Aggregator

本文记录了 Hack The Box 靶机 Vintage 的完整攻防渗透过程。目标处于禁用 NTLM 的纯 Kerberos 环境下，作者从初始凭据出发，利用 Pre-Windows 2000 机器账户弱口令获取域计算机权限；随后通过 LDAP 提取并解析 gMSA 托管服务账号凭据，结合 ACL 权限为无 SPN 的服务账号手工赋予 SPN 并成功实施 Targeted Kerberoasti

本文分析了通过 rundll32 调用 comsvcs.dll 导出函数进行 LSASS 转储的绕过技术，利用超长数字触发 msvcrt.dll 中_wtoi 函数的整数溢出，使计算结果模 2^32 后恰好等于 MiniDumpW 的导出序号 24。该方法避免了在命令行中出现敏感字符串，成功绕过虎符和数字核晶。

LLM Agent 走进生产环境后，安全工程师面对的最棘手问题不是"模型会不会被骗"，而是三类结构性失范——偷懒、越权、失忆。我们团队在自研数仓 Agent 平台的过程中，设计落地了一套框架层护栏架构，用确定性代码把危险路径在框架层物理封死。本文从我们自己的研发实践出发，论证为什么 prompt 构不成安全边界，并逐层拆解这套护栏方案：读写两侧 offload、HITL 门禁、上下文联动闭环。 我

面对日益成熟的恶意Skill检测引擎，攻击者如何利用“信息差”实现绕过？本文将我沉淀的绕过技术归纳为“三类九板斧”，从原理剖析到实战落地，完整记录了从零开始绕过Cisco、NVIDIA及国内Top安全厂商检测引擎的全过程。

当文件名沦为能力路由器：CFITSIO因I/O副作用优先于校验且无回滚，致使攻击者串联功能达成文件复制、SSRF与敏感外传。

基于太阿构建一个真实项目可用的静态分析工具

本文分析了 Windows 11 ExecutionContext.sys 驱动中存在的任意内核代码执行漏洞，攻击者可通过 NDIS KLoader 代理路径绕过 ACL 限制，利用任务队列机制中缺乏有效校验的回调指针实现 RIP 劫持。文章详细阐述了从用户态可达入口发现到构造 ROP 链完成本地提权。

AI 大模型语义缓存技术在WAF实时检测领域实践经验分享

本文记录了一次基于Linux的后门的分析过程。分析从投递器脚本入手，由投递器带出s、p、p2、mulu-agent-c 四个文件，文章分别对投递器和四个恶意文件进行详细分析。

本文记录 Hack The Box Monteverde 靶机的完整渗透过程。目标是一台 Windows Active Directory 域控，初始突破口来自 LDAP 匿名枚举与一次“密码即用户名”的弱口令猜测。通过 SABatchJobs 账户访问 SMB 共享，在 users$ 中发现 azure.xml 明文凭据，成功登录 mhope 用户并拿下 User Shell。随后发现目标部署了

本文记录 Hack The Box Timelapse 靶机的完整渗透过程。目标是一台 Windows Active Directory 域控，初始信息来自 SMB 匿名可访问的 Shares 共享。通过下载并破解 winrm_backup.zip 与其中的 legacyy_dev_auth.pfx 证书文件，成功获取客户端证书与私钥，并利用 WinRM over HTTPS 的证书认证拿到初始

本文记录 Hack The Box Zero 靶机的完整渗透过程。目标仅开放 SSH 与 HTTP 服务，初始突破口来自一个支持 SFTP 上传的静态主页系统。通过注册获取 SFTP 凭据后，利用可覆盖的 .htaccess 配置 Apache ErrorDocument 404，实现任意文件读取，并从 Web 源码中泄露数据库凭据，成功拿到普通用户 Shell。随后通过 pspy 捕获 root

表面上是个 debug 接口问题，顺着调用链跟下去会发现，真正失守的是 `authentik` 在 detail `GET` 上依赖的对象级授权边界。只要目标实例配置过 LDAP Source，攻击者又能访问 API 并知道或猜到某个 `slug`，就可以在未登录状态下请求

RAGFlow v0.24.0 用户裸奔了 2.5 个月——SSTI 沙箱补丁 3 月才合入、4 月才发版。三个 CVE（SSTI/Zip Slip/API key 推导）都是普通账号起步直接 root，核心问题是"用户输入没边界检查就进了危险函数"。配套开源了 ragflow-audit.py，ssti/zipslip/apikey 三子命令实测复现。

一次攻防对抗项目中对某医院 HIS 系统的渗透，目标是验证登录用户权限边界并扩大战果。整个链路走下来很有意思：看似处处有鉴权，实则令牌签名可逆向，最终用一个低权限账号拿到了全量用户数据。

本文详细梳理了ret2dlresolve的核心底层原理，从延迟绑定、PLT/GOT表结构到_dl_fixup查表流程进行了深度剖析，并针对No RELRO、Partial RELRO等不同保护机制，给出了32 位/64位的攻击利用思路与经典例题实战

详细讲解和分析最近的Hugging FaceAgent 入侵事件

资产测绘实战踩坑：580 个子域名结果 85% 是假阳性，从 grep -qv '^$' 空应答误判、泛解析、UDP 53 被墙到裸域漏验，逐个排坑后沉淀出"预筛 + 多轮枚举"两阶段方案，误报率降至 0。代码已开源。

上一篇讲了怎么把子域名枚举的假阳性从 85% 干到 0，核心是验证。这篇接着聊更实操的：怎么把枚举流程本身工程化。 内容包括五块硬货：一是预筛先行，30 秒判断域名值不值得跑，别盲目开炮；二是环境铁律，Kali 的 UDP 53 出站被限制，dig 必须加 +tcp，否则结果随机丢失；三是多轮枚举的核心逻辑，subfinder 被动挖内部名 + 分层爆破补通用名；四是候选爆炸控制，实测 53 个

> 很多 SPA 应用把密钥、账号密码直接写在前端 JS 里，想着"加密一下总没人看得懂"。 > 实际上 webpack bundle 就是公开文件，谁都能下载，密钥和密文放在一起，等于把保险箱钥匙挂在保险箱上。 > 这篇讲完整挖掘流程：怎么找、怎么解、怎么证明能用。