微软Edge密码门：用户信任的一次"裸奔"
导语：Microsoft Edge被曝光在内存中明文保存所有已保存的密码，热度飙升至5.4万。讽刺的是，微软的回应只有四个字——"按设计运作"。这么大一个公司，对安全就这么敷衍？用户的密码安全，究竟谁
阅读全文【厉害了】普通光纤电缆可被改造为隐藏麦克风
导语：光纤通信一直被视为"物理隔离"级别的安全传输介质——不发射RF信号、不受电磁干扰、无法被射频扫描仪探测。但香港理工大学的研究团队在NDSS 2026上打破了这个假设，他们展示了一种攻击，能把墙里
阅读全文Windows 11 24H2中近期被披露了一个高危本地权限提升漏洞
导语：一个普通用户，无需任何特殊权限，只需在锁屏界面上触发一次竞争条件，就能获得系统的最高控制权——这正是CVE-2026-24291（代号RegPwn）所实现的效果。2026年3月，这个潜伏在Win
阅读全文KreiosC2 v3：把社交媒体当成C2服务器的僵尸网络框架
导语：把僵尸网络的 C2 藏在 Twitter 和 LinkedIn 的海量动态里——攻击者发一条看似无害的推文，远端 bots 默默解析执行。这就是 KreiosC2 的核心思路。2026年5月2日
阅读全文HackingTool：一个终端搞定185+渗透测试工具，5万+Star的全能工具箱
导语：GitHub上有个叫 hackingtool 的项目，Star数直奔5万+，把185+款安全工具硬生生塞进了一个终端菜单里。从信息收集到AD域渗透，从无线攻击到云安全，一个命令行全部搞定。对于一
阅读全文装都不装了，美国引领进入AI战争时代
导语：2026年5月1日，消息一出，全球科技圈和军迷圈直接炸穿天花板。SpaceX、OpenAI、Google、英伟达、微软、AWS、Oracle、Reflection AI——这8个在各自领域顶到天
阅读全文远程篡改政府招投标数据，判二年
南京两人为帮特定公司中标，远程篡改政府招投标数据，把对手评分改低，结果双双获刑。江某为让关联企业胜出，贿赂曾参与开发维护招投标系统的林某。林某利用离职时未上交的最高权限账号，在评标期间远程登录后
阅读全文Apache OpenNLP 曝出一组高危漏洞，包括XXE注入
导语：Apache OpenNLP 是 Java 生态中常用的自然语言处理库，被大量企业用于文本解析、实体识别等场景。2026年5月2日安全社区披露该库存在多个漏洞——拒绝服务、权限提升、XXE，三类
阅读全文Metasploit 新模块：DHCP耗尽配合DNS劫持，内网渗透组合拳
导语：在内部网络搞事情，先拿到网络控制权。DHCP耗尽配合DNS中间人，这套组合拳能让整个子网的流量都经过你的"过滤器"。现在 Metasploit 把这两个攻击做成了现成的模块。攻击场景是这样的：正
阅读全文Anthropic推出Claude Security公开测试版：AI安全扫描进入生产代码时代
导语：当传统安全扫描工具还在用规则引擎"按图索骥"时，Anthropic推出的Claude Security已经能让AI像安全研究员一样"理解"代码了。4月30日，Claude Security正式进
阅读全文CVE-2026-31431：我用 DeepSeek 复现了 AI 发现Copy Fail 提权的全过程
今天安全圈都在刷同一件事:一个安全研究员用 AI Agent 在 Linux 内核里挖出了一个本地提权 0day。安全公司 Xint 发布博客，他们的研究员 Taeyang Lee 基于 kernel
阅读全文Pentest-AI：一键运行全自动渗透测试平台
导语：还在手工点点点？一个命令，4分钟，拿回一份可直接交给甲方的渗透测试报告——这不再是幻想。Pentest-AI把这个场景变成了现实：一键启动，AI自动跑完侦察、漏洞发现、认证会话维持、漏洞链式利用
阅读全文深度安全研究报告：基于自动化挖掘引擎的全局漏洞态势与根因分析
在2026年的网络安全态势演进中，漏洞发现的速度、精度以及系统级自动化程度正在经历范式级的转变。基于安全研究机构Innora.ai及其首席架构师冯宁（Feng Ning）公开披露并获官方确认的一大批C
阅读全文记某SRC高危漏洞挖掘
无聊的时候打开了某SRC，发现了新增资产，于是立即开启了本次的漏洞挖掘之路。从开局一个登录框到通用漏洞挖掘一般针对这种登录框的挖掘思路就是提取js文件的接口进行Fuzz测试，看是否存在未授权访问导致的
阅读全文Phalanx 开源自主渗透测试辅助工具
Phalanx 是一款专为 Kali Linux 设计的开源自主渗透测试辅助工具。它通过多种自动化模块集成集成，旨在提升安全从业人员在执行复杂渗透任务时的效率。Phalanx的核心特点与技术优势：1.
