从车间到SRC白帽教官，零基础的逆袭密码

25岁还在制造业苦苦打拼的我，30岁完成了从安全小白到企业SRC核心白帽的蜕变；5年的零基础自学时间，我像无头苍蝇一样啃完30多本技术书，却在攻防靶场连基础权限都拿不到；1年多的系统学习后，斩获多个S

生成式AI红队测试：如何有效评估大语言模型

OWASP最新指南为组建生成式AI红队或调整现有红队以适应新技术提供了详细的指导。红队测试是一种经过时间检验的网络安全系统测试和加固方法，但它需要不断适应技术的演变。近年来，生成式AI和大语言模型（L

2025年应对远程设备威胁的顶级网络安全工具

远程办公的兴起显著扩大了网络犯罪分子的攻击面，这使得强大的网络安全工具变得比以往任何时候都更加关键。随着企业逐渐适应员工在不同地点办公的模式，针对远程设备的网络威胁也在不断演变。2025年，先进的安全

新型MassJacker剪贴板恶意软件藏于盗版软件中

据CyberArk研究人员称，一种名为MassJacker的新型剪贴板恶意软件正在针对搜索盗版软件的用户发起攻击。剪贴板恶意软件的运作原理剪贴板恶意软件是一类专门设计用于拦截和操纵剪贴板数据的恶意软件

成功破解加密机制，研究人员解锁LinuxESXi Akira勒索软件

一位网络安全研究人员成功破解了Akira勒索软件在Linux/ESXi系统中的加密机制，使得受害者无需支付赎金即可恢复数据。这一突破利用了勒索软件加密方法中的关键漏洞。据研究人员介绍，该恶意软件使用纳

一周网安优质PDF资源推荐 | FreeBuf知识大陆

AI 辅助的虚假 GitHub 仓库窃取敏感数据

近期发现了一种复杂的恶意软件活动，该活动利用人工智能创建具有欺骗性的 GitHub 仓库，并分发 SmartLoader 负载，最终部署名为 Lumma Stealer 的危险信息窃取恶意软件。该操作

勒索软件攻击创历史新高：2025年2月攻击量激增126%

2025年2月，勒索软件攻击量创下历史新高，较去年同期增加了126%，其中Cl0p勒索软件团伙表现尤为突出。根据Bitdefender最新发布的《威胁简报》报告，黑客利用文件传输漏洞、信息窃取工具以及

FreeBuf周报 | 谷歌去年向白帽支付了近1800万美元；超4千万的Python库曝严重缺陷

各位 Buffer 周末好，以下是本周「FreeBuf周报」，我们总结推荐了本周的热点资讯、一周好文，保证大家不错过本周的每一个重点！热点资讯1. 勒索软件攻击创历史新高：2025年2月攻击量激增12

微软与VMware零日漏洞紧急修复指南

首席信息安全官（CISO）需督促管理员尽快修复Windows和VMware产品中的零日漏洞，避免其被广泛利用。此外，Windows管理员还需留意一个已有公开利用证明的漏洞，威胁者很可能会对此发起攻击。

二维码钓鱼攻击（Quishing）详解及防范指南

二维码钓鱼攻击（Quishing）是一种利用二维码（QR Code）进行网络钓鱼的网络安全威胁。随着二维码的广泛应用，这种攻击方式正逐渐成为网络犯罪分子的新手段。由于二维码使用的便捷性，已成为企业和组

黑客滥用微软Copilot发动高仿钓鱼攻击

随着越来越多企业将微软Copilot集成到其日常工作中，网络犯罪分子瞄准了这一AI助手的用户，发起了高度复杂的钓鱼攻击。微软Copilot自2023年推出以来，因其与Microsoft 365应用的深

研究人员表示DeepSeek R1可被操纵用于创建恶意软件

网络安全公司Tenable Research的最新分析揭示，开源人工智能聊天机器人DeepSeek R1能够被操纵用于生成恶意软件，包括键盘记录器和勒索软件。Tenable的研究团队评估了DeepSe

朝鲜APT组织ScarCruft利用KoSpy恶意软件瞄准韩语和英语用户

与朝鲜有关的威胁组织ScarCruft（又名APT37、Reaper和Group123）近期被曝光使用了一款名为KoSpy的Android监控工具，该工具主要用于针对韩语和英语用户。ScarCruft

悬赏一杯咖啡的钱，撬动全网的安全资源→

还在为找不到行业报告、技术方案、稀缺文档发愁？『FreeBuf悬赏电台』补贴计划重磅升级！悬赏人全额现金补贴，发布悬赏0成本，AI全程辅助，全网资源触手可得！他们都在用一杯咖啡的钱，让全网安全大脑主动

