每周蓝军技术推送（2025.9.27-10.17）

Web安全Autoswagger：API授权漏洞检测工具https://www.intruder.io/research/broken-authorization-apis-autoswaggerht

【1017】重保演习每日情报汇总

导语红蓝对抗的第二阶段实战已经打响，烽火正式点燃！我们也正式迎来了第二次“考试”！攻防演练期间本公众号会每日更新当天鲜活情报和热点漏洞，欢迎大家对我们进行收藏和关注！【免责声明】本文档提供的信息旨在帮

真我和OPPO狂吹的2亿潜望真的很牛吗？三星HP5之深度解析及家族内纵向比较

1，DCC 技术解析：这次三星在产品页面详细介绍了HP5所采用的 DCC（DTI Center Cut）技术，而这项技术实际上早在2023年便由HP2和HP3先后开始商用了。由此可见三星是真急了，之前

JMX反序列化漏洞

前言前段时间看到普元 EOS Platform 爆了这个洞，Apache James，Kafka-UI 都爆了这几个洞，所以决定系统来学习一下这个漏洞点。JMX 基础JMX 前置知识JMX（Java

【免费领】Android App渗透实战方法大全

点击蓝字/关注我们今日福利大厂渗透岗位技巧干货快速掌握安卓App渗透实战方法大量案例解析App渗透工具使用技巧限时福利，请及时领取哦 ~该资料内容较多，无法列出全部目录，以下为节选的部分目录：长按识别

安博通受邀出席华为北京商业伙伴大会，携手共赢AI新时代

10月17日，以“赢商海，筑京彩”为主题的华为北京商业伙伴大会·2025（第三届）在北京诺金酒店成功举办。本次大会汇聚了众多华为商业伙伴，共同探讨AI与数智化浪潮下的市场新机遇与挑战。安博通作为华为长

模糊测试api接口

免责声明由于传播、利用本公众号狐狸说安全所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，公众号狐狸说安全及作者不为此承担任何责任，一旦造成后果请自行承担！如有侵权烦请告知，我们会

MITM 热加载全流程解析 ：一文拆解 Hook 函数四大实战场景！

Yakit MITM 的热加载是允许安全测试人员在不中断代理服务的情况下，动态加载、更新和卸载各种安全功能模块。Yakit MITM 热加载的工作原理基于事件驱动模型，系统在 HTTP 请求和响应的各

上海区块链周 ｜ BlockSec 联合国枫律所共同发布《加密支付合规手册》，共探数字资产新未来

10 月 22 日，上海区块链周 2025 期间，BlockSec 将联合 国枫律师事务所 举办“数字化资产流动性释放与支付科技创新安全性落地”高规格论坛。届时，来自政府相关部门领导、托管与基础设施服

安卓签名校验机制

点击蓝字 关注我们安卓签名校验机制Android的签名机制是保障应用安全和完整性的重要环节，经历了多个版本的演进。目前主流的签名方案包括V1、V2、V3、V4四种，它们各自适用于不同的Android版

APT-C-56（透明部落）针对Windows和Linux双平台使用新RAT的攻击活动分析

APT-C-56 透明部落APT-C-56（透明部落）组织，又称APT36、ProjectM、C-Major，是一个源自南亚的高级持续性威胁组织。该组织的主要活动区域集中于印度及其周边国家，精通社会

【成功复现】Traccar文件包含漏洞(CVE-2025-61666)

网安引领时代，弥天点亮未来 0x00写在前面 本次测试仅供学习使用，如若非法他用，与平台和本文作者无关，需自行负责！0x01漏洞介绍Traccar是美国Traccar公司的一个基于Ja

泄露众多客户敏感数据，外包巨头被重罚1.34亿元

关注我们带你读懂网络安全尽管罚款金额相较美国同类案件并不算高，但罚金已占Capita公司年净利润的12%，在未被减轻前更高达38%，堪称一次深刻教训。前情回顾·网络安全合规执法泄露22万余人个人信息，

