漏洞预警 | My Cloud NAS身份认证绕过、远程代码执行和任意文件上传漏洞

0x00 漏洞编号暂无0x01 危险等级高危0x02 漏洞概述My Cloud NAS是西部数据旗下的网络附属存储设备，能在私人网络上轻松备份和整理多设备内容，具备先进安全更新、增强数据隐私等功能，为

工具 | BypassAV

注：仅供安全研究与学习之用，若将工具做其他用途，由使用者承担全部法律及连带责任，作者及发布者不承担任何法律及连带责任。0x00 简介bypassAV是一款免杀shellcode加载器。0x01 功能说

IPsec VPN国密算法技术规范及应用

Part.1IPsec与国密算法的结合 1 国密算法简介国密算法指由中国国家密码管理局组织制定的一系列密码算法标准。主要用于保障信息的安全性，包括但不限于数据的保密性、完整性以及身份认证等方面，适用于

frida native层hook与主动调用 0x07

声明：文中所涉及的技术、思路和工具仅供以安全为目的的学习交流使用，任何人不得将其用于非法用途给予盈利等目的，否则后果自行承担！如有侵权烦请告知，我会立即删除并致歉。谢谢！文章有疑问的，可以公众号发消息

【智库报告】分散、伪装、可降解：乌克兰战争对未来美国介入冲突的影响

一、背景和研究方法俄乌战争作为21世纪首场大规模常规战争，为研究军事适应与创新提供了独特样本。现有研究对其战术演进与未来美国参与冲突的关联性探讨不足，需系统性分析战争经验对美俄、美中潜在冲突的启示。文

【智库报告】谁能资助未来人工智能的发展.

一、核心问题与背景人工智能基础模型面临资金可持续性挑战：自2018年以来，AI开发者创建了广泛适用的基础模型，这些模型在多种任务上表现出色，但需要大量的计算资源。训练这些模型的费用高昂，并且呈指数级增

【智库报告】俄罗斯雇佣兵和准军事组织在非洲：瓦格纳叛乱以来的变化与影响

报告主要分析自2023年中期（瓦格纳集团叛乱及创始人普里戈任死亡事件后）至2024年9月俄罗斯在非洲的雇佣兵活动变化及其影响。以下是核心内容总结：1. 背景与目的● 报告聚焦2023年瓦格纳叛乱后俄罗

从FastJ学习fastjson1.2.80反序列化

免责声明：由于传播、利用本公众号所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，公众号及作者不为此承担任何责任，一旦造成后果请自行承担！如有侵权烦请告知，我们会立即删除并致歉。谢

AI渗透：用burpsuite的AI功能拿下网站数据库

随着大模型的更新，以及MCP的发展，越来越来越多的渗透测试类的工作可以依靠大模型+MCP来完成了。今日便就来给大家测试一下如何用Burpsuite+MCP进行渗透测试。1、安装最新的Burpsuite

“刷脸”时代，安全不容小觑

刷脸解锁、刷脸支付、刷脸进小区......当前人脸识别技术已被广泛应用于各种工作和生活场景，给人们生活带来诸多便利的同时，也极大提升了社会运行效率。然而，当“刷脸”成为生活常态，一些“强制刷脸”“无感

君生我未生

杨南生，中国固体火箭专家，原七机部四院总工程师。第一任妻子莘耘尊，病逝。第二任妻子，张严平，原新华社高级记者，现已退休。杨南生与张严平相差36岁，27岁的张严平采访63岁的人大代表杨南生，两人由此相识

Burp被动扫描插件 -- Burp-Host-Cors-Scan（6月6日更新）

暗月渗透测试31 项目实战渗透合集 实战项目二个人发卡系统源代码审计与修复链接：https://pan.quark.cn/s/d63dd5137fff=========================

安卓逆向 -- 某漫画APP 去除强制更新

昨晚我发现之前用的旧版美漫园1.0.2提示更新，我就去百度下载了最新版1.0.3，安装后结果发现依然提示“发现新版本”。很奇怪啊，明明已经是最新版了，怎么还要更新，点击更新后下载的是另一款APP，并且

原创 | 红队实战：从资产信息到网络深度挖掘的进阶之路

在网络安全领域，红队攻击队扮演着至关重要的角色。他们通过模拟真实攻击，帮助企业发现潜在的安全漏洞，提升整体的安全防护水平。而在这个过程中，企业资产信息收集仅仅是第一步，如何基于这些信息深入挖掘目标单位

Dataease JWT 认证绕过导致未授权访问漏洞CVE-2025-49001 附POC

免责声明：请勿利用文章内的相关技术从事非法测试，由于传播、利用此文所提供的信息或者工具而造成的任何直接或者间接的后果及损失，均由使用者本人负责，所产生的一切不良后果与文章作者无关。该文章仅供学习用途

