ZONE.CI 全球网

本文揭露微软Windows系统中的全局设备标识符GDID，一种持久且无法完全关闭的数字指纹，可跨VPN和代理追踪用户。FBI利用GDID成功抓获黑客组织ScatteredSpider成员。文章建议使用本地账户、关闭活动历史记录和诊断数据以限制追踪，但指出无法彻底禁用GDID。

RedWing是一款通过Telegram以订阅制出售的Android间谍软件，与俄罗斯威胁组织关联，技术源自Oblivion恶意软件家族。它采用MaaS模式，提供定制APK生成、多阶段渗透、权限劫持、隐蔽通信劫持及远程监控功能，可窃取银行凭证、拦截短信、激活来电转移并组成僵尸网络发动DDoS攻击。防御关键在于避免从非官方渠道安装应用并谨慎授予权限。

攻击者利用GitHub公共API和幽灵账户对企业软件环境进行隐蔽侦查，通过自动化工具和休眠账户进行组织架构测绘，难以与正常流量区分。企业需监控审计日志、启用多因素认证并清理闲置账户以防范此类威胁。

龙岗区教育局举办鸿蒙+AI教育全场景对接活动，常行科技展示校园食安方案。方案利用鸿蒙、AI和物联网技术，实现食堂晨检、食材溯源、后厨监控等全流程数字化，从人盯人转为系统管人。方案可分步实施，已在全国百余所学校落地，提升食安管控效率。

文章指出运维人员常因服务器安全事件背锅，建议学习网安技能如日常巡检来规避责任，提升职业硬气。

本周安全热点涵盖多个高危漏洞与重大数据泄露事件。漏洞方面包括phpBB认证绕过、LinuxFUSE提权、XWiki路径穿越、Linux内核GhostLock提权及FirefoxJIT漏洞。安全事件涉及穆迪圣经学院230万账户泄露、Accenture数据泄露、皇家山大学遭攻击及AssuranceAmerica近700万驾驶员信息泄露。此外国家文物局发布《国有文物资源数据管理办法》规范数据安全。建议立即升级受影响系统并加强安全防护。

Zack-AI-Scanner是一款基于大语言模型的BurpSuite扩展，用于自动化Web漏洞扫描。它集成16家主流AI服务商，通过语义理解自动分析HTTP请求、生成测试Payload并验证漏洞，支持17种漏洞类型和WAF绕过。该工具旨在提升渗透测试、SRC挖掘和攻防演练中的效率与覆盖面。

本文以苹果印度塔塔电子工厂630GB核心机密泄露事件为案例，对照中国等保三级标准进行复盘。文章指出该事件暴露的五大核心漏洞（公网暴露、弱口令、明文存储、漏洞未修复、管理缺失）均属等保三级一票否决项。若落地等保三级，四层纵深防线可阻断泄密链条，将百亿美元级损失压缩至十分之一以内。文章最后提出对全球电子制造供应链的安全启示，强调将等保标准复制到全球供应链的必要性。

本文详细介绍了网络安全等级保护（等保）的全流程步骤与必备材料，涵盖定级、备案、建设整改、等级测评及常态化运维五个阶段。文章强调等保需遵循法定顺序，不可颠倒，并针对二级、三级系统提供了具体操作指南、材料清单及常见误区澄清，旨在帮助企业高效完成等保合规。

文章指出网络安全行业真正的挑战不是技能缺口而是验证缺口，传统培训无法满足实战需求。AI带来新威胁但企业投入不足。建议通过高度定制化、高拟真度的动态攻防靶场进行实战演练和复盘分析，以培养和验证团队真实能力，并争取管理层支持。

工信部NVDB通报ClaudeCode存在安全后门隐患，阿里巴巴7月10日起全员禁用该工具。事件凸显AI编程工具供应链安全风险，建议企业排查受影响版本并加强外联管控。

Apple修复了ModelI/O框架中处理Alembic文件时的越界写入漏洞(CVE-2026-20616),攻击者可通过构造恶意USD文件触发,甚至无需用户主动打开(QuickLook、Spotlight等后台解析)。漏洞由ZDI研究员报告,2025年11月报给Apple,2026年2月修复。受影响版本包括iOS/iPadOS18.7.5之前、macOSSonoma14.8.4之前等。建议升级到最新版。

