Aggregator

本文探讨了基于Tomcat的回显马技术，通过线程遍历和对象引用分析实现任意业务环境下的回显功能，并解决了Tomcat5的适配问题。利用JProfiler分析HeapDump对象引用链路以定位目标对象，并通过自动化测试验证代码的稳定性和兼容性。最终实现了跨版本通用的漂亮代码，并确保高并发场景下不影响正常业务。

外网：向日葵漏洞，免杀马，下载运行上线cs，开远程关防火墙，上线vshell，抓密码，开代理 ubuntu：thinkphp写入shell，绕过滤，ret127绕过命令执行，泄露ssh密钥 windows域：smb弱密码，wmiexec.py连接，定位域，开远程，域信息探测 域控：申请伪造票据，导入，smbexec.py连接

2025年7月22日，菲律宾总统马科斯高调访美，与老特在白宫共谋“印太安全大计”，一场针对我的战略围堵悄然拉

文章介绍了Subtitle Edit这款开源字幕编辑器的功能与使用方法。它支持从视频中提取字幕，并提供OCR识别、语音转写、翻译及时间轴同步等功能。用户可通过简单操作将字幕保存为多种格式，并利用工具进行复杂编辑或批量处理。

Ethernaut真详解

这篇文章解释了错误代码521的原因及其解决方法。该错误通常由Cloudflare引起，表示源服务器无法连接。常见原因是源服务器离线或网络问题。解决方法包括检查源服务器状态、确认网络连接正常以及调整防火墙设置以允许Cloudflare访问。定期监控服务器和网络配置有助于预防此问题再次发生。

HackerNews 编译，转载请注明出处： 非洲执法部门在国际刑警组织协调的“塞伦盖蒂行动2.0”中逮捕了1,200余名嫌疑人，该行动旨在打击跨境网络犯罪团伙。2025年6月至8月期间，执法人员查获9,740万美元资金，并捣毁11,432个恶意基础设施，这些设施针对全球87,858名受害者发动攻击。 国际刑警组织周五声明：“在这场由国际刑警协调的大规模行动中，非洲各地当局逮捕了1,209名网络罪犯，其犯罪活动涉及近88,000名受害者。”行动期间，赞比亚当局摧毁了一个造成65,000名受害者损失3亿美元的加密投资骗局，安哥拉则关闭了25个非法加密货币挖矿中心，查获价值3,700万美元的设备并逮捕60名犯罪分子。 “塞伦盖蒂行动2.0（2025年6月至8月）汇聚了来自18个非洲国家及英国的调查人员，共同打击高危害性网络犯罪，包括勒索软件、网络诈骗和商务电邮入侵(BEC)。”此次行动隶属“非洲联合反网络犯罪行动”框架，由英国外交联邦与发展事务部资助。 联合行动还利用了私营合作伙伴的数据支持，包括Cybercrime Atlas、Fortinet、Group-IB、卡巴斯基、Shadowserver基金会、Team Cymru、趋势科技、TRM Labs和乌普萨拉安全公司。这是近年来针对非洲网络犯罪集团的最新行动，此前多次联合行动已摧毁涉案金额达数百万美元的犯罪网络。 2024年11月至2025年2月开展的”红牌行动”中，306名涉嫌网络犯罪的嫌疑人被捕，其攻击波及全球5,000余名受害者。更早的2024年9月至10月，国际刑警协调的首次”塞伦盖蒂行动”逮捕了1,006名嫌疑人，该团伙涉及勒索软件、数字勒索、商务电邮入侵及网络诈骗。 国际刑警组织秘书长瓦尔代西·乌尔基扎周五强调：“每次由国际刑警协调的行动都承前启后，不断深化成员国间的合作、加强信息共享并提升调查技能。随着更多贡献和专业知识的共享，行动成果的规模和影响力持续扩大。这个全球网络比以往任何时候都更强大，正在取得实际成果并保护受害者。”       消息来源： bleepingcomputer； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

