ZONE.CI 全球网

SwordfishSuite是一款受BurpSuite启发的现代化Web安全测试平台，集成智能代理、流量拦截、负载扫描和Python插件系统。核心功能包括HTTP/HTTPS流量拦截修改、GUI界面操作、流量数据转发及APP分析（暂未开放）。工具提供详细安装指南，需Python3.10环境，支持证书安装和插件扩展，适合安全研究人员和渗透测试新手使用。

文档介绍了一种名为PhantomRPC的新型Windows本地权限提升技术，利用RPC运行时未验证服务器合法性的架构缺陷，攻击者可通过伪造RPC服务器并调用RpcImpersonateClient实现SYSTEM权限提升。关键条件是需要SeImpersonatePrivilege权限且合法RPC服务不可用。文章提供了缓解建议：限制非标准进程的SeImpersonatePrivilege权限、启用合法RPC服务占用端点、监控RPC事件检测冒充尝试。

本文提出一种红队自动化攻击方案，利用ChromeMCP协议逆向提取前端加密密钥与逻辑，结合AI分析生成加密Payload，并通过BurpSuitejsrpc实现实时加解密。该方案将前端加密防线转化为攻击通道，有效解决传统工具因AES-CBC与SM2双重加密导致的爆破失效问题，提供端到端的自动化测试链路。

该文档披露了Linux内核RxGK子系统中的CVE-2026-31635本地权限提升漏洞（DirtyCBC），核心问题在于rxgk_verify_response()存在反向边界检查错误，导致超大认证器被放行，且rxgk_decrypt_skb()在AEAD解密时未检查COW保护，解密操作发生在HMAC校验前，攻击者可通过交错SGL污染SUID文件的页缓存并注入ELFshellcode获取root权限。影响Fedora、Arch等默认启用CONFIG\\_RXGK的系统，建议用户通过检查内核配置及版本

本文介绍JsRPC工具实现浏览器JavaScript方法远程调用的技术方案，通过WebSocket连接使服务器能调用客户端注册的JS函数。关键步骤包括服务端启动、浏览器环境注入、函数注册及HTTP接口调用，并演示了加密函数调试等逆向工程实战场景。文档提供完整的代码示例和操作流程，具备较强的实践指导价值。

火绒安全分析发现R0Guard反作弊程序实为远程控制后门，通过FRP反向隧道暴露本机54425端口至公网。该程序提供63个API接口，其中14个核心接口（包括任意命令执行、文件下载）无需任何认证即可直接调用。程序采用VMProtect保护增加分析难度，建议用户保持安全软件更新。

MicrosoftDefender扩展了对RPC协议的监控能力，通过集成Windows过滤平台实现OpNum级别细粒度检测，可识别被调用的具体RPC函数而非仅接口，重点监控进站远程RPC调用。新增检测包括Impacket攻击、可疑服务创建、LSA秘密盗窃、RPC枚举异常及认证胁迫等，支持通过高级狩猎查询RPC遥测数据，提升横向移动、凭据盗窃等攻击的可见性。

恶意GoogleNotes扩展程序通过未签名安装程序分发，伪装成极简浏览器扩展，在交易过程中监控剪贴板并替换加密货币钱包地址，导致不可逆经济损失。攻击者利用Chromium信任层机制强制注册扩展，并通过区块链智能合约动态解析C2服务器，增加检测难度。建议用户仅从官方商店安装扩展、验证收款地址，并部署端点防护。

本文通过实验验证了系统比模型更重要的观点。作者使用AISLE流水线配合本地开源模型（如Gemma和GPT-OSS）复现FreeBSD中的CVE-2026-4747漏洞。实验发现单次运行易出错，但多次运行后漏洞总能被发现，主要问题是假阳性过多。通过添加reachability过滤环节，假阳性从30个减少到5个，同时保留了真正的漏洞。结论是改进系统而非更换模型能更有效提升漏洞发现能力。

本文披露银狐Ghost分发商投递新型Rust木马MODBEACON的攻击活动。该木马工程化程度高，采用信标分离与内存插件架构，复用Xray框架的gRPC隧道隐蔽通信以规避审查。攻击者呈现混合威胁特征，既利用SEO仿冒软件实施日常诈骗，又按需下发特马针对高价值目标定向打击，疑似存在政治意图。建议企业部署高级威胁防御引擎进行拦截，并结合提供的域名与哈希等IOC指标开展排查。

奇安信发现银狐Ghost分发商使用Rust编写的新型特种木马MODBEACON进行定向攻击，目标涵盖科技、教育及国企等领域。该木马具备高度模块化架构、强隐匿通信及多重持久化机制，已达国家级APT水准。奇安信天擎EDR通过六合引擎实现精准拦截，并结合云端猎鹰平台与MDR服务提供轻量化防御方案，有效应对未知威胁与变种。

tproxy是一款轻量级开源TCP代理工具，可实时观测任意TCP连接全生命周期，支持gRPC、HTTP2、Redis、MongoDB等协议自动解析。其核心能力包括实时观测、智能协议解析、网络性能指标直出、连接池状态透视以及延迟转发与限速模拟弱网。通过一条命令即可定位gRPC超时、MySQL连接池打满等网络问题，安装方式支持Go、Docker和Scoop，适合后端开发、SRE及压测人员使用。

