Posts of last few hours
Please support the site operations by clicking ads.
Node.js `vm2` 曾长期被用于在同一进程中执行不可信 JavaScript。它通过 Proxy、对象包装、异常清洗以及 Node.js API 控制等机制，试图在原生 `vm` 之上构建更严格的沙箱边界。
但 vm2 的历史漏洞反复说明：JavaScript 沙箱真正难防的地方，并不只是 `require`、`process` 这类显式能力，而是**跨 Realm 对象、Proxy T
https://xz.aliyun.com/news/92831
当文件名沦为能力路由器：CFITSIO因I/O副作用优先于校验且无回滚，致使攻击者串联功能达成文件复制、SSRF与敏感外传。
https://xz.aliyun.com/news/92692
(免责声明：本文内容来自经过授权的安全测试、应急响应及个人复盘，仅用于安全研究与防御分析
文中涉及的域名、IP、邮箱、项目名称、文件名及其他可能关联真实主体的信息均已进行脱敏处理。本文不提供针对真实目标的攻击方法，也不用于未经授权的安全测试)
https://xz.aliyun.com/news/92838
本研究构建隔离靶场，引入大模型编排的智能渗透体（Agent）进行红队测试，验证其发现数据接口违规泄露的能力。7轮实验显示，Agent以100%成功率、平均9.3分钟触发合规风险阈值，边际成本低于10元/轮。相比人工基线，Agent可标准化、可持续地替代高频重复复核，将事后众测升级为7×24小时在线合规审计，为企业防范数据越权泄露及监管罚款提供高性价比技术底座
https://xz.aliyun.com/news/92794
篇文章不复盘架构，复盘过程：每一步我当时的想法是什么，那个想法错在哪，是谁发现的。九个坑里大部分我能自己抓到，有两类永远抓不到——判据本身和盲区本身，它们只能由外面的人指出。
https://xz.aliyun.com/news/92817
本文记录了多道 Web CTF 题目的分析与解题过程，涵盖 PHP 反序列化、客户端逻辑篡改、路径穿越、SSTI、CBC 字节翻转、参数与请求方法绕过、信息泄露以及 Shiro 反序列化等常见 Web 安全漏洞。文章通过分析题目源码、前端 JavaScript 和接口逻辑，结合实际请求与脚本利用，逐步还原漏洞成因及利用链路。其中包括利用 PHP 反序列化修改对象属性、篡改前端游戏状态并绕过服务端校
https://xz.aliyun.com/news/92786
2025 年 9 月 1 日，国内《人工智能生成合成内容标识办法》正式施行，AI 生成内容被要求打上"显式+隐式"双重标识；国际上，Adobe 主导的 C2PA 内容凭证标准已经被 OpenAI、Google 等厂商接入。标准来了，但我一直有个疑问没人认真测过：这些藏在图片文件里的溯源凭证，到底能活多久？一张 AI 图从生成到被转发、压缩、截图、裁剪，凭证还会在吗？这篇文章我把三家生成器的图片丢进
https://xz.aliyun.com/news/92798
状态类数据查找在了解完基础的数据类的数据查找方法和思路之后，这篇文章就给大家提供一下关于状态类数据我们的基本思路是怎样的，这里我们就拿骑马状态和寻路状态来给大家展示一下：注意：在此之前我们先要想一下关于这种状态类数据我们该如何打开突破口？他不像基本数据那样有很多数据变化，一般来说这种数据只有或者不是两种状态，那么这个时候自然用0/1来表示是最方便简单的，那么我们就顺着这个思路去找：1.1骑马状态搜
https://xz.aliyun.com/news/92818
不解密 HTTPS、不装终端插件，纯靠流量侧能不能发现内网谁在调大模型。隔离网段里对照采集 DeepSeek API、Ollama 明文、普通浏览和文件下载，从 DNS、SNI、JA3、HTTP、SSE 五层拆痕迹。Suricata 四道闸门回放混合 pcap：六条告警全是真阳性，12 个主流站点加 pip 装包零误报。DoH 只拆掉 DNS 闸门；IP 直连前置代理会让 DNS 和 SNI 一起
https://xz.aliyun.com/news/92806
MCP stdio 服务器配置的授权检查仅部署于 REST 层，经流程图组件参数路径可完全绕过，导致任意 npm/PyPI 包执行
https://xz.aliyun.com/news/92807
本文记录一次网盘转存业务中的绕过。测试过程中，账号因 VIP 和存储空间限制无法正常转存某公开分享文件，但在多次进行下载、保存等操作后，文件最终进入个人网盘。后续尝试未能稳定复现该现象，因此本文不对服务端具体实现进行武断定性，而是从前后端校验、异步任务、状态一致性、重复请求及竞态等角度分析其可能原因，并讨论该类业务逻辑问题的测试与修复思路
https://xz.aliyun.com/news/92819
一次普通的 Web 安全测试中，我成功绕过了目标 WAF 的部分规则，却没有找到实际可利用的 SQL 注入。随着测试继续进行，目标的防护行为似乎发生了变化。尝试切换 Tor 后，我原本以为改变出口 IP 就意味着“换了一个身份”，但实际表现却让我开始重新思考：一个防御系统究竟是如何判断，现在的我和刚才的我，仍然属于同一个攻击者？
本文从这次测试经历出发，结合 Fingerprint、行为关联、风险
https://xz.aliyun.com/news/92823
一个平平无奇的"文件列表"页面，背后是 74 个摄像头的实时画面、高清截图和历史录像，外加整个监控内网的拓扑。这不是电影情节，是一次真实 SRC 测试的完整记录。
https://xz.aliyun.com/news/92689
本文记录了 Hack The Box 靶机 Vintage 的完整攻防渗透过程。目标处于禁用 NTLM 的纯 Kerberos 环境下，作者从初始凭据出发，利用 Pre-Windows 2000 机器账户弱口令获取域计算机权限；随后通过 LDAP 提取并解析 gMSA 托管服务账号凭据，结合 ACL 权限为无 SPN 的服务账号手工赋予 SPN 并成功实施 Targeted Kerberoasti
https://xz.aliyun.com/news/92703
Latest Blog Posts
- 4 weeks 2 days ago
- 3 months ago
- 3 months ago
- 3 months ago
- 3 months ago
- 7 months 3 weeks ago
- 1 year 1 month ago
- 1 year 1 month ago
- 1 year 2 months ago
- 1 year 6 months ago