ZONE.CI 全球网

本文详细记录了对一款Cocos2d-x与Lua编写的棋牌手游进行多层脱壳与协议签名逆向的实战过程。面对Java壳套SO、SO解密DEX以及运行时解密映射子SO的四层复杂加固，作者通过静态分析密钥生成逻辑编写离线脚本脱取业务DEX，并利用FridaHook自定义linker的重定位分发函数精准Dump出未落地的内存子SO。针对业务逻辑所在的魔改opcode的LuaJIT字节码，文章介绍了通过Hook底层装载函数获取明文脚本，并在IDA中通过识别arm64取指与间接跳转特征定位VM分发循环，成功发现魔改仅改变

安全研究人员披露ApacheKvrocks存在五个严重漏洞，其中最高为CVSS10分。漏洞涉及栈缓冲区溢出、权限处理不当、Lua沙箱绕过、路径遍历和整数溢出，可导致服务崩溃或任意代码执行。影响版本从1.0.0至2.15.0，建议管理员立即升级至2.16.0版本以彻底修复。

Redis严重漏洞CVE-2026-23631（DarkReplica）利用复制子系统中的释放后使用（UAF）条件，可使经身份验证的攻击者通过滥用slaveof命令、操纵同步过程及触发Lua函数引擎中的竞态条件，最终实现远程代码执行并完全控制服务器。Redis官方已于2026年5月5日发布补丁修复，建议受影响组织立即更新补丁，并限制复制配置、关闭不必要的Lua功能以降低风险。

本文详细介绍了Wireshark通过Lua插件解析DTLCP协议的过程，包括插件加载、协议注册、字段定义和解析逻辑，并对比了DTLCP与TLCP的差异，提供了可操作的实施步骤。

慢雾安全团队披露一起针对开源模型用户的供应链攻击：GitHub仿冒Qwen仓库以487KB压缩包分发StealC窃密木马，内含LuaJIT解释器与混淆脚本，经多阶段加载后窃取浏览器凭据、邮件及Steam数据，C2备用地址写入Polygon链合约。建议用户核验下载资产完整性，安全团队已将IOC接入MistEye检测引擎。

本文预警Windows健康与优化体验服务权限提升漏洞CVE-2026-85884，高危等级，影响多个Windows11版本。漏洞源于服务处理诊断Lua工作流事件时缺少认证，低权限代码可伪造ETW事件，导致以LocalSystem权限执行任意Lua模块，实现权限提升至SYSTEM。POC已公开，建议用户尽快升级至官方安全版本。

奇安信CERT发布Windows健康与优化体验服务权限提升漏洞CVE-2026-85884通告，该漏洞影响Windows11多个版本，攻击者可通过伪造诊断工作流事件加载恶意Lua模块，将权限提升至SYSTEM，CVSS评分7.8，POC与EXP已公开，影响量级达百万级。建议用户尽快通过官方更新或奇安信天擎修复。

该通告披露Windows健康与优化体验服务(whesvc)存在权限提升漏洞CVE-2026-85884，影响多个Windows11版本。该服务以LocalSystem权限运行，在处理ETW事件时未充分验证事件来源，低权限攻击者可伪造事件加载并执行任意Lua模块，将权限提升至SYSTEM。官方已发布补丁，建议用户尽快通过Windows更新或手动安装修复。

本文分析Windowswhesvc服务CVE-2026-85884漏洞，该漏洞因ETW事件生产者无认证机制，低权限代码可伪造事件诱导SYSTEM权限服务加载恶意Lua模块实现提权，影响Windows11多个构建，评分7.8。2026年10月安全更新已修复，无官方替代方案。建议立即安装补丁，监控Lua模块加载与异常ETW写入，排查利用痕迹并审计诊断组件执行面。

文档介绍了名为鸾鸟(LuaN1ao)的AI渗透测试工具，采用P-E-R三角色协作框架和因果图推理机制，在XBOW基准测试中达到90.4%漏洞利用成功率且单次成本仅0.09美元。文章详细说明了安装部署流程并指出实际应用中的LLM成本与误报等局限性，建议关注技术成熟度后再上手应用。

Redis官方披露CVE-2026-25243（RESTORE双重释放）和CVE-2026-23631（主从Lua引擎UAF）两个高危RCE漏洞，攻击者仅需Redis账号权限即可稳定触发远程代码执行，导致挖矿入侵、数据窃取和内网渗透风险。文档详细分析漏洞技术原理，并提供企业自查步骤、临时ACL限制/命令禁用/网络防护等应急方案，以及版本升级、权限优化等根治措施，强调即使配置安全仍存在代码级威胁。

本文详细记录了对一款Cocos2d-x与Lua编写的棋牌手游进行多层脱壳与协议签名逆向的实战过程。面对Java壳套SO、SO解密DEX以及运行时解密映射子SO的四层复杂加固，作者通过静态分析密钥生成逻辑编写离线脚本脱取业务DEX，并利用FridaHook自定义linker的重定位分发函数精准Dump出未落地的内存子SO。针对业务逻辑所在的魔改opcode的LuaJIT字节码，文章介绍了通过Hook底层装载函数获取明文脚本，并在IDA中通过识别arm64取指与间接跳转特征定位VM分发循环，成功发现魔改仅改变