本周安全周报显示，暗网数据贩卖事件环比上升23.12%，涉及金融、医疗等多个行业。重点泄露事件包括美国保险服务商、以色列支付公司Nayax等机构的数据泄露。安全威胁方面，新型`幽灵网络钓鱼`攻击、AI生成恶意软件以及安卓银行木马`RedWing`等成为主要风险。此外，报告还分析了CavernC2混合编译框架等热点技术及其对网络安全带来的新挑战。

OpenAI近期封禁了与阿里巴巴关联的账号，原因是涉嫌利用其模型输出进行模型蒸馏，即用OpenAI模型训练自家模型。同时Google仍向中国大厂海外子公司提供AI服务，显示美国AI管制存在合规绕路空间。事件反映AI行业暗地竞争激烈，模型蒸馏和数据窃取普遍，OpenAI此举旨在保护核心技术。

中国电信安全运营保障部发布红蓝对抗赛活动通知，鼓励有梦想的参与者报名。文章包含活动宣传图片和推荐阅读链接，旨在吸引网络安全人才参与实战对抗演练，提升安全技能。

2026年以来，美国萨罗尼克公司在无人艇领域取得多项进展，包括掠夺者中型无人艇下水、与卡斯特利恩合作探索无人艇与高超音速导弹集成，以及海盗无人艇参与长航时演习和救援行动。这些事件表明该公司正从无人艇制造商向自主海上作战体系供应商转型，推动无人艇在军事应用中的成熟化。

英国海军首次成功完成Nyan巡飞弹海上发射试验，验证了其海上运用能力。Nyan巡飞弹是低成本可消耗精确制导弹药，已生产超1000枚，具备规模化部署基础。此次试验是英国推进混合海军建设的关键一步，未来将构建有人平台与无人平台深度协同的新一代海上作战体系。

本文演示了phpMyAdmin未授权getshell的渗透测试过程，利用CVE-2012-1823漏洞通过构造特定POST请求开启allow_url_include和auto_prepend_file参数，结合php://input实现远程代码执行，最终写入一句话木马或反弹shell获取服务器控制权。该技术适用于渗透测试实战场景。

文章通过分析阮一峰周刊9789条投稿数据，指出独立开发者的机会已从追逐AI能力转向治理AI带来的问题。核心结论是：AI应用供给过剩，而AI幻觉核查、Agent安全、成本观测、长期记忆等治理层需求，以及文档反向结构化、合规文书等垂直场景存在空白。建议开发者选择高风险场景或窄流程切入，而非重复制作通用AI工具。

本文介绍了四个提升AI代码生成质量的Skill工具:ponytail减少冗余代码,agent-skills加强工程纪律,taste-skill改善前端审美,graphify提供项目全局视图。核心建议是按需选择,先解决最头疼的问题,避免贪多导致规则冲突。这些Skill通过立规矩和补短板,将AI从凭本能瞎写的实习生转变为可靠的老手。

本文分析了Electron应用因安装在用户目录、未加密asar包及Chrome调试协议而成为攻击者持久化入口的三种利用手法：BEEMKA脚本注入、DLL劫持和远程调试协议。文章指出这些方法无需修改系统文件，可绕过杀软检测，并建议通过监控AppData目录文件变化、进程树和端口来防御。

安天AVLSDK反病毒引擎于2026年7月11日发布周度更新，本周新增可检测恶意代码家族22个、变种5,674个。重点防范与Lazarus组织关联的Trojan/JS.NpmSteal\\[PSW\\]木马，该病毒伪装成开源工具以窃取开发者凭据和钱包数据。防护建议包括安装反病毒软件、加强口令管理、及时更新系统补丁及关闭高危端口等。

本文披露了一个业务系统微信绑定登录功能的账号接管漏洞。攻击者通过抓包发现登录请求中的openid参数可被任意修改且值简单可猜解，通过遍历openid即可实现任意用户绑定与账号接管。文章指出此类逻辑缺陷在类似场景中可能存在，建议安全测试时重点关注openid的可预测性或泄露风险。

知道创宇凭借在网络安全及AI安全领域的技术实力与丰富实践，成功入选中国信通院第五期《数字安全护航技术能力全景图》，在云防御、应用安全、AI安全等关键领域获得国家级权威认可。公司发布AI安全专版产品，以AI对抗AI为设计理念，采用算力一体机加智能平台架构，支持全栈信创与本地化部署，持续为数字中国建设提供安全可信力量。

本文档是2026年5月份CISP（注册信息安全专业人员）考试的成绩列表，按地区和考试批次详细记录了考生姓名及通过人数。数据覆盖了北京、成都、重庆、福州等多个城市，包含了各个培训机构的考生信息。