ZONE.CI 全球网

本文是HTBNimbus靶机渗透writeup，考察AWS、SSRF与容器逃逸。作者用八进制IP和参数后缀绕过SSRF过滤，从IMDS窃取AWS临时凭证，用enumerate-iam枚举出SQS权限后向队列投毒恶意YAML实现RCE拿到workershell；进入容器探测内网，发现无SigV4校验的LocalStack，并用CodeBuild特权模式创建特权容器尝试逃逸。攻击链完整，技巧可复用于云环境渗透。

本文介绍Z-Godzilla\\_ekp工具，基于哥斯拉WebShell二次开发，声称可绕过主流安全检测设备，具备流量混淆、免杀、内存马注入等功能，并附有广告推广内容。该工具用于规避检测，存在法律风险，且文章本质为软文广告，技术价值有限。

本期周报聚焦工业网络安全，涵盖政策法规、漏洞预警、安全事件及风险预警。核心发现包括多项工控设备严重漏洞（如西门子SIMATICIoT2050满分RCE、Ebyte网关无补丁漏洞）、APT28关联恶意软件攻击乌克兰、以及水务与发电设施遭入侵。建议运营方立即排查暴露面、升级固件、实施网络隔离并强化访问控制。

本文实测16家国自然标书机构后推荐艾德思Editsprings，其拥有真实评审专家提供1v1全程辅导、润色、评估等5大服务，中标率约78.8%，支持对公支付与保密协议，建议尽早预约专家服务并关注免费直播以提升标书质量。

文章分析特朗普政府推行具有国有化色彩的经济干预政策，通过立法授权、主权财富基金及硅和平基金等工具，以股权投资方式深度介入半导体、稀土、量子计算等战略产业，旨在维护国家安全与科技优势，并增加政府收入。此举标志美国经济模式转向国家干预主义，将加剧全球产业竞争，我国需提升科技自主创新能力以应对挑战。

澳大利亚警方在珀斯逮捕两名涉嫌参与黑客组织TeamPCP的成员，该组织被指针对OpenAI等科技巨头及开源项目发动供应链攻击，窃取超过50万组凭证并勒索赎金。调查始于2026年4月，警方查获大量被盗数据。此事件凸显软件供应链安全风险，建议企业加强开源依赖审查与凭证管理。

中国证券业协会与中国证券投资基金业协会于2026年8月28日联合发布《证券公司交易信息系统接入管理规范（试行）》，自发布之日起施行。规范共五章33条，明确证券公司实施交易信息系统接入的资质条件、客户范围，要求满足组织管理、合规风控与信息技术要求，并对接入的私募基金管理人及其产品、交易信息系统提出具体要求，强调系统运行安全稳健及灾难应对能力符合监管规定。

本文分析以伪造学术简历为诱饵的无文件攻击链，投递vshellRAT，针对大陆学术圈。攻击全程无文件落地，使用商品化工具，无持久化与泄密实锤。建议从邮件网关、终端EDR与网络IOC三处防御，并加强人员培训。

本周网络安全呈现漏洞高危化、事件规模化、制度精细化三重特征。Keycloak、Nacos、Next.js及RedisTLS等高危漏洞集中披露，攻击链指向身份认证绕过与远程代码执行。ShinyHunters与Akira等组织活跃，Carhartt约1290万账户、曼彻斯特机场集团约870万客户数据遭泄露。政策方面，国防动员法新增数据安全规定，国家数据局推动公共数据授权运营，工信部明确增强重点领域安全水平。建议及时升级修复漏洞、收敛暴露面、强化数据平台防护。

湖南金盾获得公安部第三研究所颁发的数据安全风险评估证书，该资质符合2026年8月20日施行的《网络数据安全风险评估办法》。公司具备等保测评、商用密码评估等全方位资质，可提供合规检测、数据安全、安全运营三大核心服务，助力政企客户实现数据合规与数字化经营。

该文档预告了第二届大学生人工智能安全竞赛颁奖典礼将于2026年8月30日在上海举行，由天融信等机构承办。活动旨在展示青年在AI安全领域的创新与实践，强调以青春力量筑牢AI安全防线。文档主要作为活动宣传，未提供具体技术细节或可操作建议。

HuggingFace旗下PollenRobotics推出399美元双足机器鸭Microduck，预装7种强化学习策略，软件栈Apache2.0全开源但硬件图纸闭源，定位为低成本强化学习与sim-to-real实物平台；与ReachyMini形成行动与交互互补的具身智能布局，叠加Nvidia约129亿美元收购传闻，这只鸭子或成Nvidia生态最便宜的用户获取工具。

该文档为2026年8月29日科技新闻合集，涵盖Anthropic计划IPO募资1300亿美元、腾讯发布混元Hy4preview大模型、美团二季度扭亏为盈、a16z成立11亿美元硬件基金、手机内存价格上涨、小米汽车滑轨拉矿卡挑战、华为考虑入局换电赛道、GoPro发布新摄影机、华硕推出WiFi8路由器及科隆游戏展展位失窃等事件，反映科技产业动态。