本文介绍基于ETW技术获取SYS驱动加载发起方进程的方案。常规ImageLoad回调只能获取SystemPID，无法识别真实发起方。文章详细分析了应用层通过SCM和RPC/ALPC加载驱动的流程，并提出通过关联KernelImageLoad、ALPC和RPC事件，在时间窗口内溯源到services.exe的RPC客户端进程，从而确定加载源。提供了基于krabsetw库的代码实现，包括KernelTrace和UserTrace的联合采集与事件关联逻辑。

本文介绍了FridaRPC机制，将App内部加密函数暴露为外部Python可调用的API，避免还原算法。核心包括rpc.exports暴露接口、三层通信架构、JSON序列化限制、Java.perform包裹必要性及零依赖最小示例。关键建议是RPC脚本越短，App升级后失效概率越低，适合批量签名、动态密钥等场景。

本文解析PhantomRPC提权技术，攻击者利用低权服务身份抢占空闲RPC端点伪装合法服务，诱导SYSTEM等高权进程连入并窃取令牌。该技术揭示Windows仅校验SID未验证服务实例的信任缺陷。建议蓝队将带模拟权限的低权失陷视为高危前提，借助ETW建立端点基线以识别异常实例。

安全团队披露朝鲜Lazarus组织利用新型链上C2技术NullReceiver实施供应链攻击。其通过恶意npm包传播，利用零金额以太坊转账的接收地址编码C2的IP，隐蔽性全面超越EtherHiding。建议防守方重点监控已知攻击者钱包的空白转账，防范该技术成为主流攻击手段。

本文介绍JsRpc工具与mitmproxy、Burp联动实现加密自动化渗透测试。JsRpc基于WebSocket实现浏览器与本地Go服务端通信，通过注入JS脚本调用浏览器原生环境执行加密函数，避免Node.js补环境。实战演示了在加密靶场中分析AES加密、注入JsRpc环境并动态注册函数，最终实现自动化调用加密函数。该方法可简化JS逆向中的加密处理流程，提升渗透测试效率。

AdamChester在2026年6月发布研究，利用大模型全自动生成MythicC2植入体，从提示词到部署仅需1.5-2小时，已验证Python、Go等五种语言。核心思路是将agent视为可随时生成的耗材，使签名检测失效。技术实现采用三级自动化测试框架驱动迭代。该研究对防御方提出挑战，建议转向行为检测而非静态签名。红队可复制工作流，蓝队需关注TTP层面。

Typecho1.3.0存在未认证SSRF漏洞（CVE-2026-7025），由PHP弱类型比较绕过与出站请求无白名单叠加导致，可盲打内网及云元数据。文章完整复现攻击链，并给出Nginx封禁入口与代码补丁两种修复方案，建议优先采用代码补丁根治。

本文详细介绍JSRPC技术在JS逆向中的应用，通过具体案例展示如何绕过反调试机制、定位混淆代码中的签名函数，并实现从手动调试到自动化签名的完整流程。文章提供可操作的JSRPC注册方法和Mitm插件集成方案，同时指出当前方案的局限性并提出基于CDP协议的全自动化改进方向。

本文详细披露了GoogleCloud生产环境中一个从调试端点信息泄露演变为完整RCE的攻击链。研究员通过cloudcrmipfrontend-pa.googleapis.com端点泄露内部protobuf定义，利用StubbyRPC机制绕过安全策略，最终通过GenericStubbyTypedTask实现远程代码执行。该漏洞被评定为P0/S0最高级别，获得148,337美元奖金，揭示了Google安全模型中Stubby调用链的核心风险。

JsRpc是一款用于远程调用浏览器的安全研究工具，支持通过浏览器执行远程指令，适用于渗透测试与安全评估场景。项目开源地址为https://github.com/jxhczhl/JsRpc，使用者需严格遵守法律声明仅限学习研究用途，建议结合其他工具进行综合安全测试。

文档分析CVE-2026-41089Windows域控Netlogon服务栈缓冲区溢出漏洞，CVSS评分9.8，无需认证即可远程代码执行获取SYSTEM权限。详细阐述漏洞技术原理、隔离环境复现步骤，并提供企业补丁修复、资产排查和监控加固等实操建议。

该文档介绍了一款针对2026年Linux内核页缓存提权漏洞家族（CopyFail/DirtyFrag/Fragnesia）的检测工具linux-lpe-detect，涵盖CVE-2026-31431等四个漏洞的自动化检测功能。工具支持普通用户快速检测、root权限完整检测、主动测试及JSON输出模式，并提供自动缓解措施应用。文档强调需在虚拟机中运行以确保安全，并附有详细使用命令和免责声明。

SwordfishSuite是一款受BurpSuite启发的现代化Web安全测试平台，集成智能代理、流量拦截、负载扫描和Python插件系统。核心功能包括HTTP/HTTPS流量拦截修改、GUI界面操作、流量数据转发及APP分析（暂未开放）。工具提供详细安装指南，需Python3.10环境，支持证书安装和插件扩展，适合安全研究人员和渗透测试新手使用。