ZONE.CI 全球网

本期快讯通报全球多起数据泄露与权限售卖事件。核心发现包括中国某数据库七万行个人信息遭兜售，休斯顿学院385GB数据泄露，哥伦比亚电信近千万客户数据外泄。此外暗网出现安全公司特权售卖与免杀服务。建议相关机构加强威胁情报监控，排查资产泄露风险，并强化身份认证与终端防护。

该文档详细记录了在CTF靶场环境中利用LFI漏洞绕过黑名单过滤，通过localtunnel建立公网隧道实现RFI攻击，最终获取flag的完整渗透测试过程。关键发现包括：PHP配置allow_url_include=On且黑名单未拦截非.php扩展名的HTTP协议时，可通过触发远程代码执行。利用步骤涵盖信息收集、过滤器分析、公网服务搭建及分阶段Payload执行，最终通过RCE读取flag.php文件内容。

2026年6月披露的macOS.Gaslight木马是首个针对LLM辅助安全分析系统的实战化恶意软件，采用Rust编写并内嵌38条伪造系统消息进行提示词注入，诱导AI分析代理中止检测。该木马具备完整后门功能包括远程Shell、信息窃取和持久化机制，C2通信基于TelegramBotAPI并采用AES-GCM加密及令牌自删除反溯源技术。研究机构高度确信其属于朝鲜关联攻击集群，标志着恶意软件对抗从环境检测转向认知工具操纵的新范式。

Flounder是一个开源的自治白帽安全审计框架，它能将Codex、ClaudeCode等编码Agent转变为完整的安全审计流水线。该框架遵循`模型负责推理，框架负责安全和证据`的核心原则，所有漏洞发现都必须通过本地测试运行来证明。其审计流程包括准备、测绘、深挖、确认和报告五个阶段，并通过沙箱边界、网络隔离和本地控制等措施保障执行安全。用户可以使用自然语言驱动审计，它支持多种目标类型，特别适合智能合约、有测试库的代码库等场景。

印度CERT-In警告三星Galaxy设备存在Knox安全平台PROCA驱动组件高危漏洞，攻击者可绕过安全机制执行恶意代码或访问敏感数据。受影响设备包括运行Android13-16且未安装2026年1月安全更新的机型，利用需攻击者具备一定访问权限。建议用户立即安装最新安全更新以修复漏洞。

恒丰银行基于自主用数平台开发问数AI功能，通过POC测试后选定网易智企合作，实现报表AI对话、主动推送和取数分析三大能力。该系统已在对公客户穿透分析、客户经理业绩评价等场景落地，提供合规可执行的决策建议。下一步将向AI数据官方向进阶，为管理者和业务端构建从洞察到行动的闭环。

波兰警方联合FBI捣毁一SIM卡交换团伙并逮捕四人。该团伙入侵电信合作方基础设施与员工邮箱，实施SIM卡劫持以接管加密货币账户，盗取超五百万美元并通过DeFi洗钱。嫌疑人面临25年监禁。此案警示应避免依赖短信验证并强化供应链安全。

Gaslight是一种基于Rust的新型macOS恶意软件，通过TelegrambotAPI建立C2通信，具备信息窃取和持久化控制能力。其独特之处在于嵌入伪造系统消息实施提示注入攻击，旨在干扰AI辅助分析工具的判断。该恶意软件可收集终端历史、浏览器数据、密钥链等信息，评估认为可能与朝鲜威胁行为者有关。

该文档分析某多语言交易所系统的安全漏洞，发现前台存在垂直越权漏洞和SQL注入漏洞。权限校验缺失导致普通用户可访问管理员接口，MyBatis未使用预编译导致支付方式查询存在SQL注入风险。文档提供具体漏洞位置、利用方法和修复建议。

MicrosoftDefender扩展了对RPC协议的监控能力，通过集成Windows过滤平台实现OpNum级别细粒度检测，可识别被调用的具体RPC函数而非仅接口，重点监控进站远程RPC调用。新增检测包括Impacket攻击、可疑服务创建、LSA秘密盗窃、RPC枚举异常及认证胁迫等，支持通过高级狩猎查询RPC遥测数据，提升横向移动、凭据盗窃等攻击的可见性。

文档披露2026年6月黑客Mosad泄露南非陆军受限军事文件与沙特国防部3.6GB机密数据的事件。南非文件包含部队动员指令、指挥链及军官联系方式等军事情报；沙特泄露涉及内部会议记录及WhatsApp通讯内容。事件被评估为战略级信息泄露，可能被国家级APT组织利用，建议通过威胁情报平台监控此类安全风险。

本文以函数和死循环类比解释Agent的本质，指出大语言模型(LLM)是输入输出函数，而Agent是永不退出的while循环，通过不断累积上下文实现持续交互。关键点包括：上下文数组存储历史交互记录，Harness定义循环中的工具、技能和连接配置，不同Harness形成不同Agent应用。作者通过56行MiniClaudeCode示例说明实现原理，并预告后续技术分析。

本文系统梳理了CodeQL中核心类methodcall的使用方法。它是表示方法调用行为的核心类，广泛应用于代码分析。文章详细介绍了其常用方法，如获取目标方法、参数、调用者、判断静态上下文等，并通过检测命令执行漏洞的实战案例展示了其具体应用，旨在帮助读者高效编写查询。

