【揭秘】好靶场的应急响应靶场制作的坑
0x00 前言本文不是为了非要打广告，只是希望可以帮到一些设计应急响应靶场的师傅。提供一星半点的思路就好。我们也是在摸石头过河，有兴趣的师傅可以一起交流。就在2025年10月29日的时候，我们收到了一
阅读全文Calibre代码审计集合
Calibre 是一款跨平台的免费开源电子书软件套件。Calibre 支持将现有电子书组织到虚拟图书馆中，显示、编辑、创建和转换电子书，以及将电子书与各种电子阅读器同步。支持编辑 EPUB 和 AZW
阅读全文wepoc 高效多任务nuclei 图形化POC扫描工具
wepocNuclei 漏洞扫描器图形界面工具WePoc，一款为 Nuclei POC 管理打造的图形化工具。Github : wepoc项目地址基于 Wails v2 框架的 Nuclei 漏洞扫描
阅读全文多人共用一台服务器，如何防止“内鬼”搞破坏？
字数2092，阅读大约需11分钟大家好，我是小浪，一名老兵。经常有学生问我：“浪师父，我在公司实习时和十几个同事共用一台Linux服务器，总担心别人动我的代码、删我的数据，甚至怕被‘背锅’——这服务
阅读全文揭秘“权限提升”与“持久化后门”的真实攻防战
字数1542，阅读大约需8分钟大家好，我是你们的老朋友，一名深耕网络安全多年的老兵。今天想和大家聊一个很多初学者甚至从业者都容易忽略的问题：“明明漏洞已经修复了，为什么黑客还能进进出出？”这听起来有
阅读全文https://xz.aliyun.com/news/11718
什么是Adversarial Images（对抗图像）对抗图像是一种精心设计的输入数据，通过对原始图像进行细微修改，使机器学习模型（尤其是深度神经网络）产生错误的分类输出。这些修改通常对人类视觉不可察
阅读全文Rust库曝高危漏洞（CVE-2025-62518）可导致远程代码执行
使用Rust编程语言开发项目的开发者，以及运行环境中部署Rust应用程序的IT负责人，需要警惕该编程语言某个库中发现的严重漏洞。Edera安全研究人员表示，他们在流行的Rust库_async-tar_
阅读全文别让“小疏忽”变成大漏洞！信息泄漏攻防实战课，每个开发者都该上一堂
字数1624，阅读大约需9分钟大家好，我是小浪。今天不讲高深的0day，也不聊炫酷的APT攻击，而是想和大家聊聊一个看似不起眼，却频频引发重大安全事故的问题——信息泄漏。你可能觉得：“我又没把密码贴
阅读全文新型Agent感知伪装技术利用OpenAI ChatGPT Atlas浏览器传播虚假内容
一种新型Agent感知伪装技术正利用OpenAI的ChatGPT Atlas等AI浏览器传播误导性内容。该技术使恶意攻击者能够污染AI系统获取的信息，可能影响招聘、商业和声誉管理等领域的决策。通过检测
阅读全文Ubuntu内核曝严重UAF漏洞，可致攻击者获取Root权限
Ubuntu Linux内核曝出高危漏洞，本地攻击者可利用该漏洞提升权限，最终在受影响系统上获取root访问权限。该漏洞在TyphoonPWN 2025安全会议上披露，源于af_unix子系统的引用计
阅读全文原创 | 反序列化漏洞：你以为编译型语言就安全？别被“假象”骗了！
字数1653，阅读大约需9分钟编译型语言 ≠ 绝对安全。一次反序列化，可能让你的服务器“裸奔”。一、你以为的安全，其实漏洞百出很多人觉得：Java 是编译型语言，不像 JavaScript 那样动态
阅读全文原创 | 被“偷偷”发微博？小心 CSRF 和 SSRF 攻击！
字数1490，阅读大约需8分钟你有没有想过：明明没点“发送”，微博却自己发了一条内容？银行账户里的钱，怎么突然就转走了？更诡异的是——你今天根本没打开微博或银行网站，甚至连相关页面都没点开过！别慌，
阅读全文微软Copilot被用于窃取OAuth令牌，AI Agent成为攻击者帮凶
一种名为CoPhish的复杂钓鱼技术正利用Microsoft Copilot Studio诱骗用户授予攻击者对其Microsoft Entra ID账户的未授权访问权限。Datadog安全实验室披露，
阅读全文原创 | 一条SQL，删光你家数据库？别慌，看完这篇你就是半个黑客！
字数1688，阅读大约需9分钟兄弟们，今天咱们不聊风花雪月，聊点刺激的——你的数据库，可能正裸奔在互联网上。别紧张，不是要吓唬你。但你得知道，有些黑客，真的只需要一条语句，就能让你辛辛苦苦攒了几年的
阅读全文原创| 当你 “被发微博”时，黑客到底干了啥？揭秘网页中最危险的 XSS 攻击
字数1817，阅读大约需10分钟你有没有过这样的经历？突然发现自己的微博、朋友圈、论坛账号莫名其妙地发了一条奇怪的链接：“你中奖了！”“快看这个视频！”“太劲爆了，99%的人不敢点！”你一脸懵：我没