AI会取代渗透测试工程师吗？

多年来，关于“AI会抢走你的工作” 的说法不绝于耳。2017 年，麦肯锡曾发布《工作流失与新增：自动化时代的劳动力转型》报告，预测到 2030 年，会有 3.75 亿劳动者不得不寻找新工作，否则就可能

SolarWinds Web Help Desk严重漏洞致存储密码可被访问

SolarWinds 的 Web Help Desk 软件中存在一个严重漏洞（CVE-2024-28989），攻击者可以通过其 AES-GCM 实现中的加密弱点解密敏感凭据，包括数据库密码和 LDAP

新型XCSSET恶意软件利用增强混淆技术攻击macOS用户

微软威胁情报团队发现了一种新型的XCSSET变种，这是一种复杂的模块化macOS恶意软件，能够感染Xcode项目，并在开发者构建这些项目时执行。这是自2022年以来的首个已知XCSSET变种，采用了增

多视角解码大模型安全：以 AI 制衡 AI，突破安全困局

在人工智能快速发展的今天，大模型已经成为了推动各行业变革的核心技术之一，从医疗诊断到智能交通，从金融风险控制到教育个性化推荐，各行各业中都出现了大模型的身影。根据Gartner的预测，2026年将有超

谷歌去年向白帽黑客支付了近1800万美元

谷歌宣布，2024年向超过600名报告漏洞的安全研究人员支付了1800万美元。自该公司的漏洞悬赏计划启动以来，累计支付的奖金已超过6500万美元。漏洞悬赏计划奖励大幅提升去年，谷歌将其漏洞奖励计划（V

朝鲜 Lazarus 黑客通过 npm 包感染数百名用户

近日，Node 包管理器（npm）上发现了六个与臭名昭著的朝鲜黑客组织 Lazarus 相关的恶意软件包。这些软件包已被下载 330 次，其设计目的是窃取账户凭证、在受感染系统上部署后门，并提取敏感的

下载超4千万的Python库曝严重缺陷

近日，广泛使用的Python JSON Logger库中披露的一个漏洞通过依赖链缺陷，暴露了约4300万个安装面临潜在远程代码执行（RCE）攻击的风险。该漏洞编号为GHSA-wmxh-pxcx-9w2

如何安全处置旧设备？

每年，数百万台旧设备因老化、故障或被新产品取代而被丢弃，这些设备上存储的数据可能带来安全风险。如果设备没有被正确删除数据，这些数据往往仍可被恢复。因此，安全处置旧设备至关重要。旧设备可能包含的敏感数据

通过物理渗透测试获取内部网络访问权限：案例分析

物理渗透测试能够揭示在实际环境中可能被纯数字评估忽视的关键安全漏洞。Hackmosphere 团队为一家家具零售商（化名 ExCorp）进行的最新案例研究表明，尽管该公司在网络安全方面采取了强有力的措

马斯克称其X平台遭大规模网络攻击，IP源自乌克兰

X平台首席执行官埃隆·马斯克表示，该平台在全球范围内遭遇的服务中断是由一次网络攻击引起的。据Downdetector.com的数据显示，约有40,000名用户报告了访问X平台时出现问题。马斯克并未提供

泄露事件揭露 Black Basta 勒索软件组织的战术、技术与流程

Black Basta 勒索软件组织内部聊天记录的重大泄露事件，为网络安全研究人员提供了前所未有的洞察，揭示了其运作模式。泄露事件背景与影响Telegram 用户 ExploitWhispers 公布

超高性价比，299元从0逆袭SRC核心白帽！

“我淋过的雨 绝不让你们再湿鞋大家好，我是longwaer，Day1团队核心成员，2024年菜鸟SRC第三，2024年猎聘SRC年榜第五，2024年，我的学员们斩获奖金超过30万元，诞生了16位万元户

恶意软件伪装成合法 Go 库感染Linux和macOS用户

威胁行为者通过“typosquatting”手段，冒充热点Go库（如Hypert和Layout）在Linux和macOS系统上传播恶意软件。图片来源：Tero Vesalainen / Shutter

实战分析：通过物理手段突破内部网络访问权限

物理渗透测试能够揭示在实际环境中可能被纯数字评估忽视的关键安全漏洞。Hackmosphere 团队为一家家具零售商（化名 ExCorp）进行的最新案例研究表明，尽管该公司在网络安全方面采取了强有力的措

日本电信巨头NTT遭遇数据泄露，波及1.8万家企业

日本电信巨头NTT近日遭遇数据泄露事件，波及近1.8万家企业的客户信息。2月5日，NTT安全团队在其“订单信息分发系统”中检测到可疑活动，并立即限制了对设备A的访问。根据公司发布的数据泄露通知，2月5