Aggregator

7 个月，503 个测试用例，13 个检测插件，一个完全自研的 Web 漏洞扫描器。这篇文章不讲虚的，拆开聊聊 OOB 盲检测的三个后端设计（为什么做了 DNSLog + Interactsh + 自建 CallbackServer 三套）、API 挖掘的两阶段思路（Swagger 解析 + 路径 Fuzzing）、以及那个把我逼疯之后重写的差异引擎（加权打分 + 自动清洗，专门治动态页面误报）。

Anthropic、Google 和 OpenAI 等 AI 公司高管以及经济学家和计算机科学家联署发表公开信，呼吁就 AI 对经济和就业的影响立即采取行动。公开信称：“未来 10 年 AI 可能会变得强大得多。可能推动经济发生前所未有的转变，其规模超越工业革命，但速度却快得多。这可能带来风险，包括大规模就业岗位流失，同时也可能带来机遇，比如生活水平的大幅提升。”联署人之一的 Yoshua Bengio 认为，“我们必须有意识的做出集体、民主的选择，而不是任由市场力量发挥作用，从而冒着让大多数公民被抛在后面的风险，AI 极有可能彻底改变我们的经济。”AI 最近一段时间引发了更多人的反感，因此也有很多人认为 AI 泡沫濒临破裂，利益攸关者可能不想让泡沫太早破灭。

AI 编码助手的权限/沙箱/Hook 三层防线如何被提示注入逐个击穿，核心问题在于规则匹配命令模式而非操作意图，且多数开发者默认不开沙箱、长期授权成最大软肋。

记一次 Rust 免杀 Loader 的折腾过程0x00 起因之前一直在用 Go 写 loader，千机那个项目搞了好几版，效果越来越差。最离谱的是有一次改了几个字符串重新编译，360 直接秒杀，连行为检测都没走到就被 QVM 静态干了。翻了一下 virustotal 上面 Go 编译的样本，发现只要是 Go 写的，不管功能多简单，360 基本都标红。原因也简单——Go 的 runtime 太大了

VulnHuntr 深度拆解,从源码切入分析工具优缺点及改进方案

深入分析dll劫持技术：利用系统 DLL 搜索顺序缺陷，通过路径优先级实现恶意代码持久化加载。包括共有dll和私有dll的劫持

题目都比较基础，适合新手熟悉一下题型和做题流程Saber附件名称是LSB.png 也就是PNG中的LSB隐写PNG - CTF Wiki我们用stegsolve分析一下这三个通道左上角有异常，分析可以提取出flagez_zipflag.zip被损坏了，用010看一下发现文件头缺了504B03,直接补上再次打开提示需要密码，看一下zip的本地文件头签名，14000900伪加密，直接用winrar修复

通过接口未授权获取管理员权限 利用管理员权限登陆后台 通过接口进行任意文件读取和sql注入

主要包含一些 Linux权限的方法

最近笔者分析到一个名单类型的银狐，标题关键字是裁员补贴，依旧高活跃度，分析过程中发现这个样本中的代码混淆是有强有弱，同一天的样本可能会用多种混淆方式，本文会分享复原的思路

之前那篇关于SSTI的文章有朋友说无法复现，今天我重新手动复现一遍后发现了原因，也进行了进一步优化。同时非常感谢各位白帽朋友指出我的缺点，后面我也会仔细审核，确保能够给各位带来更有价值的文章。

AI×Cybersecurity Challenge人工智能网络安全挑战赛线上初赛部分web题wp

SignUp & SignIn 是一款 WordPress 用户注册/登录插件，提供 AJAX 注册、邮箱验证、密码重置等功能。2026 年该插件 ≤ 1.0.0 版本被披露存在 CVSS 9.8 的严重漏洞（CVE-2026-12417）——其账户激活码由 rand(1000, 9999) 生成，仅 9,000 种可能，且验证端点 wp_ajax_nopriv_pravel_check_acti

AI×Cybersecurity Challenge人工智能网络安全挑战赛re wp

逆向入门题型讲解与技巧，花指令入门

基于 BYOVD 的 Windows 内核态任意写（Arbitrary Write）免杀技术探讨今天聊聊免杀，本技术及代码仅供合法合规的安全研究与防御提升使用，严禁用于任何非法攻击；因不当使用导致的系统崩溃或法律后果，均由行为人自行承担。流行的免杀大类基本分为一体的注入，但是这种对于静态分析较为明显，也是最初级的一种再者是引入加载器loader，也就是机器码与loader分开，这样可以大大降低被杀

Специалист объяснил, почему современные телевизоры блокируются из-за незначительных неисправностей подсветки.

原域名已变更且将在2024年彻底废弃，请访问 https://govuln.com/news/ 查看新的RSS订阅

When a failed DNSSEC key rollover took down the .AL TLD, we deployed a Negative Trust Anchor to restore resolution. This time, though, clients didn't have to take our word for it: 1.1.1.1 returned EDE 33, a new DNS error code that signals directly in the response that DNSSEC validation was bypassed.

Researchers reported the vulnerability to Cursor in December, but it still remains in the popular AI coding platform and can be exploited in poisoned repository attacks.