JDumpSpiderPlus是一款基于JDumpSpider二次开发的开源JavaHeapDump敏感信息提取工具，集成HaE规则引擎支持30+种敏感信息自动识别。核心能力包括数据库凭证提取、内存马检测、加密配置解密等，新增19个检测模块和10项工程能力，支持远程下载、多线程扫描和多种输出格式。工具适用于渗透测试信息收集和应急响应内存马排查场景，通过命令行即可快速提取堆转储中的关键数据。

微软ExchangeOnline中存在名为Ghost-Sender的配置漏洞，允许攻击者绕过SPF、DKIM和DMARC验证，伪造任意发件人向目标租户内收件人发送邮件。该漏洞利用混合模式下外部MX记录导致的内置过滤绕过，微软将其定性为`已知架构限制`而非产品漏洞。建议通过部署特定连接器或创建邮件流规则进行缓解，目前修复责任由管理员承担。

本文详细复现了ApacheActiveMQCVE-2026-34197远程代码执行漏洞，该漏洞影响5.19.4之前版本及6.0.0-6.2.2版本。攻击者通过构造包含恶意SpringXML配置的vm://传输URL，结合Jolokia接口实现认证后RCE。文档提供了完整的Docker环境搭建、POC.xml文件编写、BurpSuite攻击配置及结果验证步骤，成功演示了命令执行过程。

Redis严重漏洞CVE-2026-23631（DarkReplica）利用复制子系统中的释放后使用（UAF）条件，可使经身份验证的攻击者通过滥用slaveof命令、操纵同步过程及触发Lua函数引擎中的竞态条件，最终实现远程代码执行并完全控制服务器。Redis官方已于2026年5月5日发布补丁修复，建议受影响组织立即更新补丁，并限制复制配置、关闭不必要的Lua功能以降低风险。

威胁行为者正积极利用开源AI代理网关LiteLLM中未经身份验证的远程代码执行漏洞，通过链接CVE-2026-42271命令注入与CVE-2026-48710身份验证绕过漏洞实现主机控制。该漏洞链影响LiteLLM1.74.2至1.83.6及Starlette1.0.0及更早版本，CVSS评分为10.0。建议立即升级至LiteLLM1.83.7与Starlette1.0.1，或通过阻断特定端点、限制网络访问、轮换凭证等措施缓解风险。

本文揭示大型零售企业通过人脸识别等技术采集消费者数据，并经由行业共享机制与技术供应商与执法及情报机构深度交织，形成商业数据与国家安全体系的连接层，同时警示该模式的全球化扩散风险。

文章分享作者在eduSRC众测第13期中提交的三个漏洞：1.社区卫生服务中心小程序任意用户登录漏洞，通过拦截并修改响应包中的手机号实现任意账户登录，无需解密加密数据；2.大病互助小程序存在逻辑缺陷，利用公开的教职工号和姓名Excel文件可绑定并修改密码，无需其他验证；3.类似漏洞细节未详述。文章强调技术讨论需合法授权并仅用于网络安全目的，附带推广与资源分享提示。

2026年6月曝光的fortibleed事件揭露了一起大规模飞塔防火墙数据泄露，黑客santaad通过暴力破解获取了全球194个国家21632家机构的73932台设备凭证并倒卖权限。该黑产团伙使用AI渗透工具与高端显卡集群构建攻击流水线，事件暴露了仅依赖高强度密码的脆弱性，企业需将管理端口从公网剥离、强制启用多因素认证并定期轮换凭证。

本文介绍了一种利用可见光进行窃听的新型技术，其原理是通过调制日常照明灯具或捕捉光滑介质（如玻璃）反射的光线波动来还原语音信息。这种技术隐蔽性强，不产生电磁信号，能突破传统反窃听设备的防护。文章还列举了国内外相关真实案例，并从个人、企业到涉密单位等不同层面，提供了包括关闭遮光窗帘、检查灯具、移除窗边反光物品在内的分级防范与检测方法。

该文档记录了袁律师与GLM-5.2关于系统科学的对话，重点探讨了涌现现象的定义与机制，指出其源于复杂系统中大量简单个体的非线性互动。对话深入分析了非线性互动的数学本质（不满足叠加原理）及其三大特征（不成比例性、反馈循环、阈值相变），并区分了简单系统与复杂系统的本质差异。文档还提及了学术争议观点，为理解AI行为机制提供了理论基础。

本文系统梳理了服务器内存50个核心术语，涵盖物理规范、内部架构、容错机制、时序参数及前沿技术。重点解析了DIMM类型差异、ECC纠错原理、DDR5新技术特性，为企业级服务器选型与运维提供实用参考。文档强调服务器内存的高容量、高带宽与容错设计是保障系统可靠性的关键。

本周电子取证领域聚焦AI换脸黑产链条曝光与美国联邦法院首次裁定ChatGPT聊天记录可作为刑事证据两大突破。关键事件包括新华社调查揭示AI伪造视频诈骗产业链、杭州`黄金换U`案通过虚拟币链路实现零口供定罪、北京互联网法院首例适用《反不正当竞争法》数据专款案件。行业层面，MagnetForensics与Cellebrite密集推出手机/云取证培训，新规下电子证据程序合法性审查成为实务焦点。