本文分享APP渗透实战，作者逆向脱壳提取APP内部隐藏URL，发现Tomcat服务器并利用Shiro默认密钥RCE。重点记录了在特殊环境下通过分段Fuzz排查Base64解码失败原因，成功绕过字符限制写入Webshell的踩坑经验，建议正面受阻时从APP内部信息找突破口。文末含大量付费广告。

该论文系统性地揭示了小程序生态中基于OAuth的认证机制(OBA)存在的安全滥用问题。研究团队提出了业界首个动态分析框架MiniAuth，对微信和百度两大平台近4.7万个小程序进行实测，发现超过1800处认证滥用，涉及1600多个小程序。论文将滥用归纳为三类模式：凭证交换泄露、身份断言滥用和通道请求滥用。研究还披露了一个百度平台级的密码学设计缺陷。该工作获得了11个CNVD/CNNVD漏洞编号确认，为小程序安全领域提供了重要的系统性分析和可操作建议。

勒索软件已演变为高度分工的产业链，涵盖初始访问经纪人、漏洞利用组织、僵尸网络运营者、勒索团伙、数据交易市场和洗钱组织六大角色。文章基于Chainalysis等报告估算2025年全球赎金超15亿美元，重点剖析了初始访问经纪人的商业模式及VPN漏洞利用、RDP爆破、凭证填充等攻击方法，建议企业加强边界防护与凭证管理。

麒麟软件联合360开展操作系统AI安全体检，率先接入360自主研发的漏洞挖掘智能体图龙锋。该智能体采用安全领域大模型与专业智能体蜂群协同路线，覆盖源代码、二进制等检测范围，能快速定位风险线索并验证漏洞利用路径。此次合作将AI漏洞挖掘能力拓展至国产操作系统场景，为构建全周期安全验证体系提供实践参考。