Privacy by Design的国际标准

英特尔和AMD顶级服务器处理器大幅降价销售，如Xeon 6980P半价及EPYC 9965等享35%折扣，市场竞争激烈及库存清理或为主要原因。

文章描述了错误代码521的含义及其对网络连接的影响，指出该错误通常与Cloudflare服务相关，并建议用户检查网络连接、清除缓存或联系网络管理员以解决问题。

HackerNews 编译，转载请注明出处： 科技制造商 Data I/O 周四晚间向联邦监管机构报告了一起勒索软件攻击，称该事件导致关键运营系统瘫痪。 这家总部位于华盛顿州雷德蒙的公司表示，勒索软件攻击始于 8 月 16 日，导致其用于运输、制造、生产和其他支持功能的技术中断。 Data I/O 生产用于汽车和消费设备的电子产品。今年第二季度，其超过 65% 的业务来自汽车电子生产，其中包括与中国电动车制造商签订的合同，用于生产充电站技术。其网站列出了特斯拉、松下、亚马逊、谷歌和微软等主要客户。 在向美国证券交易委员会（SEC）提交的一份 8K 报告中，Data I/O 表示已采取遏制措施，包括将系统下线，以保护其全球 IT 网络。 公司正在等待第三方调查完成后，再通知可能受数据泄露影响的个人。 目前尚无服务完全恢复的时间表。公司承认，“与此次事件相关的预期成本，包括支付给网络安全专家及其他顾问的费用，以及恢复受影响系统的成本，很可能对公司的经营业绩和财务状况产生重大影响。” 该公司上季度报告的销售额为 590 万美元，比 2025 年第一季度减少了 30 万美元。 Data I/O 是本周第二家向 SEC 报告勒索软件攻击的公司。此前，药物研究公司 Inotiv 表示正在从 8 月 8 日开始的一起事件中恢复。 网络安全公司 Dragos 上周表示，其在 4 月至 6 月期间跟踪到全球范围内 657 起针对工业实体的勒索软件攻击。制造业受影响最严重，占第二季度受害者的 65%，其中包括钢铁制造商 Nucor 和医疗设备制造商 Masimo。       消息来源： therecord； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

PowerDodder is a post-exploitation persistence utility designed to stealthily embed execution commands into existing script files on the host. By leveraging files that are frequently accessed but rarely modified, it targets high-likelihood execution vectors with...

The post PowerDodder: The Stealthy New Tool That Hides Malware in Your Script Files appeared first on Penetration Testing Tools.

多年的开发经验、安全经验和管理经验，我总结了技术学习门道的7条心得，无论是从事软件开发，或者网络安全，又或者是其他的技术。

近年来，攻击者已逐渐将合法软件的信任背书转变为突破防御体系的有力武器。“Legitimate Chrome VPN”案例便是这种攻击模式的典型体现，而此类利用用户对正规软件、插件及工具信任实施的攻击，在各类软件生态中均有显现

