内部圈子+专属知识库：一年的网安知识储备，一个星球就够了！

扫码领资料获网安教程、网络安全领域各种资源，EDUSRC证书站挖掘、红蓝攻防、渗透测试等优质文章，以及工具分享、前沿信息分享、POC、EXP分享。不定期分享各种好玩的项目及好用的工具，欢迎关注。加内部

千元稿费等你拿！Track安全社区7月投稿活动

扫码领资料获网安教程来Track安全社区投稿~ 千元稿费！还有保底奖励~（ https://bbs.zkaq.cn）本期活动奖金池30000金币(1000金币=100元，可在社区商城提现)，打空截止

IoM v0.1.1 开箱即用

IoM v0.1.1 Out of the Box 开箱即用前言距离上次大版本的更新已经过去了三个月， 我们大概每个月会发布一个patch， 修复已知bug、对功能进行小的改动。 积累了足够发布一个

供应链攻击某src某游戏控制台

1.前言很久没发实战类文章了，以下内容源自于去年我在某src的报告，仅对文字和图片中的关键信息做了脱敏和打码，其余内容基本没做什么修改。在挖掘某src游戏业务的时候，我大量使用了供应链攻击手法，并进入

实战攻防 | 信息收集、权限提升、横向移动、服务利用

新靶标 "AOSELU" 介绍春秋云境.com新靶场AOSELU，共设置四个网络节点。以虚构汽车制造企业 Aoselu 为背景，模拟其真实企业内部网络环境，玩家需要进行信息收集、权限提升、横向移动、服

美国网络安全市场地震：特朗普怒砍12亿美元网安预算

在美国政府和媒体大肆宣扬网络安全威胁日益严峻的同时，特朗普却计划大幅削减（民用）网络安全预算。根据白宫最新提交的2026财年预算草案，美国联邦政府计划将民用机构网络安全开支削减超过12亿美元，相较20

用“算力门槛”阻击AI爬虫

在大语言模型（LLM）成为数据黑洞的时代，越来越多的网站开始寻找新方式抵御AI公司如潮水般的抓取请求。一款名为Anubis的开源软件，正在以一种巧妙又高效的方式应对这一挑战：通过“工作量证明”（Pro

火绒安全终端防护数据月报（2025-06）

点击蓝字，关注+星标⭐精彩内容不迷路~求点赞求分享求喜欢

诚邀渠道合作伙伴共启新征程

点击蓝字，关注+星标⭐精彩内容不迷路~随着业务的不断扩展和市场需求的增长，火绒安全寻求更多优秀的合作伙伴加入我们的行列。我们特别开启了渠道伙伴招募计划，期待与更多志同道合的伙伴一起把握行业趋势，共同开

绿盟虚拟汽车靶场（二）：HTTP云服务的攻击

清华大学招聘漏洞挖掘工程师

清华大学招聘漏洞挖掘工程师和漏洞挖掘博士后（薪酬面议，base北京）浪师父认为：稳定、体面和福利好的工作到哪里找：与清华大学签订正式合同，工程师序列职工，在清华大学校内工作，办理清华大学工作证，享受清

安天移动近期威胁情报盘点（6月25日-7月9日）

本期导读：移动安全● 朝鲜威胁者利用macOS NimDoor恶意软件攻击 Web3 和加密平台● 基于Telegram的安卓短信窃取程序已感染10万台设备● Android 欺诈活动：Ico

3小时盗空6家银行，2700美元撬动巴西史上最大数字金融劫案；|中了境外色诱“仙人跳”，李某参谍获刑

3小时盗空6家银行，2700美元撬动巴西史上最大数字金融劫案；当地时间6月30日凌晨，巴西6家金融机构的中央银行储备账户在短短3小时内被“精准掏空”，累计损失超过8亿巴西雷亚尔（约合1.4亿美元）。而

170万用户遭恶意Chrome扩展侵害，谷歌认证徽章竟成帮凶

网络安全研究人员发现，11款带有谷歌认证徽章并获Chrome应用商店推荐的浏览器扩展程序，已导致超过170万用户感染恶意软件。Koi Security团队将此次行动命名为"Malicious11"，这

Redis hyperloglog 远程代码执行漏洞(CVE-2025-32023)

Redis（全称为 Remote Dictionary Server）是一种开源的内存数据存储系统，也被称为数据结构服务器。它提供了多种数据结构（如字符串、哈希表、列表、集合、有序集合等）的存储和操作

