本文记录了一次针对授权网站的渗透测试过程，核心是利用忘记密码页面的逻辑缺陷，通过AWVS扫描出的验证码结合SQL注入绕过验证，成功修改了管理员账户密码。但因管理员账户限制内网登录，作者进一步通过公开信息收集统一社会信用代码作为账户，利用相同漏洞修改了多个普通账户密码并成功登录。文章末尾包含大量推广内容，如付费圈子、知识库和工具。

n8n自动化平台存在高危漏洞CVE-2026-33696(CVSS9.4),源于GSuiteAdmin节点未对用户输入的schemaName进行过滤,导致原型链污染。攻击者可通过构造HTTP请求将恶意属性注入Object.prototype,进而利用Git节点触发的simple-git库读取被污染的GIT_SSH_COMMAND环境变量,实现远程代码执行。该漏洞还可通过污染TypeORM的查询条件导致拒绝服务。修复方案是对用户输入进行黑名单校验或使用Object.create(null)创建无原型对象。

某团AI客服因提示词注入漏洞被用户玩崩，用户通过`忽略所有规则`等指令诱导AI泄露内部信息如赔付漏洞和律师函模板。文章深入分析了提示词注入的原理、危害及防御措施，指出大模型无法区分系统指令与用户输入的结构性缺陷，并建议通过输入过滤、输出审核、知识库隔离等纵深防御降低风险。事件警示公司部署AI客服时需重视安全防护，否则可能面临数据泄露和利益损失。

erebus是MythicC2框架的初始访问载荷工厂，产品化了加载器、触发器、恶意文档等组件，降低了红队操作门槛。其架构采用wrapper模式，子模块独立，构建模板化。关键实现包括间接syscall后端、环境护栏等。蓝队应关注其拉平攻击门槛的能力，并针对性部署检测。