当前环境出现异常,需完成验证后方可继续访问。

文章解释了错误代码521的原因及其解决方法。

HackerNews 编译，转载请注明出处： 肾透析公司 DaVita 确认一起勒索软件攻击导致数据泄露，约 270 万人的个人和健康信息遭曝光。 美国卫生部民权办公室（OCR）更新的受影响人数为 2,689,826 人。 DaVita Inc. 通过遍布美国的 2,675 家门诊中心为 200,800 名患者提供肾透析服务，并在其他 11 个国家的 367 家门诊中心为 49,400 名患者提供服务。DaVita 专注于治疗终末期肾病（ESRD），患者除非接受肾移植，否则必须每周透析三次。该公司在美国透析市场的份额为 37%，总部位于丹佛，但注册地在特拉华州。DaVita 位列财富 500 强第 341 位。 2025 年 4 月 18 日，该公司宣布正在调查和处理一起网络安全事件，该事件一度导致部分内部运营中断。 DaVita 表示，网络攻击发生后，公司将维持住院透析护理作为首要任务，并在必要时启用应急计划和手工流程，同时努力安全恢复受影响的系统。 公司声明：“2025 年 4 月 12 日，DaVita 发现一起影响并加密部分本地系统的勒索软件事件。我们立即启动事件响应协议，并采取了遏制措施，包括主动断开部分网络连接。 外部网络安全专家正在协助我们的响应、修复和恢复工作，我们正在重建和恢复被加密的系统，并以安全方式使其重新上线。尽管该事件导致我们的内部运营受到干扰，但我们在必要时依然有应急计划和手工流程，以确保患者护理的连续性。” Interlock 勒索软件团伙已声称对 DaVita 的攻击负责。该组织声称窃取了 1510 GB 的敏感数据，包括患者记录、保险和财务信息。Interlock 已在其数据泄露网站上公布了据称从 DaVita 窃取的文件。 根据该公司披露，攻击者在 3 月 24 日至 4 月 12 日期间进入其网络，并窃取了透析实验室的数据。 公司声明称：“经过深入调查，我们确认此次网络事件始于 2025 年 3 月 24 日，并持续到 4 月 12 日威胁行为者被阻止访问我们的服务器。2025 年 4 月 24 日，威胁行为者在其泄露网站上公布了声称来自 DaVita 的数据。DaVita 全力确认相关信息，并于 2025 年 6 月 18 日左右获取了威胁行为者公布的数据集，确定其中涉及我们透析实验室数据库的敏感个人信息。” 泄露的信息因人而异，可能包括姓名、地址、出生日期、社会安全号码、健康保险相关信息，以及 DaVita 内部使用的其他识别信息，还包括部分临床信息，如健康状况、其他治疗信息及部分透析实验室检测结果。公司指出，对于部分个人，泄露信息还包括税号，极少数情况下还涉及支付给 DaVita 的支票影像。       消息来源： securityaffairs； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文  