腾讯发布并开源混元Hy4preview大模型，总参数增至770B，上下文扩展至1M，主打高性价比。通过费用审核、游戏开发和3D竞速三项测试，模型展现了多源材料交叉核验、代码生成与自我调试等长任务链能力，能主动发现并修复问题。但测试中也暴露出版本判断错误和首次交付白屏等瑕疵，提示用户仍需复核关键前提。

本文介绍程国根老师开发的高联一试自动出卷Skill（R5.2版），系统能自动完成候选题生成、解答、筛选、校验和PDF排版。当前存在难度控制不准、参考解答跳步、原创性检查不足等问题，作者计划建立测试群收集反馈并最终开源。

AI大模型企业等保难点在于将等保2.0要求正确映射到AI系统架构，流程与传统系统一致但各环节判断依据不同。多数对外服务AI平台定级为三级，备案需关注属地口径，建设整改聚焦模型训练、数据处理、API服务、云上部署四场景，测评后需持续合规，周期约3个月，建议借助懂AI架构的服务方一站式陪跑。

本文详述模块伪装与调用栈欺骗两种免杀技术。模块伪装将shellcode写入合法DLL的.text段，使内存属性为mem\\_image，绕过EDR内存扫描。调用栈欺骗伪造调用栈回溯，规避检测。组合使用可有效规避内存扫描与调用栈回溯。建议选择冷门DLL、手动映射避免LDR登记，并注意完整性校验。

泄露文件揭示鲍曼大学第四部门为俄军GRU系统化培养网络战人才，覆盖密码学、恶意软件编写、信息战等课程，约250名学生分三专业方向，毕业生直接输送至APT28与Sandworm等GRU网络战单位。文件经元数据与内容交叉验证真实性，暴露俄军事网络人才流水线全貌。

2026年半年报显示18家网安上市公司均谈及AI，但仅天融信、安恒、绿盟、永信至诚、启明星辰5家披露可量化收入或订单，且口径不一、不可直接加总；AI收入分为保护大模型的SecurityforAI与赋能产品的AIforSecurity两类，二季度18家公司收入合计仍下降8%，AI尚未成为行业第二增长曲线，建议后续单独跟踪AI收入的定义、确认进度与收入质量。

该文分享发表于IEEETVT的科研成果：提出APS-POMDP与APS-MA-A3C算法，解耦状态预测与策略优化，先无扰动训练基础策略，再以PGD对抗训练GRU预测网络重构真实状态，规避端到端对抗训练的信用分配错乱与过拟合，增强多AUV目标跟踪对观测扰动的鲁棒性；基于真实海流地形的仿真表明其在对抗扰动、噪声及观测缺失下均优于现有算法，局限是未考虑动作层扰动且缺实测验证。

miniorangeSAML2.0单点登录WordPress插件存在两个严重漏洞(CVE-2026-61979和CVE-2026-15981),CVSS评分9.8。攻击者可伪造SAML断言以任何用户身份登录,包括管理员。漏洞影响免费及多个商业版本,供应商已发布修复版本但版本号混乱导致扫描器误判。DigitalOcean检测到利用活动,建议立即更新至修复版本。

OpenAI宣布终止与Cursor的合作，原因是Cursor被SpaceX收购后，OpenAI基于马斯克旗下公司违反合同的历史，无法信任其合规使用模型。此举也与OpenAI即将推出的Astra模型有关，该模型在网络安全方面达到关键级能力，促使OpenAI收紧分发渠道。事件凸显模型访问权正成为商业竞争武器，开发者需注意工具与模型解耦以降低风险。

Nacos3.0.0至3.2.3版本存在严重鉴权作用域错配漏洞，因@Secured注解默认值导致用户/角色/权限管理接口落入未鉴权作用域。未认证攻击者可通过8848端口创建用户、绑定角色并授予全量权限，实现服务端完全接管。官方已在3.2.4版本修复，建议立即升级或开启鉴权开关并限制网络访问。

本文介绍一种针对容器镜像暗门指纹的联动检测技战法,通过静态层深度解析、容器启动行为动态关联和K8s集群日志联动三层检测逻辑,可在1分钟内精准告警恶意容器,误报率低于3%。实战验证检出率100%,处置效率提升94%,有效拦截红队无文件容器潜伏攻击。建议部署时需配置镜像白名单并定期更新威胁指纹库。

谷歌发布史上最严安卓应用瘦身令，强制要求应用内存占用封顶、代码压缩混淆覆盖率至少25%，并引入内存限制器。此举源于AI数据中心对内存芯片产能的虹吸效应，导致手机硬件成本高企，只能以软补硬。新规将于2027年生效，违规应用将遭降权或限制更新，利好用户但提高开发者门槛。