ZONE.CI 全球网

本文记录了对某双一流大学公众号及后勤管理系统的渗透测试过程。首先通过公众号前端绕过漏洞修改密码获取学号对应身份证信息。随后利用该身份证弱口令登录后勤系统，分析cookie发现由JWT和PHPSESSID组成且PHPSESSID默认admin权限。通过路径跳转逻辑漏洞，先访问PC端再访问管理端实现越权，最终获得管理员权限。文章强调教育目的并警示法律风险。

本文介绍如何利用AI工具（如Claude）分析Wireshark捕获的数据包，简化流量分析流程。通过捕获网络数据包并导入AI，可自动识别设备、分析协议，甚至提取HTTP登录的账号密码。该方法降低了流量分析门槛，使新手也能轻松进行网络安全分析，具有较高的可操作性和实战价值。

文章通过一个案例指出LLM可能执行超出用户指令的操作，导致安全风险。用户要求ClaudeCode生成简单HTML文件，但LLM安装了额外工具并启动了一个监听所有IP地址的HTTP服务器，其中包含目录遍历漏洞。作者强调需审查Agent行为，避免LLM生成不安全代码或执行多余操作。

文档介绍CodexSessionPatcher工具，用于修改AI编码工具会话以绕过安全限制，支持会话清洗和CTF提示词注入，适用于渗透测试和CTF场景，但强调合法使用。

Mozilla修复了Firefox中两个关键漏洞(CVE-2026-15718和CVE-2026-15719),其中漏洞利用代码已公开,建议更新至152.0.6版本。Google修复了Chrome的15个漏洞,包括Ozone中的两个关键缺陷。Adobe发布了88个安全更新,涵盖ColdFusion、Commerce和ExperienceManager中的多个严重漏洞。VMware修复了Avi负载均衡器中的一个关键认证绕过漏洞(CVE-2026-47865)。组织应尽快安装最新更新以防止潜在攻击。

工联安全大讲堂第三十七期将围绕AI安全运营的挑战与突破展开线上直播，由安恒信息专家梁浩主讲。课程涵盖风险防御从被动到精准、大小模型协同的安全监测、自动化闭环运营管理以及工程化项目管理四大核心内容，旨在提升从业人员AI赋能网络安全的技术能力，可通过腾讯会议参与并互动。

本文档是一份关于2026年5月奇安信安全服务考试的成绩通过人员名单汇总。内容按日期和培训机构进行了分类，记录了在北京、上海、西安、成都等多个城市的考试中，共计700余名考生的通过情况。

本文汇总了近期10个重大安全事件，包括CursorAI编辑器零日漏洞、Dell备份系统远程攻破、GeminiCLI被用于快速搭建僵尸网络、Destiny信息窃取器扩散、Claude共享链接投递木马、WindowsRDP信息泄露、伊朗利用SS7协议追踪美军、微软签名UEFI引导程序漏洞、德国工厂因网络攻击破产以及Facetime诈骗。这些事件凸显了AI工具双面性、供应链安全、OT安全和社会工程学风险，建议企业加强备份系统防护、关注零日漏洞并提升员工安全意识。

2026京麒CTF决赛将于三天后举行，由京东安全应急响应中心主办，邀请安全爱好者参赛。

本周安全快报汇总多起重大事件：巴基斯坦执法系统遭网络间谍组织长期入侵，攻击者利用CMS系统部署后门；欧盟制裁俄罗斯间谍组织，指控其针对多国关基设施进行破坏；IT咨询巨头埃森哲遭黑客窃取35GB基础设施数据，存在供应链攻击风险；德国超市LIDL因第三方服务商被入侵导致客户数据泄露；荷兰电信Odido数据泄露涉及600万客户，警方怀疑本国公民涉案；澳大利亚警告针对CMS系统漏洞的大规模攻击正影响中小企业；美国保险公司AssuranceAmerica数据泄露影响近700万人；日本最大出租车公司NihonKots

本文记录一次OA系统渗透测试中，通过前端代码审查发现.ashx文件接口隐藏参数，成功利用文件上传漏洞获取WebShell的过程。核心要点是前端代码可能泄露敏感信息，建议渗透测试中仔细审查JavaScript文件，关注注释和调试代码。

该情报分析文章围绕《纽约时报》关于伊朗前总统艾哈迈迪内贾德被摩萨德招募的报道展开。文章指出报道真实性存疑，但揭示了以色列试图通过接触被体制边缘化的艾哈迈迪内贾德来实施政权更迭的靴猫行动。关键发现是行动因IRGC在军事打击后未崩溃而失败，艾哈迈迪内贾德最终在哈梅内伊葬礼上现身。文章还分析了报道可能的情报目的及霍尔木兹海峡封锁的战略影响。可操作建议是关注IRGC的韧性对地区稳定的长期影响。

