先知技术社区

Foreign Function & Memory API（FFM API）是 JDK 21 引入的用于替代 JNI 的本地互操作接口。

ISCC2026部分web题wp

从受限JavaScript沙箱到宿主Java环境的完整攻击链构造与纵深防御

一次攻防下钓鱼GO木马的详细分析，拿下CS shellcode

钓鱼网站利用AI生成逼真页面、仿冒官方域名排名，诱导用户下载携带恶意载荷的“WinRAR安装包”。

比赛部分题解

在内网攻防对抗中，攻击者常利用 SMB、WinRM 等合法管理协议进行横向移动，并通过 SMB3 和 RDP 等协议的加密特性隐藏恶意行为，给应急响应与威胁溯源带来了巨大挑战。本文以2026软件系统安全赛中的典型内网横向移动流量分析赛题为分析对象，详细梳理了攻击链的完整还原过程。首先，从网络流量中提取 NetNTLMv2 响应并离线破解以获取明文凭据；随后，利用该凭据解密 WinRM 会话，识别并

红队钓鱼-前期邮箱搜集、spf绕过、钓鱼环境搭建、钓鱼文件制作

LLM 能帮一个安全工程师干些什么

1978 年，DEC 发布了 VT100 终端。为了让这台"哑终端"能显示彩色文字、移动光标、清屏，他们设计了一套控制序列——以 ESC（0x1B）开头的字节序列。这就是 ANSI 转义序列的源头。近半个世纪后，现代终端模拟器依然忠实地解析这些序列。

在日常渗透测试与安全测试中，前端加密（尤其是登录参数的加密）是绕不开的一类场景。 通过本文的实践,你将看到：一句自然语言 + 一个 MCP 环境 + 一套代理链路，如何将原本至少需要几十分钟的 JS 逆向工作，压缩到几分钟内完成。

海量IP地址字符串转码生成shellcode、Beacon木马伪造Referer请求头为10086官网

一文看透Java反序列化从PriorityQueue到TemplatesImpl的完整触发路径

本文基于泛微e9（9.00.210804版本），系统阐述OA系统的安全审计方法。文章涵盖环境搭建、六大类路由（/weaver/、/api/、/services/*、/dwr/*等）的分析，详细剖析SecurityMain安全过滤机制、XssRequestWeblogic参数过滤、登录绕过等技术要点。通过FileDownloadLocation文件读取、browser.jsp SQL注入等实战案例，

本文从一个安全从业者的视角，探讨 AI 在渗透测试中的真实落地方式。作者基于开源项目 AI Burp Copilot v2 的实践，分享了"LLM 负责理解、规则引擎负责执行"的分层架构设计，以及在这一过程中遇到的三个真实困境——LLM 的不一致性、业务逻辑漏洞的规则覆盖难题。旨在为同样在探索 AI + 安全的同行提供一些务实参考。

Copy Fail (CVE-2026-31431) 是 Linux 内核身份验证加密模块中的一个逻辑错误。它允许**非特权用户向任意可读文件的页缓存中写入 4 字节的任意数据，并且支持多次写入**

通过精心构造 php://filter 链，在不写入任何文件的前提下，将一个普通的本地文件包含（LFI）漏洞直接升级为远程代码执行（RCE）。

Agentic / Context

尝尝长城杯国赛决赛,还是挺有意思的.

简单讲讲chat_template。