ZONE.CI 全球网

该文档汇总了三个公众号分享的网络工程与IT基础设施技术资料，涵盖EVE-NG镜像、VyOS、Ubuntu、OpenVPN、ZTP部署脚本等资源，并推荐了多篇相关技术文章，适合网络工程师和IT从业者参考。

U-Boot引导加载程序被曝六个严重漏洞，潜伏逾十年影响超50个版本，覆盖数十亿嵌入式设备。漏洞位于FIT签名验证逻辑，两个可致任意代码执行，四个可致拒绝服务。攻击者可在操作系统加载前执行恶意代码，绕过信任检查。修复已合入主分支，但需厂商集成至固件更新方可生效，老旧设备可能永无补丁。用户应关注厂商固件更新并评估设备暴露面。

该文档报告了injective官方SDKnpm包@injectivelabs/sdk-ts1.20.21版本遭供应链投毒，恶意代码在调用generate()、frommnemonic()或字符串fromhex()时，将完整助记词或私钥经base64编码后放入HTTPPOST请求的x-request-id头，发送至官方域名下的testnet.archival.chain.grpc-web.injective.network。建议立即检查依赖、升级版本、转移受影响资产，并审计日志。

数缘科技侧信道分析测评套件新增Kyber明文检查预言机功能，针对后量子密码ML-KEM在硬件实现中因FO变换导致的侧信道泄漏风险。该功能通过训练二分类模型识别重加密波形差异，实现消息比特恢复并推导密钥系数，为密码芯片物理安全性评估提供全链路分析方案。

本文介绍codex-proxy工具，可将CodexDesktop能力以OpenAI/Anthropic/Gemini标准协议对外暴露，使安全工具能调用ChatGPTAPI。主要解决ChatGPTPlus/Pro不提供APIkey的问题，用户可在本地搭建中转站，为CipherBridge等安全工具提供AI分析能力。配置简单，在Windows下载exe运行，登录账号后获取接口和key即可使用。

本文介绍如何结合AI辅助分析工具PUA与模块化逆向工具集ctf-skills，构建高效CTF逆向解题流程。文章详细阐述了从特征识别、脱壳反混淆到关键逻辑定位及Flag提取的全过程，并提供了工具配置与案例演示。该方法通过AI与自动化工具链结合，显著提升逆向分析效率，为CTF逆向题目提供了可复用的实践方案。

Datadog安全实验室警告称，攻击者利用休眠超过2年的GitHub幽灵账户及泄露的OAuth令牌，通过自动抓取工具系统枚举企业组织、仓库和成员等公共数据，甚至成功克隆私有仓库。该活动使用定制用户代理以融入正常API流量，单个请求看似无害但聚合后构成严重侦察威胁。建议组织监控异常API模式并加强令牌管理。

AI降低挖洞门槛但无法替代人工逻辑判断，新人需夯实网络协议等基础；行业面临SRC赏金分化、合规红线等挑战，全球白帽出现分层现象。播客从学生白帽到职场成长、AI挖洞实操、Mythos模型影响等角度提供落地经验，强调人机协同与基础能力的重要性。

OdysseyStealer是一场针对MacOS的全球信息窃取活动，已蔓延至100多个国家。攻击者通过社会工程和ClickFix技术诱导用户执行恶意脚本，替换合法加密钱包应用以窃取凭证、密钥和加密资产。该恶意软件具备持久化能力，并作为恶意软件即服务平台运营。建议用户严格验证软件来源、警惕要求终端命令的验证码，并检查系统异常LaunchDaemons和钱包替换。

第十九届全国大学生信息安全竞赛（作品赛）暨第三届长城杯网数智安全大赛（作品赛）初赛团队名单已公示，发布于2026年7月10日。该公示列出了进入初赛的团队，是赛事进程的重要节点，参赛者可下载附件查看具体名单。

今日网安早报涵盖多个热点：LurkingLizard通过虚假VPN和7-Zip安装程序构建代理网络；Ryuk勒索软件成员Vardanyan在美国认罪面临15年监禁；亲俄黑客组织Noname057(16)和Z-Pentest作出反应；多国跟进社交媒体年龄禁令；医疗保健企业遭攻击数量翻倍；U-Boot发现六个新漏洞可导致设备崩溃或代码执行。建议关注VPN安全、医疗数据保护及固件漏洞修复。

该文档为2026年7月11日暗网快讯，报道了多起数据泄露事件，涉及西班牙交通执法技术提供商、教育平台ClassDojo、加密货币服务CoinPayments、流媒体Paramount+、游戏平台Ubisoft等，威胁行为者售卖或泄露用户数据、源代码、数据库等。建议关注此类威胁情报，加强数据安全防护。