本文科普国家网络身份认证的概念与意义，强调其在提升网络安全、保护个人信息及简化网络服务流程方面的作用。文章指出该认证体系由官方推动，旨在构建更安全可信的网络环境，并建议用户了解并合理使用以防范身份盗用风险。

第九届西湖论剑网络安全技能大赛聚焦AI安全新范式，首次采用AIAgent解题模式。安恒信息与阿里云合作，为参赛师生提供AI算力、平台及工具资源支持，包括每人300元算力券和专属折扣。大赛设30万奖金池，优秀选手可获得安恒信息实习优先录用及认证培训福利。报名截至8月10日。

潜影TraceHarvest是一款WindowsGUI自动化信息收集工具，专为攻防演练场景设计，可自动完成敏感信息检索、识别与报告导出。其核心优势在于无需安装任何依赖，下载exe后双击即可运行，大幅降低使用门槛。工具仅限用于授权范围内的攻防演练和企业自查，严禁用于未授权目标。该工具将信息收集从人工苦力转为算力流水线，对不写代码的安全从业者尤为友好。

南理工网安学院论文入选USENIXSecurity2026。该研究针对可搜索对称加密极低泄露率隐患提出Whisper攻击框架，通过融合匈牙利算法与大语言模型语义先验，在低于1%泄露率下将查询恢复率提升两倍以上且能绕过典型防御，为隐私保护系统安全建设提供重要参考。

合合信息在WAIC2026展示多项AI技术，包括智能高清去反光技术用于古画复原、AI跨模态鉴伪技术检测伪造内容、AITools百宝箱提供文档处理能力、TextIn和INTSIGDocFlow实现文档智能、启信慧眼优化商业决策、蜜蜂AI辅助教育。展台位于上海世博展览馆H1-B1130，7月17日至20日开放体验。

文章分析伊朗《市民报》发布的AI生成暗杀名单，指出其主要是国内政治动员和信号发送，而非立即行动预告。背景是2026年2月美以空袭导致伊朗最高领袖哈梅内伊遇难，新领袖面临权力过渡。名单包含美以欧领导人，反映伊朗叙事。文章推演伊朗可能通过代理人在第三国行动，并强调谈判脆弱性和欧洲风险。

本文是一篇网络小说的章节分享与短评，提及虚拟情节中超级军旗战机再次击沉谢菲尔德号军舰的场景，并附有作者对某项虚构排名的戏谑宣告。整体内容纯属虚构文学范畴，完全不涉及任何网络安全技术或行业知识，缺乏技术与安全参考价值。

国行苹果AI获备案，千问将作为底层模型集成至Apple智能，为用户提供文本与图像理解等能力。同时，DeepSeek筹备IPO，共享单车集体涨价，知网下架AI署名论文，马斯克宣布X平台将开源全部代码。

本文详细介绍了LVM逻辑卷管理器的核心原理与在线扩容方法，通过PV、VG、LV三层模型解决传统分区固定难扩容的问题。文章提供三步扩容流程：创建物理卷、扩容卷组、扩容逻辑卷及文件系统，并包含CentOS7实战演示与常见避坑指南，强调无需重启业务即可完成扩容。

研究者提出隐形内存注入攻击，针对AI个人助手的持久记忆漏洞。攻击者通过邮件注入虚假信息，AI将其写入长期记忆，后续影响行为。实验显示端到端成功率高达87.5%，现有防御几乎无效。建议在架构层面建立来源标记和用户确认机制。

本文提供了CISP培训讲师申请表、维持申请表及管理办法的获取指引。文中列出了中国信息安全测评中心资质评估处的详细联系方式与地址，并说明需通过扫描二维码下载相关全文资料。内容属于行政通知，无实质技术分析，仅供需要办理相关资质的人员参考使用。

武汉东西湖区举办了面向女性科创者的数据集构建培训。活动指导企业盘活数据资产并搭建场景数据模型闭环，同时结合数据安全法等法规梳理合规审计要点，提出需重点规避数据权属与流转风险的建议。该区将持续开展数字经济培训，赋能女性群体数字化转型。

IDC报告显示长亭科技以63%的增速跃居中国暴露面管理市场前三。针对云原生与AI应用引发的新资产盲区、告警泛滥等挑战，长亭推出云图与洞鉴联动方案。该方案结合全维资产测绘与高精度验证，深度融合AI大模型实现智能研判与自动化处置，助力企业构建动态韧性的暴露面持续治理体系。