文章描述了错误代码521的含义及其常见原因，并提供了相应的解决方法和预防措施。

HackerNews 编译，转载请注明出处： 网络安全研究人员提醒，多起攻击行动正在利用已知安全漏洞和暴露的 Redis 服务器从事多种恶意活动，包括将受害设备变为物联网僵尸网络、住宅代理或加密货币挖矿基础设施。 第一类攻击涉及对 CVE-2024-36401（CVSS 评分：9.8）的利用，这是一种影响 OSGeo GeoServer GeoTools 的严重远程代码执行漏洞，自去年底以来已被武器化用于网络攻击。 Palo Alto Networks Unit 42 的研究人员 Zhibin Zhang、Yiheng An、Chao Lei 和 Haozhe Zhang 在技术报告中表示：“犯罪分子利用该漏洞部署合法的软件开发工具包（SDK）或修改过的应用，以通过网络共享或住宅代理获得被动收入。” “这种被动收入的方式尤其隐蔽。它模仿了一些正规应用开发者的变现策略，这些开发者选择 SDK 而不是展示传统广告。这可能是出于善意的选择，旨在保护用户体验并提升应用留存率。” 该网络安全公司表示，攻击者至少自 2025 年 3 月初起就开始探测暴露在互联网上的 GeoServer 实例，借此植入由对手控制的服务器下载的定制可执行文件。与常见的 HTTP 服务器不同，这些载荷通过一个私有文件共享服务 transfer.sh 分发。 此次行动中使用的应用程序尽量保持低调，几乎不消耗资源，同时通过隐秘的方式利用受害者的网络带宽获利，而无需分发定制恶意软件。这些二进制文件由 Dart 编写，旨在与合法的被动收入服务交互，悄悄利用设备资源进行带宽共享等活动。 这种方式对各方来说都是“双赢”：应用开发者通过集成该功能获得报酬，而网络犯罪分子则能借助看似无害的渠道，从闲置带宽中获利。 Unit 42 表示：“一旦运行，可执行文件会在后台秘密工作，监控设备资源，并在可能时非法共享受害者带宽。这为攻击者带来被动收入。” 该公司收集的遥测数据显示，全球共有 99 个国家的 7100 多个 GeoServer 实例暴露在互联网上，其中中国、美国、德国、英国和新加坡位居前五。 Unit 42 指出：“这场持续的行动展示了攻击者在变现受害系统方面的重要演进。攻击者的核心策略强调隐蔽且持久的收益，而不是对资源的激烈利用。这种方式更倾向于长期、低调的收入生成，而非容易被察觉的技术。” 与此同时，Censys 披露了一个大规模物联网僵尸网络 PolarEdge 的基础设施，该网络由企业级防火墙及路由器、网络摄像头和 VoIP 电话等消费类设备组成，通过利用已知安全漏洞形成。目前其确切用途尚不清楚，但很明显它并未被用于无差别的大规模扫描。 攻击者在获得初始访问权限后，会植入一个基于 Mbed TLS 的定制 TLS 后门，该后门可实现加密的指挥与控制、日志清理以及动态基础设施更新。该后门通常被部署在高位的非标准端口上，可能是为了绕过传统的网络扫描与防御监控范围。 PolarEdge 的特征符合“运营中继箱”（ORB）网络。攻击面管理平台指出，该行动可能最早可追溯至 2023 年 6 月，截至本月，活跃设备数量已达约 4 万台，感染设备中超过 70% 分布在韩国、美国、中国香港、瑞典和加拿大。 安全研究员 Himaja Motheram 表示：“ORB 是被攻陷的出口节点，用来转发流量，以便为威胁行为者执行更多的入侵或攻击。ORB 的价值在于，攻击者无需接管设备的核心功能，它们可以在后台安静地中继流量，而设备仍然保持正常运行，从而让设备所有者或运营商难以察觉。” 近几个月来，攻击者还利用 DrayTek、TP-Link、Raisecom 和 Cisco 等厂商产品中的漏洞入侵设备，并部署一个代号为 gayfemboy 的 Mirai 变种，表明攻击范围正在扩大。 Fortinet 表示：“gayfemboy 行动覆盖多个国家，包括巴西、墨西哥、美国、德国、法国、瑞士、以色列和越南。其目标涉及广泛行业，如制造业、科技、建筑业，以及媒体或通信。” gayfemboy 能够针对多种系统架构，包括 ARM、AArch64、MIPS R3000、PowerPC 和 Intel 80386。它具备四个主要功能： Monitor：跟踪线程和进程，并具备持久化和沙箱逃避技术 Watchdog：尝试绑定到 UDP 端口 47272 Attacker：通过 UDP、TCP 和 ICMP 协议发起 DDoS 攻击，并连接远程服务器获取命令以实现后门访问 Killer：在接收到服务器指令或检测到沙箱环境时自我终止 安全研究员 Vincent Li 表示：“虽然 gayfemboy 继承了 Mirai 的结构元素，但它引入了显著的改进，提升了复杂性和规避检测的能力。这一演变反映出现代恶意软件的日益复杂化，也凸显了主动、情报驱动防御策略的必要性。” 与此同时，另一起加密劫持行动也被曝光。威胁行为者 TA-NATALSTATUS 正在针对暴露的 Redis 服务器投放加密货币挖矿程序。 攻击方式包括扫描 6379 端口上的未认证 Redis 服务器，然后执行合法的 CONFIG、SET 和 SAVE 命令，进而创建一个恶意的定时任务，运行脚本以关闭 SELinux、规避防御、阻断 Redis 端口的外部连接（防止其他攻击者入侵），并终止竞争对手的挖矿进程（如 Kinsing）。 攻击者还会部署脚本安装 masscan 或 pnscan 等工具，随后执行类似“masscan –shard”的命令扫描互联网上的易受攻击 Redis 实例。最后一步是通过每小时的定时任务建立持久化，并启动挖矿进程。 网络安全公司 CloudSEK 表示，该活动是 Trend Micro 在 2020 年 4 月披露的一次攻击行动的演化版本，新增了类似 rootkit 的功能，以隐藏恶意进程并修改文件时间戳，从而迷惑取证分析。 研究员 Abhishek Mathew 表示：“通过将系统二进制文件 ps 和 top 重命名为 ps.original，并用恶意包装器替代，它们会在输出中过滤掉自身的恶意进程。管理员在使用标准工具寻找矿工进程时，将无法发现它的存在。他们还将 curl 和 wget 分别重命名为 cd1 和 wd1。这是一种简单但巧妙的方法，可以绕过那些专门监控 curl、wget 下载行为的安全产品。”       消息来源： thehackernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文