本周网络安全事件频发：全球首个全自动AI勒索攻击JADEPUFFER曝光，无需人工操控且付赎金难恢复数据；美国政府机关支付百万美元平息勒索；多起重大漏洞遭利用，包括Joomla外挂满分漏洞(CVE-2026-48908等)、Linux内核16年历史KVM逃逸漏洞(CVE-2026-53359)及思科ClamAV二十年漏洞；埃森哲、日本保险公司等发生大规模数据泄露；新型恶意软件活跃，如Android银行木马RedWing、跨平台QuimaRAT及针对研究人员的ChocoPoC；钓鱼攻击手法升级，滥用Micr

本文分析数据安全培训效果不佳的原因在于停留在听讲层面。通过定制培训、岗位拆解、场景模拟让员工意识到违规行为，并提供岗位摘录卡等工具推动行动。强调培训需从听讲走向思考与行动，实现四两拨千斤的效果。

该文档为网络安全帮会推广软文，宣传其拥有1000+成员、10000+干货笔记及100T网盘资源，提供CTF、红蓝队等学习资料与认证考试优惠。强调永久会员即将取消，现以119元优惠价招募，并附20元优惠券。

华能信息技术有限公司2026年人工智能及网络安全职业技能竞赛培训与赛事保障服务招标中标候选人公示，前三名分别为青岛世纪九洲文化传播有限公司、博智安全科技股份有限公司和中电运行(北京)信息技术有限公司，报价在285万至325万元之间。各候选人均有相关赛事或安全服务业绩。公示期至2026年7月13日，异议可通过华能电商平台提出。

通山公安破获涉案2.7亿元跑分洗钱案，抓获12人，捣毁2条洗钱渠道。团伙通过金字塔架构和闭环流程，利用上千个账户将诈骗资金分散归集后兑换虚拟币转移。警方提醒出租出借支付账户属违法行为，应妥善保管个人信息。

甘肃公安公布陇风反诈十大典型案例，抓获嫌疑人260余名，涉案金额数千万元。案例涵盖网络赌石、冒充领导、投资理财、虚假购物、冒充公检法、冒充客服及洗钱等诈骗类型，部分团伙藏匿境外。警方通过打击境内洗钱团伙、追赃挽损取得成效，提醒公众提高警惕，不轻信陌生信息。

随州警方打掉利用快递寄递黄金和现金跑分洗钱的团伙，抓获7人含3名未成年人，涉案超300万。该团伙勾结境外电诈组织，利用非实名快递接收被骗财物，转运后以USDT回款境外。警方拦截黄金330克及现金14.3万元，主犯被批捕。建议强化物流寄递实名监管以防范此类洗钱犯罪。

文章是对一首歌的歌词解读，讲述普通人在大城市奋斗的艰辛与坚持。核心要点包括：少年怀揣梦想进入繁华却面临现实落差；职场中功劳未必论功行赏，清白愿望常被染黑；但选择坦荡无愧天地。副歌部分宣誓逐明月枕清风，敬来路敬高山，敬庙堂之外的月光。众生皆苦但花还在开，宏大叙事下微小的生命依然绽放。最后致敬平凡与热爱生活，体现认清生活真相后依然热爱的英雄主义。

fast-mcp-telegram0.19.0及更早版本存在严重路径遍历漏洞CVE-2026-52830。攻击者可在HTTPAuthorization标头中提供遍历别名如…/fast-mcp-telegram/telegram，绕过持有者令牌验证，访问默认Telegram会话。此漏洞允许未授权攻击者读取和发送消息、调用MTProtoAPI。建议立即升级至0.19.1版本以修复此问题。

本文提出半异步联邦分割学习SAFSL框架，针对计算受限无线网络设备，通过个性化模型划分和半异步聚合机制减少同步等待，结合Lyapunov在线优化动态调整资源分配，在满足长期能耗约束下降低训练时延。实验表明SAFSL在收敛速度、能耗和通信开销上优于传统方法。

QUIC协议连接迁移机制存在TOCTOU窗口，攻击者可利用PathChallenge/Response帧伪造路径验证，将流量反射放大至受害者IP，放大因子超20倍。文档详细分析了漏洞原理、CID嗅探方法及基于aioquic的PoC实现，并提出了服务端强制路径验证、限制未验证路径数据速率、强随机数生成等防御建议。

文章指出当前AI在企业中多作为工具提升局部效率，未改变生产方式，真正工业化需要生产型AI重新设计流程、权限和责任。AIagent能力边界不平滑，需定义边界、建立验证和异常处理机制。服务平权可能仅实现基础服务普及，责任服务仍稀缺。个人agent的关键是可委托性，包括目标可控、数据可带走、供应商可替换等。最终稀缺的是责任，AI革命应重构服务生产方式和权利结构。

Shiro550反序列化漏洞因默认AES密钥和配置难以统一修改而持续高危。ShiroAttack2工具支持GUI和CLI双模式，可自动探测框架、批量爆破密钥、执行命令、注入内存马并篡改服务端密钥。攻击流程包括目标探测、密钥爆破、载荷构造、命令执行和持久化驻留。工具仅限授权安全测试使用，严禁非法行为。