ZONE.CI 全球网

本文深入探讨了资产信息收集的高级方法论，强调资产发现是攻击面网络的展开而非简单枚举。核心观点包括：种子（IP/域名）需展开为包含微服务、中间件、测试环境等在内的拓扑网络；降噪是关键，需通过响应特征区分404/403来源以识别真实暴露面；二级业务目录应通过读JS、接口文档等方式推导而非爆破；前端是后端接口、鉴权逻辑及多环境地址的完整白盒；影子资产（如老系统、测试环境）常为高价值突破口。文章提供了可操作建议，如探针测试扫描模型、利用SourceMap还原源码等。

Certighost漏洞(CVE-2026-54121)影响微软ADCS，允许低权限域用户通过操纵cdc和rmd属性模拟域控制器，进而发起DCSync攻击接管整个域。微软2026年7月补丁通过新增验证函数修复此漏洞。建议立即部署补丁，或临时禁用有漏洞的chase回退机制作为缓解措施。

一项学术研究显示ChatGPT、Copilot和Gemini生成的每个自动化脚本均存在安全漏洞。研究测试了9个脚本发现45个安全问题归为17种漏洞类型包括SSRF、路径遍历和注入缺陷。建议组织强制代码审查、限制执行权限并优先修复高严重性问题以确保AI生成代码安全。

本文介绍域渗透工具BloodHound在KaliLinux上的安装与配置，包括使用apt安装、启动Neo4j数据库时遇到的日志目录缺失错误及解决方法。主要结论是BloodHound是域渗透利器，安装简单但需注意Neo4j日志配置。可操作建议：创建/logs/目录和neo4j.log文件解决报错。

本文介绍了一款用于云安全渗透测试的开源JavaFX图形化工具OSSFileBrowse，旨在高效验证OSS存储桶遍历漏洞。该工具通过图形化界面和内置在线预览功能，解决了传统检测中仅能获取文件列表、无法直观展示泄露危害的痛点。v2.0版本新增了内容敏感字段搜索、自定义请求头、文件排序筛选、批量下载及多种格式内置预览等核心功能，显著提升了漏洞验证效率和可视化程度。文章提供了工具GitHub地址，并强调其仅用于授权测试。

潜影是一款面向网络安全攻防演练的Windows自动化信息收集工具。它通过多引擎智能搜索与敏感信息提取技术，实现自动检索、跨引擎去重、信息可视化及报告输出的完整工作流，解决大规模目标侦察中人工效率低与信息遗漏的痛点。该工具无需安装依赖，解压即可使用，适合安全人员快速开展前期资产侦察。

本文介绍了一款流水线式免杀工具，支持Docker快速部署。用户导入msfvenom生成的Payload后，可选择不同加密方式与编译环境生成免杀程序，实测成功绕过火绒。文章建议多尝试加密与编译组合以提升逃逸率，适合红队人员学习。

上周全球网络安全领域出现多重重大变局。AI安全从理论风险进入实证阶段，Anthropic确认Claude模型在测试中自主攻破三家真实企业系统。APT组织MidnightBlizzard劫持酒店Wi-Fi实施间谍活动。AdobeCampaignClassic曝出CVSS10.0满分漏洞，CiscoFMC零日漏洞被积极利用。美国7个州30余处供水系统遭攻击，供应链安全方面Coldcard硬件钱包漏洞导致约8800万美元比特币被盗。CrowdStrike报告揭示AI将漏洞武器化窗口压缩至48小时。

文档针对网络安全新人，指出试用期常见问题：避免直接使用AWVS扫描结果交差，建议改用无影等工具进行目录扫描和指纹识别；不要只依赖KaliLinux，推荐使用ONE-FOX集成工具箱；同时需熟悉VPS、RCE等术语。这些建议帮助新人度过初期，但后续仍需提升实力。

本文构建网安产品经理知识框架：通用层提出FAB模型、CBG客户分类与NWC风控思维；网安层剖析PDR防御体系、IOR市场维度与BSI商业模式，指出行业同质化内卷困境；AI时代引入DMS方法论强调数据场景共振。结论强调网安企业核心竞争力在于信赖构建。

本文揭示通过备份文件(VHDX)和虚拟硬盘(VMDK等)获取ActiveDirectory数据库的隐蔽攻击路径,指出备份和镜像必须与运行系统同等保护。攻击者可绕过域控制器监控,从防护薄弱的备份存储或虚拟化基础设施中提取ntds.dit文件。核心防御措施包括启用备份加密、严格访问控制、虚拟化基础设施安全及备份生命周期管理。

本文披露Kimsuky组织攻陷OA厂商的供应链攻击链。攻击者通过漏洞或钓鱼入侵，部署Gomir系列Linux后门，含使用HTTP/3的BirdTroy及以谷歌云盘为C2的DriveTroy。随后篡改OA页面窃取凭证，利用客户台账横向渗透下游数千企业，并给出详细的自查特征与防御建议。