阅读全文苹果意外泄露内部开发文档：Apple Support 应用 AI 架构与组件库细节曝光
导语：在最新发布的 Apple Support 应用（版本 5.13）中，苹果意外打包了一份名为 Claude.md 的内部开发指引文件。该文件揭示了苹果如何在其客服对话系统中融合 Juno AI、实
阅读全文28 个 AI 特工帮你打渗透测试，这工具要抢安全人的饭碗？
导语：安全研究员 0xSteph 近日在 GitHub 开源了一款名为 pentest-ai-agents 的工具包，将 Anthropic 的 Claude Code 打造成拥有 28 个专业子代理
阅读全文cPanel/WHM 认证绕过漏洞 CVE-2026-41940 深度分析
导语：安全研究团队 watchTowr Labs 披露了 cPanel & WHM 的严重认证绕过漏洞（CVE-2026-41940），该漏洞影响所有受支持版本，已被检测到在野外活跃利用。攻击者可通过
阅读全文以稀土材料为诱饵的Shellcode加载器技术分析
概述2025年11月21日，Malware Hunter Team披露了一个值得关注的样本。该样本从新加坡上传至VirusTotal，是一个名为 China’s Governance of Rare
阅读全文【突发重大安全漏洞】linux内核再现“史诗级”本地提权漏洞CVE-2026-31431：一个732字节的Python脚本，一键获取root权限
摘要：2026年4月29日，安全研究人员公开披露了Linux内核中存在近十年的高危本地提权漏洞“Copy Fail”（CVE-2026-31431）。该漏洞影响自2017年以来所有主流Linux发行版
阅读全文也门黑客的"惊天误会"：以为自己和俄罗斯Sandworm齐名了
导语：网络安全行业从来不缺趣事。近日，一名美国网络安全分析师在分析俄罗斯知名黑客组织Sandworm（又称Electrum）时，犯下了一个令人哭笑不得的错误——将其命名为Team R70。而这个名称，
阅读全文隐秘战争：利用网络武器破坏精密计算，欲锁死对手国家科技上限
研究人员发现一款早于2005年被开发出的网络武器fast16，能在高精度数学计算中注入难以察觉的错误，从而削弱并破坏依赖这些计算结果的研究工作，目标包括三款用于碰撞测试、结构分析和环境建模的科研软件；
阅读全文使用分支对抗进行webshell bypass
原文首发在：奇安信攻防社区https://forum.butian.net/share/4134前言对于webshell免杀来说，类绕过是最有效果且不易被检测出来的，那如果我们对类进行操作，在类里面加
阅读全文黑客感拉满！这款开源工具，一键看透身边所有无线设备
你有没有想过，身边看不见的无线信号里藏着多少信息？WiFi 密码是否泄露、附近有哪些蓝牙设备、连车辆的无线信号都能被捕捉分析…… 今天给大家安利一款开源无线 OSINT 神器 —— WireTappe
阅读全文你以为请了个AI员工，也可能是掘墓者
导语：你以为你招了个任劳任怨的数字劳工。其实你请来的，是一个毫无情感也不知分寸的掘墓者。在信息安全领域，我们习惯了与敌人打交道——黑产、APT、勒索团伙、内鬼，每一个都有名有姓，有动机有手法。我们可以
阅读全文针对中文用户的 "SumatraPDF" 供应链攻击
一场针对中文使用者的高度定向、技术复杂的供应链攻击活动，由高级持续性威胁（APT）组织 Tropic Trooper（亦称 Earth Centaur、Pirate Panda）发动，于近日被安全机构
阅读全文朝鲜黑客通过伪装Excel文件向制药公司投放恶意软件
朝鲜政府支持的黑客组织Kimsuky近期针对处方药制药企业发起定向攻击，使用名为"White Life Science ERP Specification"的精心伪装恶意文件。攻击者通过伪造Excel
阅读全文Sherlock一键检索自己都注册了哪些平台
在日常工作中，我们会需要到某些平台注册账号。可时间一长自己也忘记了在哪些平台注册过。当这些平台的数据不幸泄露，而我们的信息变成了“撞库”的一手资源。因此，本文为大家推荐一款工具，可以检索全网对应账号注
阅读全文中国工程师徐泽伟被意大利秘密引渡至美国：人权何在？
导语：2026年4月25日，中国网络安全工程师徐泽伟被意大利秘密移交至美国。从2025年7月落地米兰机场被扣押，到今年4月被悄悄递解出境——整整九个月，他的家属和律师始终被排除在程序之外。这不是司法，
阅读全文【北京】“删库”获刑5年，89TB数据灰飞烟灭！
2024年9月，北京市东城区某科技公司算法工程师王某，为了使用公司的算力资源“干私活”，违规登录公司服务器集群，输入了行业内公认最危险、被称为“删库跑路代码”的删除命令，在一夜之间将公司AI游戏部门超
阅读全文