赏金SRC 某开源社区存在水平越权漏洞

用户A的ID：xxx625A 用户B的ID：xxx883A点击头像的>功能点 查看个人信息功能点同时抓包的： 抓到数据包如下，看到customerCode参数为用户A的ID： 将数据包发送到重放器：

渗透测试 | 某系统三连shell

漏洞1：模板注入在日志查询处触发该数据包数据包中的sql语句存在>和$，疑似使用了表达式或者模板为了判断是否真的使用了表达式或者模板，使用${1+1}，回显了2，那么就可以确定了。接着我使用了ognl

记一次某大厂csrf漏洞通过蠕虫从低危到高危

本文记载了笔者src漏洞挖掘的经历，如何将一个简单的csrf提高至高危的程度初见端倪在上传的头像的点位:当时抓了一个包，发现这个地方更换头像分为三部走:一，把头像图片上传到云返回云上的地址二，通过另外

超绝活动

freebuf知识大陆【网络安全学习圈】618史低价加入详细了解：圈子提供三大板块的内容：1、网络安全0.1-1学习：每周发布学习任务，由浅入深，循序渐进，从常见的Web漏洞原理与利用、业务逻辑漏洞与

微软MSRC榜首赏金猎人带你来挖洞

关注我们丨文末赠书在虚拟与现实交织的数字战场，一次协议漏洞的触发，可能会让银行系统沦陷、电网瘫痪、国家机密泄露；而一个顶尖漏洞猎人的发现，却能让攻击链在萌芽时被斩断，让亿万用户免于暴露在暗处的屠刀之下

开源大模型推理软件的攻击面分析：云上LLM数据泄露风险研究系列（四）

一. 概述作为本系列的第四篇，本文聚焦大模型推理软件的安全风险。 随着大模型上云趋势加速，尽管推理框架通常被视为底层基础设施（负责模型运行的资源调度与计算优化），但经我们的研究发现，部分开源推理框架，

渗透测试工具箱 - EasyTools

01 项目地址https://github.com/doki-byte/EasyTools02 项目介绍项目描述在日常学习过程中，面对各种各样的测试任务，需要使用到多种工具助力，可是工具一多管理起来就

漏洞情报通知

【安全圈】OpenAI封禁来自俄罗斯、伊朗等黑客组织的ChatGPT账号

关键词网络攻击2025年6月，OpenAI 官方发布最新威胁情报报告，披露其已封禁一批被用于恶意用途的 ChatGPT 账号。这些账号涉及俄罗斯语背景黑客，以及伊朗、柬埔寨等。相关黑客利用 ChatG

【安全圈】美国知名报税公司遭勒索攻击，69GB敏感数据泄露！

关键词数据泄露2025年6月初，美国知名税务解决服务公司 Optima Tax Relief 遭遇了Chaos 勒索软件团伙的严重网络攻击。攻击者不仅加密了公司服务器，还窃取了大量敏感数据，目前这批数

【安全圈】黑客冒充IT技术支持打电话渗透企业系统，谷歌披露攻击细节

关键词网络攻击一个以经济利益为动机的黑客组织UNC6040，近期采用一种简单但高效的手段入侵企业环境：打电话假扮内部IT技术支持。这种方式被称为“语音钓鱼”（Vishing）。据谷歌威胁情报组（GTI

【安全圈】美国电话电报公司（AT&T）再次遭遇大规模身份数据泄露事件

关键词数据泄露研究人员周三表示,黑客发布了8600万份AT&T记录,其中包含解密的社会安全号码和个人数据,详细到足以为欺诈和身份盗窃建立完整的身份档案。据Hackread报道,泄漏包括近4400万个社

CVE-2025-26319：FlowiseAI未授权任意文件写入漏洞

关注我们❤️，添加星标🌟，一起学安全！作者：Howell@Timeline Sec 本文字数：4617 阅读时长：3～5mins声明：仅供学习参考使用，请勿用作违法用途，否则后果自负。0x01 简介F

新型供应链恶意软件攻击npm和PyPI生态系统，百万用户面临风险

近日，网络安全研究人员发现了一起供应链攻击，该攻击极具针对性的向与GlueStack相关的十多个软件包植入恶意软件。安全公司Aikido Security向The Hacker News透露，恶意软件

蚂蚁集团“切面融合智能在威胁检测的应用”获评BCS2025中国网络安全优秀案例

近期，2025北京网络安全大会发布BCS2025中国网络安全优秀案例名单，蚂蚁集团“切面融合智能在威胁检测的应用”入选。本次优秀案例征集活动由中国互联网协会、中国安全防范产品行业协会、CCF计算机安全