Aggregator

WEBbabydc网络 桥接靶机：10.190.20.23Workgroup/Domain Name: XMCVEHostnames: CASTLEVANIADomain Controllers: XMCVEActive Directory（活动目录）的 Windows 域环境内网1 台 DC 域控（核心，存所有账号、哈希、权限）多台 成员服务器（Web、邮件、数据库等）一堆 Win10/Win1

本文围绕2026年3月31日axios在npm上发生的供应链投毒事件展开分析，系统梳理了恶意版本 0.30.4 与 1.14.1 的发布时间线、投毒方式及完整攻击链，说明攻击者如何在未修改axios主体运行时代码的情况下，通过新增恶意依赖 plain-crypto-js 并利用postinstall脚本在 Windows、macOS 和 Linux 平台拉取并执行二阶段载荷。文章进一步拆解了 se

想学恶意软件分析却被满屏的乱码和复杂的算法劝退？本文将带你“拆解”一个真实的 Hancitor 样本，把晦涩的逆向理论转化为可操作的实战笔记。我们将像侦探一样，通过寻找内存中的“指纹”（如 M8Z 标志）来穿透程序的层层伪装。文章详细记录了从环境搭建、关键 API 监控到最终还原核心 C2 配置的全过程，特别针对初学者容易困惑的 RC4 密钥派生机制进行了深度拆解。无论你是逆向新手还是安全爱好者，

本文章主要记录cyberstrikelab的Honeypot打靶过程

我们可以进一步利用CVE-2026-26023漏洞，在受害者查看历史聊天记录时触发恶意脚本，进而借助受害者浏览器的已授权上下文，调用Dify后端API，最终实现从中危XSS到窃取工作空间权限的危害提升

本文仅分享某AI项目漏洞挖掘过程，不涉及poc以及任何黑盒测试内容，感兴趣的师傅可以自行复现

中国电信大可实验室是中国电信集团直属分支机构，现开启校园招聘

本文围绕 polarisCTF 的 9 道密码学题目展开，包含整体思路、解题关键与完整的解题脚本

Donut免杀以及进程空心化分析

题目质量还是很高的，很有新意

记录一次php代码审计

1.Illusion[hook]表面上看是 RC4 其实被hook到了AES上 这题表面主逻辑是 RC4，但真正的 flag 在 MessageBoxA 钩子里的 AES 分支里分析main函数前缀固定为 xmctf{总长度固定为 25} 在最后一位中间 18 字节会被取出来参与校验sub_140001440 很像标准 RC4：初始化 256 字节 S 盒用密钥 nev_gona_give_

架构及其全面，比起寻常的webpwn的proxy之类更加接近实战

分享一下最近挖的两个0Day的思路

打靶记录分享

在 Java 领域，Tomcat/WebLogic 的各种 Filter、Listener 内存马早被玩烂了，查杀方案也都很成熟。但换到 Go 语言（Golang），因为它是静态编译的，没有传统的“Web 容器”概念，大家普遍觉得它天然免疫内存马，顶多通过 cgo 或 plugin 搞点二进制注入。

2026阿里CTF MHGA题解：基于ViburDBCP与HessianProxy的JNDI注入高版本绕过研究

本文分析了SUCTF题目SU_jdbc-master的完整攻击链。利用Unicode字符ſ转大写为S的特性，绕过仅做小写匹配的Spring MVC鉴权拦截器；随后通过Jackson反序列化覆盖默认JDBC驱动为存在漏洞的Kingbase8，结合临时文件写入与文件描述符爆破，触发恶意Spring XML配置加载，最终实现命令执行回显。

本文分析了 Langflow CVE-2026-33017 漏洞，指出其公开构建接口未校验请求体中的流程图数据，导致后端直接执行恶意 code 字段。攻击者通过构造包含任意 Python 代码的节点 payload，利用组件实例化阶段的 exec 调用实现未授权远程代码执行。

漏洞描述FastGPT 是一个 AI 代理构建平台。在 4.14.8.3 及以下版本中，fastgpt-preview-image.yml 工作流程易受到任意代码执行和外部贡献者秘密窃取的风险。它使用 pull_request_target（运行时可访问仓库机密），但会从拉取请求作者分支中借出代码，然后通过攻击者控制的 Dockerfile 构建并推送 Docker 映像。这也使得通过生产容器注册