调理解方法逻辑重于单纯掌握工具。建议安全从业者通过阅读建立调查思维与数字环境认知框架，提升公开信息收集与分析能力。

本文记录了作者参加快手技术沙龙的收获，重点探讨了推荐系统在大模型时代的演进。核心内容包括快手提出的Onerec生成式推荐框架验证了推荐系统的ScalingLaw，以及Onereason推理模型通过预训练、SFT和RL三阶段让推荐系统学会思考。文章指出单纯模仿推理链（SFT）效果不佳，强化学习（RL）才是提升推理能力的关键，并介绍了Fast-SlowThinking线上部署方案及在广告场景取得的显著收益。最后展望了从Reasoning到Agentic推荐的未来方向。

本文通过模拟玩具公司SlingwayInc.服务器被入侵的完整攻击链，详细分析了攻击者从Nmap侦察、Gobuster目录枚举、Hydra暴力破解、上传Webshell、利用LFI漏洞窃取数据库凭据到最终操作数据库的六个步骤。文章使用ElasticStack日志分析还原攻击过程，为安全运维人员提供了从日志追踪攻击行为的实战思路，并强调监控异常User-Agent、强化密码策略、限制文件上传和防范路径穿越等关键防御措施。

FOSSBilling存在严重的模板注入漏洞CVE-2026-28496（CVSS9.4），影响0.1.0至0.7.2版本。攻击者可通过Twig模板注入实现未授权数据读取和远程代码执行，已发现野外利用尝试。缓解措施包括升级至0.8.0版本、检查可疑模板、轮换API令牌并限制系统目录访问。