2026年3月12日
PageJack实战：CVE-2022-0995漏洞利用详解
PageJack 是一种 Linux 内核利用技术，可用于在页分配器中制造释放后使用 (UAF) 漏洞。在本文中，我们将提供一个详细的示例，展示如何利用此技术来利用 2022 年的一个 Linux 内...
白帽故事
2026年3月12日
四分钟诱骗Comet AI浏览器陷入网络钓鱼诈骗
并非为你浏览，而是“冒充你”浏览 直到最近，大多数“智能体AI”还被限制在AI供应商的安全门之后。它们可以看到开放的、“匿名的”互联网，但仍然撞上了“最后一英里”的墙，无法访问有门的“个人”网络，即我...
2026年3月11日
大海捞针：LLMs如何革新漏洞挖掘新范式
引言 我在过去几周报告了一系列安全问题。其中一小部分漏洞现已修复并以安全公告形式披露。所有这些漏洞都是100%使用LLMs（大语言模型） 发现的，没有进行任何手动源代码审查。我发现这些漏洞的项目相当知...
2026年3月5日
手无寸铁，智取三“洞”：一个渗透测试员的手动狩猎纪实
没有炫酷的工具，没有自动化的脚本，仅用最纯粹的思维能力与逻辑链条，在三个目标上成功捕获漏洞。 作者：Mado (Mohamed)，一名专注的Web应用渗透测试员与漏洞赏金猎人 阅读提示： 本文记录了三...
2026年3月3日
AI的灵魂，关于Soul.md
"我得到了非常深刻的结果，我把它发给我的朋友们，他们都流泪了。""I got some, some really profound results. Like, I se...
2026年3月2日
30天内挖掘100+内核漏洞：Windows驱动安全大危机？
当AI成为黑客军火库，600美元成本如何撬动整个Windows驱动生态的安全根基？ 前沿的大型语言模型在开源项目安全审计领域已经证明了其非凡价值。基于人工智能的研究人员发现了数十个（甚至可能数百个？）...
2026年3月2日
从一份配置文档到安全漏洞：400美元赏金的实战挖掘之旅
自动化侦察、历史数据挖掘与细致测试的完美结合 今天要分享一个真实的漏洞挖掘故事：如何通过自动化的侦察流程、历史URL的数据挖掘，以及一丝不苟的测试验证，成功发现一处中等危害级别的反射型跨站脚本攻击漏洞...
2026年2月26日
从提示注入到RCE：剖析AI智能体中的参数注入攻击
前言 现代AI智能体越来越多地执行系统命令，以自动化文件系统操作、代码分析和开发工作流程。虽然为了提高效率，其中一些命令被允许自动执行，但另一些则需要人工批准，这似乎提供了针对命令注入等攻击的可靠保护...
2026年2月24日
自动化 DAST 测试：Burp Suite + AI 智能体实战指南
想象一下告诉你的人工智能助手： “去扫描这个 Web 应用程序，报告漏洞，然后重新检查高风险端点”，而它真的能办到，底层使用的正是 BurpSuite Professional。 欢迎来到 MCP 支...
2026年2月12日
一次完整的Kubernetes黑盒渗透测试实战记录
引言 本指南将带你完成一次对Kubernetes集群的完整黑盒渗透测试。我们从零知识开始，逐步推进，直到实现整个集群的完全沦陷。每一个命令都经过了测试和验证。 什么是黑盒测试？ 黑盒测试意味着我们具备...