Fiora：漏洞PoC框架Nuclei的图形版。快捷搜索PoC、一键运行Nuclei。可作为独立程序运行也可burp插件使用。

工具介绍Fiora是LoL中的无双剑姬的名字，她善于发现对手防守弱点，实现精准打击。该项目为PoC框架nuclei提供图形界面，实现快速搜索、一键运行等功能，提升nuclei的使用体验。安装运行一、作

JS逆向 -- 某汇初逆向

网址：aHR0cHM6Ly93d3cudXA2NzguY29tL3NjaG9vbA==1. 分析请求接口地址: dataserver/school/listdatas字段加密2. 代码分析查看到上面的

.NET Emit 技术打造免杀 WebShell 突破安全壁垒

在当下的红队攻防演练活动里，WebShell 仍旧是攻击者实现内网初始渗透落地、横向拓展渗透范围以及维持系统权限的关键手段之一。不过，随着主流杀毒软件不断更新针对传统 WebShell 的签名库，特别

.NET 安全攻防知识交流社区

01欢迎加入社区为了更好地应对基于.NET技术栈的风险识别和未知威胁，dotNet安全矩阵星球从创建以来一直聚焦于.NET领域的安全攻防技术，定位于高质量安全攻防星球社区，也得到了许多师傅们的支持和信

PNG中潜伏.NET攻击载体，红队借图突围EDR防线

在红队攻防演练中，安全产品对传统.NET加载行为的监控越来越精准，任何携带可识别特征的.NET程序集都容易触发防护机制。为了提升载荷的隐蔽性，红队常常尝试将恶意代码藏在看似无害的载体中进行传输与执行。

出售收入就业信息的公司

发现一份价值不错的数据源在售，Equifax （theworknumber.com）公司提供一种名为 The Work Number 的产品，将其作为最大的收入和就业信息商业数据库进行销售。简单来说，

美国国务卿 “被代言”，AI 语音深度伪造再次触发全球安全警报

7月10日，星期四，您好！中科汇能与您分享信息安全快讯：01新兴黑客组织 “Scattered Spider”引发全球关注Scattered Spider，一个新兴的网络犯罪团伙，正在对数百家公司构成

解读丨《关键信息基础设施商用密码使用管理规定》发布，且看安恒信息关基商密应用

2025年6月27日，为规范关键信息基础设施的商用密码使用，经国家密码管理局、国家互联网信息办公室和公安部审议，联合发布《关键信息基础设施商用密码使用管理规定》（第5号令），并将于2025年8月1日正

本周四！CAIDCP系列对话-AI驱动安全人才转型篇

本周四，19:00-20:30带你探讨AI时代安全人才的新定义系统性构建“AI+安全”复合能力体系双向赋能-- CAIDCP与CAISP的人才能力互补未来畅想 -- 对未来人才的期望等更多议题敬请预约

强推一个永久的攻防演练、渗透攻防知识库

又是一年攻防演练月，全国各地的白帽子、甲乙方安全团队都已经就位开战。有人早早拿到情报、胸有成竹，有人却还在翻旧帖、拼凑工具库、找不到能直接上手的干货资源。临场打点被拖、攻防题一问三不知、0day刚爆就

实测雷池WAF：轻量好用又强悍，这才是WAF该有的样子！

今天分享一款轻量好用又强悍的Web应用防火墙。前言随着项目的运营，业务规模逐渐扩大，茫茫多的WEB业务被开放到公网上，随之带来的安全问题不容小觑。前段时间刚创建的一个实例，只挂了一个web服务器，就受

【攻防演练】SQL注入——猎奇案例篇

扫码加圈子获内部资料网络安全领域各种资源，EDUSRC证书站挖掘、红蓝攻防、渗透测试等优质文章，以及工具分享、前沿信息分享、POC、EXP分享。不定期分享各种好玩的项目及好用的工具，欢迎关注。加内部圈

一款以Web与全版本服务漏洞检测为核心的辅助性主、被动扫描工具

以 Web 和完整版服务漏洞检测为核心的辅助主动和被动扫描工具。|一款以 Web 与全版本服务漏洞检测为核心的辅助性主优势1、集成 WAF 检测、指纹信息和插件扫描2、能够解析 Json、XML 和伪

《 都没见到专业红队》

一个集成的BurpSuite漏洞扫描插件

本着市面上各大漏洞探测插件的功能比较单一，因此与TsojanSecTeam成员决定在已有框架的基础上修改并增加常用的漏洞探测POC，它会以最少的数据包请求来准确检测各漏洞存在与否，你只需要这一个足矣。