安全研究人员披露ApacheKvrocks存在五个严重漏洞，其中最高为CVSS10分。漏洞涉及栈缓冲区溢出、权限处理不当、Lua沙箱绕过、路径遍历和整数溢出，可导致服务崩溃或任意代码执行。影响版本从1.0.0至2.15.0，建议管理员立即升级至2.16.0版本以彻底修复。

Redis严重漏洞CVE-2026-23631（DarkReplica）利用复制子系统中的释放后使用（UAF）条件，可使经身份验证的攻击者通过滥用slaveof命令、操纵同步过程及触发Lua函数引擎中的竞态条件，最终实现远程代码执行并完全控制服务器。Redis官方已于2026年5月5日发布补丁修复，建议受影响组织立即更新补丁，并限制复制配置、关闭不必要的Lua功能以降低风险。

本文详细介绍了Wireshark通过Lua插件解析DTLCP协议的过程，包括插件加载、协议注册、字段定义和解析逻辑，并对比了DTLCP与TLCP的差异，提供了可操作的实施步骤。

本文复现了2026年Notepad++供应链攻击手法，通过NSIS制作恶意update.exe安装包，执行后创建目录、收集系统信息并上传至temp.sh，再通过User-Agent将返回地址发送至攻击者服务器，最终释放Lua加载器连接CobaltStrike。文章强调更新服务应使用HTTPS、警惕exe释放器，并建议加速EDR普及以应对AI加速恶意代码形成的挑战。

慢雾安全团队披露一起针对开源模型用户的供应链攻击：GitHub仿冒Qwen仓库以487KB压缩包分发StealC窃密木马，内含LuaJIT解释器与混淆脚本，经多阶段加载后窃取浏览器凭据、邮件及Steam数据，C2备用地址写入Polygon链合约。建议用户核验下载资产完整性，安全团队已将IOC接入MistEye检测引擎。

奇安信CERT发布Windows健康与优化体验服务权限提升漏洞CVE-2026-85884通告，该漏洞影响Windows11多个版本，攻击者可通过伪造诊断工作流事件加载恶意Lua模块，将权限提升至SYSTEM，CVSS评分7.8，POC与EXP已公开，影响量级达百万级。建议用户尽快通过官方更新或奇安信天擎修复。

文档介绍了名为鸾鸟(LuaN1ao)的AI渗透测试工具，采用P-E-R三角色协作框架和因果图推理机制，在XBOW基准测试中达到90.4%漏洞利用成功率且单次成本仅0.09美元。文章详细说明了安装部署流程并指出实际应用中的LLM成本与误报等局限性，建议关注技术成熟度后再上手应用。

Redis官方披露CVE-2026-25243（RESTORE双重释放）和CVE-2026-23631（主从Lua引擎UAF）两个高危RCE漏洞，攻击者仅需Redis账号权限即可稳定触发远程代码执行，导致挖矿入侵、数据窃取和内网渗透风险。文档详细分析漏洞技术原理，并提供企业自查步骤、临时ACL限制/命令禁用/网络防护等应急方案，以及版本升级、权限优化等根治措施，强调即使配置安全仍存在代码级威胁。

本文详细记录了对一款Cocos2d-x与Lua编写的棋牌手游进行多层脱壳与协议签名逆向的实战过程。面对Java壳套SO、SO解密DEX以及运行时解密映射子SO的四层复杂加固，作者通过静态分析密钥生成逻辑编写离线脚本脱取业务DEX，并利用FridaHook自定义linker的重定位分发函数精准Dump出未落地的内存子SO。针对业务逻辑所在的魔改opcode的LuaJIT字节码，文章介绍了通过Hook底层装载函数获取明文脚本，并在IDA中通过识别arm64取指与间接跳转特征定位VM分发循环，成功发现魔改仅改变

安全研究人员披露ApacheKvrocks存在五个严重漏洞，其中最高为CVSS10分。漏洞涉及栈缓冲区溢出、权限处理不当、Lua沙箱绕过、路径遍历和整数溢出，可导致服务崩溃或任意代码执行。影响版本从1.0.0至2.15.0，建议管理员立即升级至2.16.0版本以彻底修复。

Redis严重漏洞CVE-2026-23631（DarkReplica）利用复制子系统中的释放后使用（UAF）条件，可使经身份验证的攻击者通过滥用slaveof命令、操纵同步过程及触发Lua函数引擎中的竞态条件，最终实现远程代码执行并完全控制服务器。Redis官方已于2026年5月5日发布补丁修复，建议受影响组织立即更新补丁，并限制复制配置、关闭不必要的Lua功能以降低风险。

本文详细介绍了Wireshark通过Lua插件解析DTLCP协议的过程，包括插件加载、协议注册、字段定义和解析逻辑，并对比了DTLCP与TLCP的差异，提供了可操作的实施步骤。

本文复现了2026年Notepad++供应链攻击手法，通过NSIS制作恶意update.exe安装包，执行后创建目录、收集系统信息并上传至temp.sh，再通过User-Agent将返回地址发送至攻击者服务器，最终释放Lua加载器连接CobaltStrike。文章强调更新服务应使用HTTPS、警惕exe释放器，并建议加速EDR普及以应对AI加速恶意代码形成的挑战。