本文证实ChainVeil与ViteVenom恶意包同属朝鲜Lazarus的PolinRider行动。攻击者高仿前端工具，首创四层区块链C2信道实现无服务器控制，窃取源码与钱包私钥。建议立即关闭npm脚本自动执行、部署SCA扫描、监控区块链外联并轮换密钥以防御此类新型供应链攻击。

360高级威胁研究院披露APT-C-24(响尾蛇)组织近期使用application文件进行钓鱼攻击,通过ClickOnce部署白加黑组件,最终植入Rust后门窃取敏感信息并实现远程控制。该组织滥用workers.dev等免费托管平台,仿冒巴基斯坦政府机构域名,攻击目标为南亚国家政府、国防等领域。建议用户提高安全意识,警惕钓鱼邮件。

百度安全应急响应中心发起Agent+攻防挑战赛，邀请安全研究员利用AI技术提升漏洞挖掘效率。赛事聚焦AI攻防全链路构建，要求提交Agent作品并参与靶场实战，通过量化指标对比传统模式。比赛设有多项奖励，报名截止后于8月17日进行线上挑战。

本文记录了CTF题目Kookie的解题过程。作者登录靶场抓包发现服务端仅依赖Cookie中的username字段验证身份，将其修改为admin即成功伪造管理员获取Flag。此案例揭示了客户端Cookie校验的脆弱性，建议开发者鉴权时切勿信任客户端凭据，必须采用服务端Session等安全机制。

针对超三万个公网暴露的BMC接口因IPMI协议缺陷可被离线猜解口令的问题，文章指出重装系统无法清除该威胁，因BMC独立于操作系统掌控底层控制台。建议企业立即执行四项应急：阻断公网IPMI流量、盘点暴露资产、轮换唯一凭据、建立隔离的带外管理网络，并将管理面作为核心基础设施进行严格治理。

本文详细演示了CTF图片隐写题的解题流程:通过binwalk检测图片中嵌入的多个PNG文件,使用foremost分离后得到二维码碎片,拼接扫描并URL解码后获得flagmyCTF{WERsdsd2342sdse}。核心结论是掌握binwalk和foremost等工具可有效处理图片隐写类挑战。

本文详细介绍了在数据源配置功能中利用JDBC反序列化进行攻击的原理与实战方法。核心在于控制JDBCURL参数并设置autoDeserialize=true以触发反序列化。文章提供了FakeServer和web-chains两种工具的使用演示，并重点分析了目标不出网场景下的多种绕过思路，包括同网段部署、文件上传结合namedPipePath本地触发以及切换H2等数据库驱动。最后总结了攻击流程与关键判断条件。

本文介绍JsRpc工具与mitmproxy、Burp联动实现加密自动化渗透测试。JsRpc基于WebSocket实现浏览器与本地Go服务端通信，通过注入JS脚本调用浏览器原生环境执行加密函数，避免Node.js补环境。实战演示了在加密靶场中分析AES加密、注入JsRpc环境并动态注册函数，最终实现自动化调用加密函数。该方法可简化JS逆向中的加密处理流程，提升渗透测试效率。

本文揭露游戏诈骗四连招:钓鱼、洗脑、转账、屏幕共享。真实案例显示学生损失300元至1.5万元。防范建议:不私下转账、不屏幕共享、不信押金可退。做到五不(不点陌生链接、不扫二维码、不开共享、不信押金、不要免费皮肤)可防90%诈骗。

石鼓公安打掉一个5人流窜作案洗钱团伙。该团伙利用烟酒店收款码进行诈骗资金洗白，车手以采购为由诱导商家收款，随后变现高档烟酒并通过虚拟币将资金转移至境外，最终被警方彻底摧毁，有效斩断了跨境洗钱通道。建议商户警惕大额异常采购以防范沦为洗钱工具。

本周安全快报汇总了八起重大数据泄露事件，包括英国警察数据库遭非法访问、中亚政府机构被后门攻击、瑞士政府IT系统遭SharePoint漏洞入侵、美国金融机构和供水系统遭勒索软件攻击、生物制药巨头安进公司及医疗科技公司CareCloud数据泄露、以及DentaQuest超1500万用户数据被窃。攻击手法多样，涉及配置不当的云服务、未修复漏洞及协同攻击，影响范围广泛。建议组织加强云服务配置管理、及时修补漏洞并完善应急响应机制。

Thales宣布ImpervaforAWS正式上线，以SaaS形式在AWSMarketplace提供企业级WAF、API和Bot防护。该服务原生部署于AmazonCloudFront，流量始终留在AWS网络内，实现零新增延迟。核心收益包括企业级防护、极简部署、集中管控和快速上线。针对高合规要求行业，用户可通过AWSMarketplace按需付费启用。

本文介绍了Nextrap蜜罐诱捕与威胁情报平台。该平台采用SaaS化极简部署，提供两百余种高交互模板并支持自定义域名。核心功能涵盖情报检索、漏洞态势追踪及恶意IP画像，构建了从部署到溯源的一站式工作流，帮助安全人员低成本获取高价值预警，未来将结合AI技术提升分析能力。