ZONE.CI 全球网

美国国防部更新了一份包含阿里巴巴、百度、比亚迪等多家中国企业的清单。该清单主要用于风险识别，现阶段不会直接导致全面制裁，但会限制美国国防部与其合作。受影响的企业已对此表示否认，并计划通过合法渠道维护自身权益。

该手册由杭州公安发布，系统介绍2026年电信网络诈骗的新形态与防范策略，涵盖常见诈骗手法如刷单返利、冒充客服等，强调不轻信、不转账、不泄露验证码等核心防护措施，并指导群众通过96110热线进行咨询举报。

本文详细介绍了MSSQL注入从无回显到getshell的完整攻击链，包括判断堆叠查询、SA权限和xp\\_cmdshell可用性等前置条件，通过DNS出网方式获取网站路径，利用Base64分段传输和免杀技术写入webshell。文章提供了具体操作命令和规避安全防护的方法，强调技术仅用于教育目的。

公开资料显示，GitHub高星云渗透工具accesskey\\_tools的AWS模块存在恶意后门，通过域名伪装、静默安装仿冒包、劫持SDK端点三重技术窃取用户AWS凭证。关键发现包括：利用十六进制字符串隐藏C2域名api.aliyun-sdk-requests.xyz，通过pip静默安装恶意whl包，篡改botocore端点将含SigV4签名的请求转发至攻击者服务器。建议严审开源代码、禁用自动安装、使用最小权限凭证并监控异常出站流量。

ArgusMind是一款基于双库架构的AI代码审计工具，采用Neo4j图数据库与PostgreSQL存储架构，通过多Agent智能编排实现全自动代码安全检测。工具具备端到端审计流水线能力，可自动完成项目信息收集、风险点位挖掘和调用链分析，支持Docker一键部署与Web控制台管理。文档提供了详细的安装指南和功能演示，同时推广了相关付费知识星球服务。

DesJsFinder是一款红队API挖掘工具，集成被动JS分析、框架识别、主动Fuzz和响应指纹功能。工具能自动提取JS中隐藏API路径，识别SpringBoot等10种框架，按风险分类接口，支持Token注入和并发探测。提供16种安全指纹识别如Actuator暴露、SQL报错等，可导出字典用于进一步渗透测试。

本文详细记录了一次针对企业小程序的授权渗透测试，通过账号枚举与未授权访问发现逻辑漏洞，利用根目录泄露源码进行白盒审计。最终发现任意文件上传致RCE、多处SQL注入及硬编码凭证等严重风险，验证了黑盒与白盒结合的测试效果，并提供了针对性修复方案。

EDRChoker是一款通过WindowsQoS策略限制EDR代理带宽致其超时的对抗工具，依赖pacer.sys驱动实现重启生效的持久化控制。文档提供命令行用法及GitHub链接，并强调需用于合法安全测试。文末推广红队技术社群，列举多种免杀、维权、钓鱼等实战技术资源。

该文档分析了高通骁龙8Gen5平台下gbl_root_canoe工具隐藏Bootloader解锁状态的原理。通过修改ABL二进制文件，替换efisp分区名为nulls，并修补AVB验证逻辑，使TEE和系统认为设备处于锁定状态，从而绕过完整性检测。关键步骤包括定位启动状态锚点、反向追踪数据流强制AllowVerificationError为TRUE、正向追踪修改IsUnlocked值为0，以及修补内核启动参数字符串。方案利用GBL校验漏洞在启动早期实现假回锁，保留刷写能力的同时规避安全检测。

文档介绍在SQLServer盲注场景中，当目标存在杀软、EDR防护且仅DNS出网时，通过VBS脚本将命令执行结果转为十六进制格式，分段嵌入DNS请求外带数据。提供完整操作流程：使用sqlmap的–os-shell功能写入并执行脚本，配合Python工具解密DNS日志重组回显。关键发现包括利用DNS协议绕过网络限制，可操作建议涉及修改DNSlog平台地址与Cookie配置以实现自动化解密。

本文是EasyShellExtensions脚本菜单的用户手册，详细介绍了该渗透测试工具的功能特性、部署使用方法、内置插件集配置以及自定义JSON插件编写指南。文档重点说明了脚本菜单的树形操作界面、内存执行技术、Windows/Linux/macOS多平台支持，以及从CobaltStrikeCNA迁移的注意事项，为红队操作人员提供了完整的操作指引和实战经验分享。

本文系统介绍了针对大语言模型的渗透测试方法，重点剖析了提示词注入攻击的九种类型（如指令劫持、反向诱导、角色扮演等），并提供了具体的攻击用例与测试脚本，旨在帮助安全人员评估和加固AI系统的安全防护能力。

