Aggregator

法国监管机构因谷歌在Gmail中未经用户同意投放广告和使用Cookie跟踪用户，对其罚款3.25亿欧元。同时，电商网站Shein因类似问题被罚1.5亿欧元。

文章介绍如何利用YARA工具检测恶意软件中的特定字节序列，并通过脚本将检测到的文件偏移量映射到PE文件的虚拟地址（VA），以便在调试器或反汇编工具中进一步分析代码行为。

出海安全，高管隐私安全可能更重要~

一个几乎百搭、不改架构、低成本就能落地的整车防重放方案

研究人员发现了一种新型恶意软件活动,该活动利用Scalable Vector Graphics (SVG) 文件进行网络钓鱼攻击,伪装成哥伦比亚司法系统的官方页面。这些 SVG 文件通过电子邮件分发,并嵌入 JavaScript 有效载荷,以下载一个伪装的 HTML 页面,该页面模拟政府文件下载过程,同时在后台秘密下载 ZIP 文件。此外,针对 Apple macOS 系统的信息窃取器 Atomic macOS Stealer (AMOS) 也在通过破解版软件和 ClickFix 式策略传播,进一步威胁企业安全。

Cybersecurity researchers have flagged a new malware campaign that has leveraged Scalable Vector Graphics (SVG) files as part of phishing attacks impersonating the Colombian judicial system. The SVG files, according to VirusTotal, are distributed via email and designed to execute an embedded JavaScript payload, which then decodes and injects a Base64-encoded HTML phishing page masquerading as a

普联（TP-Link）警告部分路由器存在漏洞被僵尸网络利用攻击Microsoft 365账号。受影响型号包括Archer C7和TL-WR841N/ND等。漏洞CVE-2025-50224和CVE-2025-9377分别允许窃取密码和远程执行代码。建议用户升级固件、重置路由器并更改密码以防范风险。

1.Qilin勒索团伙公布了新的受害者 2.Play勒索团伙公布新的受害公司 3.INC Ransom团伙公布新的受害公司

数据显示，英特尔研发支出远超竞争对手英伟达和 AMD：2024 年英特尔的研发支出为 165.46 亿美元，比英伟达的 129.14 亿美元高 28%，比 AMD 的 64.56 亿美元高 156%。芯片巨人大部分的研发支出都投入到芯片设计、制造技术以及即将推出的新 Nova Lake 架构上。英特尔研发支出占到其净收入的 31%，AMD 为 26%，而英伟达和三星分别仅为 10% 和 4%。另外值得注意的是，英特尔是有晶圆厂的，它的很大部分研发支出是投入在晶圆厂上面，而英伟达和 AMD 都是无晶圆厂半导体公司，使用台积电等公司为其代工芯片，台积电在 2024 年的研发支出接近 64 亿美元。

文章揭示了Firebase动态链接的安全漏洞：攻击者可利用该功能生成看似合法的短链接，并操控其元数据（如标题、描述和缩略图），使其看起来可信。尽管Google通过允许域名列表缓解了部分风险，但攻击者仍能绕过限制，在目标域名下创建恶意链接。由于这些链接不会出现在Firebase控制台中，域名所有者无法检测或撤销它们。这可能导致品牌滥用、网络钓鱼或其他诈骗行为。

Firebase动态链接（FDL）的安全漏洞允许攻击者生成看似合法的短链接，并通过自定义元数据（如标题、描述和图片）伪装成可信内容。尽管Google引入了“允许域名”列表以限制重定向目标域，但攻击者仍可利用该功能创建看似来自受信任域的恶意链接。由于Firebase控制台无法显示通过API生成的链接，域名所有者无法监控或撤销这些恶意链接。此漏洞可能导致品牌滥用、诈骗或声誉损害。

文章介绍了网络缓存中毒攻击（Web Cache Poisoning），解释了其原理及危害，并提供了识别和防御方法。攻击者通过利用HTTP头和无键参数注入恶意内容至缓存服务器，导致所有用户访问被污染资源。危害包括XSS漏洞、钓鱼攻击及品牌受损等。防御需严格控制缓存策略并验证输入数据。

Web Cache Poisoning是一种网络攻击手段，攻击者通过欺骗网站缓存存储恶意内容（如JavaScript或钓鱼链接），导致所有访问者获取被污染的内容。这种攻击利用缓存机制放大影响，危害包括跨站脚本（XSS）、钓鱼、品牌篡改等。防范措施包括验证请求头、设置私有缓存策略、过滤不受信任的参数等。

通过对目标虚拟机的端口扫描、服务枚举和字典攻击，成功获取FTP访问权限，并通过目录遍历发现隐藏页面。利用提取的用户名和密码尝试SSH登录失败后，通过破解MD5哈希获得多个用户凭证。最终使用Ori用户的凭证登录SSH，并利用其私钥提升权限至root，成功获取flag。

文章探讨了IDOR（Insecure Direct Object References）漏洞的普遍性和严重性，并分享了作者作为网络安全爱好者和漏洞赏金猎人的经验。文章旨在帮助读者从零开始了解并掌握这一常见且高风险的安全问题。

文章介绍了IDOR（不安全直接对象引用）这一常见且高风险的网络安全漏洞，并通过实际案例说明其危害性。作者Abhijeet Kumawat分享了自己从零开始学习网络安全和参与漏洞赏金计划的经历，并强调识别和利用此类漏洞的重要性。

攻击者通过上传伪装成图片的HTML文件并利用Dust平台的安全漏洞，成功获取管理员权限并控制整个工作区。该漏洞源于文件类型验证不足和同源托管问题，导致恶意脚本在管理员浏览器中执行。防范措施包括隔离用户内容、强制下载提示、验证文件真实类型及配置严格CSP策略。

Dust平台因文件上传功能中的存储型XSS漏洞被攻击者利用，导致工作区被完全接管。攻击者通过上传伪装成图片的HTML文件，并利用同源托管机制，在管理员点击链接后执行恶意脚本，提升自身权限并控制整个工作区。此事件凸显了用户生成内容隔离、严格验证文件类型及配置CSP等安全措施的重要性。