阅读全文原创 | “我登录了，就能随便看？别闹了！”——99%的人都搞混的“认证”和“授权”
字数1817，阅读大约需10分钟你有没有遇到过这种情况？公司新来了个实习生，一脸天真地问：“我账号都登录了，为啥不能看财务报表啊？”或者，你辛辛苦苦写了个项目文档，同事想看一眼，你随口说：“链接发你
阅读全文SRC高危逻辑漏洞挖掘
置空鉴权字段不仅仅在登录口,在查询处,鉴权处都是很经典的思路如jwt置空加密字段,个人信息置空回显站点全部信息,最简单的思路往往能造成最致命的问题进入站点简单熟悉一下业务,发现存在注册功能,未注册的账
阅读全文原创 | 除了账号密码，我们还能怎么安全地“证明自己”？
字数2433，阅读大约需13分钟 你有没有这样的经历？早上打开公司邮箱，顺手登录内部系统处理工作；中午用手机点个外卖，微信一键登录；晚上回家想看个视频，又掏出身份证实名注册了一个新平台……一天下来，
阅读全文原创 | 你的密码真的安全吗？3分钟看懂加密背后的“黑科技”
字数1753，阅读大约需7分钟大家好，我是你们的老朋友。今天咱们不聊代码bug，也不谈加班熬夜，来聊一个每个人都关心的话题——密码安全。你有没有想过：为什么你在淘宝、微信、银行App上输入的密码，别
阅读全文原创 | 你以为的安全，根本挡不住我
字数1521，阅读大约需8分钟我是小浪，入行 N 年，干过渗透、写过木马、也帮企业做过红队测试。说白了，我就是个靠找漏洞吃饭的人。但今天我不想讲怎么黑进系统，我想告诉你—— 为什么你建的 “城堡”，
阅读全文原创 | 我当了N年黑客，才明白企业最怕的不是“攻破”，而是这个…
字数1896，阅读大约需10分钟你是不是觉得，黑客就是躲在黑暗角落、敲几行代码就能偷走数据的 “神秘人”？我干这行整整N年。从最早在网吧蹭网写脚本的小白，到后来帮几家公司做 “红队演练”（说白了就是
阅读全文RealVul: 基于大语言模型训练微调的PHP漏洞检测框架深度解析安全工具
LLM赋能安全领域前沿研究“甚少”，在研究该领域的前沿论文科研时发现了一个很开创性的漏洞检测框架，本文的核心目标是设计一个针对PHP漏洞检测的LLM框架RealVul，以弥补现有研究的不足。具体而言，
阅读全文被黑客攻击、数据泄露？这堂安全课，帮你把风险挡在门外
你有没有想过，一次看似不起眼的安全漏洞，能让一家公司瞬间蒸发30亿美元？2017年，美国征信巨头Equifax就栽了这样的跟头。1.45亿用户的隐私信息被泄露，最终赔偿4.25亿美元才平息风波。可事后
阅读全文JSSS-Find V6.5：接口太多测不完？AI帮你判断高危漏洞
扫描器轻松帮你扫出几百个 API 接口，看似省了不少事，新麻烦却跟着来了 —— 满屏 URL 摆在面前，反而像站在信息荒漠里：看着到处是 “井”，却不知道哪口能挖出 “水”（也就是有价值的漏洞）。现在
阅读全文高版本jdk下的spring通杀链
jsjcw师傅提出的一条链子。只给了一个payload，然后这里来分析一下过程。高版本spring通杀链简单分析我这里是直接搭了一个springboot3环境来进行分析，然后在TemplatesImp
阅读全文CP安全协议：从攻击手法到最佳实践，全景解析
在大模型和智能应用快速发展的今天，Model Context Protocol（MCP）逐渐成为连接模型与外部服务的重要标准。它让开发者可以更方便地调用第三方 API，为模型提供更多上下文能力。但与此
阅读全文NVIDIA GPU驱动修复多个高危漏洞，存在远程代码执行和权限提升风险
NVIDIA近日为其GPU显示驱动发布了重要安全更新，修复了多个可能导致代码执行、权限提升、数据篡改或拒绝服务的安全漏洞。这些修复覆盖Windows、Linux、vGPU和云游戏组件，涉及R580、R
阅读全文MCP安全协议：从攻击手法到最佳实践，全景解析
jsjcw师傅提出的一条链子。只给了一个payload，然后这里来分析一下过程。高版本spring通杀链简单分析我这里是直接搭了一个springboot3环境来进行分析，然后在TemplatesImp
阅读全文提示词注入实战—通过在线靶场看提示词注入手法
本文通过一个在线靶场，希望帮助大家更好的理解提示词注入的相关手法。这个靶场拿来练习也是很不错的，尤其是现在的AI靶场很少，像经常使用的那些又修复的很快。在线靶场链接：https://prompting
阅读全文lookup TryhackMe
上来先做一个扫描访问10.201.45.109:80vim /etc/hostsip lookup.thm正式访问sqlmap -u "http://lookup.thm/login.php" --d
阅读全文