B-LinkX26V1.2.8路由器存在命令注入漏洞CVE-2025-9580，攻击者通过发送恶意HTTPPOST请求可触发漏洞。漏洞成因是goahead组件未对用户输入的type和enable参数过滤，直接拼接至系统命令执行。作者通过逆向分析libshare.so.0库验证漏洞，并在真机成功复现。建议厂商修复输入校验机制，用户及时更新固件。

本文分析CTFshow文件管理助手的路径遍历漏洞，通过css/前缀拼接…/成功绕过路径过滤机制实现任意文件读取。关键发现是后端仅校验输入开头导致安全缺陷，建议使用realpath()进行最终路径验证和白名单校验。

AnthropicCEODarioAmodei于2026年6月11日公开呼吁美国政府实施强制性AI监管，提出三大主张：强制第三方安全测试、赋予政府阻止高风险AI模型部署的权力、反对限制州立法权。文章以霍比特人与树人隐喻揭示AI发展速度远超政策跟进，并结合Anthropic同期发布的ClaudeFable5与Mythos5模型案例，说明通过分层安全护栏平衡能力释放与风险控制的策略。最后指出当前AI代码自主生成带来的安全审计挑战，强调需政府介入监管。

本文提出一种通过WindowsQoS策略将EDR进程带宽限制至8bps的新型断网技术，使TLS握手超时实现隐蔽断网。工具EDRChoker可在NDIS层操作避免WFP日志痕迹，防守方需审计QoS策略并监控策略创建事件。

文档探讨人工智能在银行业的应用导致大规模裁员趋势，多位银行高管承认AI将削减岗位，尤其影响初级分析师和行政类职位。当前AI主要用于客户服务、交易监控等场景，但法律风险与就业结构性变化引发争议。部分银行通过再培训缓解冲击，但毕业生招聘规模已显著收缩。

本文提供将DeepSeek接入Codex的详细操作指南，通过安装CCSwitch工具实现API路由切换，具体步骤包括工具安装、模型添加、密钥配置和路由设置，最终成功在Codex中调用DeepSeek模型进行开发工作。

本文系统解析了Transformer架构中encoder、decoder和encoder-decoder三类核心结构的区别，指出其关键在于信息流动方式、注意力范围和任务目标的差异。encoder采用双向注意力，适合文本理解与表征任务，典型模型为BERT；decoder采用因果注意力，专长自回归文本生成，典型模型为GPT系列；encoder-decoder则结合两者，适用于序列到序列转换任务如翻译和摘要，典型模型为T5和BART。文章还解释了当前生成式大模型多采用decoder-only架构的原因，并总结了

Google于2026年6月9日紧急修复ChromeV8JavaScript引擎中的高危零日漏洞CVE-2026-11645，该漏洞属越界读写弱点，可导致任意代码执行、信息泄露或绕过ASLR保护。这是2026年修复的第五个被野外利用的Chrome零日漏洞，建议用户立即更新至149.0.7827.102/103等版本以降低风险。

本文记录了作者在智能密码钥匙APDU协议调试过程中遇到的实际问题，包括字节边界错位导致验签失败、公钥坐标污染、协议层控制码误判等典型陷阱。通过数学约束验证、暴力穷举和协议分析等方法最终解决问题，并总结了数据边界校验、密码学验证优先等实用经验。

MicrosoftSharePointServer存在路径穿越高危漏洞CVE-2026-45454（CVSS8.8），低权限攻击者可利用Upload.aspx页面的RootFolder参数校验缺陷跨目录上传恶意文件，在特定配置下实现远程代码执行。影响版本包括SharePoint2016/2019/SubscriptionEdition，360漏洞研究院已成功复现。建议用户立即安装官方补丁升级，并关注360安全产品的检测支持更新。

2026年6月媒体报道称NSA借助Anthropic公司AI模型ClaudeMythos开展针对中国等国的进攻性网络行动，该模型具备自主发现零日漏洞及开发攻击链的能力，虽以防御名义授权但被用于网络作战，凸显AI武器化趋势及大国网络对抗公开化。

本文探讨AI时代真正的信息差在于解决问题的能力而非信息获取，指出AI放大了主动学习、问题拆解与搜索能力等核心技能的差距，并划分了从基础使用到系统构建的四个能力层级，强调持续学习和工程思维是适应技术变革的关键。

奇安信集团旗下奇安盘古与上海盘石洞鉴两家企业再次入选2025年上海市专精特新中小企业名单。两家企业长期专注于网络安全细分领域，奇安盘古深耕移动安全、系统安全攻防及电子数据取证技术，上海盘石洞鉴在电子数据取证与司法鉴定领域具有核心竞争优势。此次认定体现了企业在技术创新、专业能力和市场竞争力方面的持续发展，未来将继续加大研发投入，为政府部门、司法机关及企业提供专业安全解决方案。