美国海军陆战队通过“风暴破袭者行动”打破技术交付瓶颈

编者按美国海军陆战队正在推广“风暴破袭者行动”，旨在通过彻底改革传统流程，加快软件采购和部署的速度，同时确保关键的网络防御措施到位。“风暴破袭者行动”是一项任务驱动的软件交付计划，通过将技术贡献者、集

【漏洞通告】Spring Cloud Gateway SpEL表达式注入漏洞(CVE-2025-41253)

漏洞名称：Spring Cloud Gateway SpEL表达式注入漏洞(CVE-2025-41253)组件名称：威睿-Spring Cloud Gateway 影响范围：4.3.0 ≤ Sprin

CNCERT/CC成功举办中国-柬埔寨网络安全在线培训

2025年10月13日至14日，中国国家计算机网络应急技术处理协调中心（CNCERT/CC）通过在线形式与柬埔寨计算机应急响应组织（CamCERT）开展了网络安全培训。该培训是贯彻中国和东盟方通过的“

安全简讯（2025.10.17）

1. 视频会议应用Huddle01泄露用户数据10月15日，去中心化视频会议应用Huddle01宣称提供高安全性WebRTC服务，却因未受保护的Kafka Broker实例导致大规模用户数据泄露。研究

【漏洞通告】Apache ActiveMQ NMS AMQP 反序列化漏洞(CVE-2025-54539)

一、漏洞概述漏洞名称Apache ActiveMQ NMS AMQP 反序列化漏洞CVE IDCVE-2025-54539漏洞类型反序列化漏洞发现时间2025-10-17漏洞评分9.8漏洞等级严重

弈动而行・数智共融・博弈无界｜ 2025TechWorld热点议题抢先看

【火绒安全周报】工信部：防范Chrome高危漏洞/7-Zip曝高危漏洞建议使用火绒尽快更新

点击蓝字，关注+星标⭐精彩内容不迷路~01 黑客组织称成功入侵任天堂近日，网络安全情报公司Hackmanac通告，黑客组织“Crimson Collective”分享含“任天堂主题文件”资料夹截图，声

诚邀渠道合作伙伴共启新征程

随着业务的不断扩展和市场需求的增长，火绒安全寻求更多优秀的合作伙伴加入我们的行列。我们特别开启了渠道伙伴招募计划，期待与更多志同道合的伙伴一起把握行业趋势，共同开拓市场潜力，携手共创网络安全的美好未来

【已复现】Windows Agere 调制解调器驱动程序权限提升漏洞(CVE-2025-24990)安全风险通告

点击↑蓝字关注我们，获取更多安全风险通告漏洞概述漏洞名称Windows Agere 调制解调器驱动程序权限提升漏洞漏洞编号QVD-2025-39894,CVE-2025-24990公开时间2025-

渗透测试信息收集终极指南：构建全域攻击面视图

点击上方蓝字 关注安全知识本文旨在系统化地阐述渗透测试中的信息收集阶段，其深度和广度直接决定了渗透测试的最终成效。我们将信息收集提升到 “攻击面管理” 的高度，它不仅是一次性的动作，更是一个持续的过

与俄罗斯关联的黑客 攻击美国关键基础设施

高危漏洞 紧急修复指南 RCE Patch 麒麟勒索软件团伙声称，入侵了美国得克萨斯州的电力合作社。并已在在暗网的泄露网站上，公布了相关数据样本。推测e其中一家涉嫌受害的合作社是圣伯纳德电力合作

利用 COM 劫持改进浏览器缓存走私技术

我最近读到一篇文章,介绍了攻击者如何利用浏览器缓存走私技术配合 ClickFix 来向目标系统投放恶意软件。这个技术让我非常感兴趣，于是我深入研究了一番，最终还成功对其进行了改进。缓存走私技术简介当你

RondoDox僵尸网络在全球攻击行动中针对56个n-day漏洞发起攻击

一款名为RondoDox的新型大规模僵尸网络，正针对30多种不同设备中的56个漏洞发起攻击，其中包括首次在Pwn2Own黑客大赛期间披露的漏洞。攻击者的目标涵盖各类暴露在外的设备，包括数字录像机（DV

超10万IP地址发起大规模攻击 僵尸网络瞄准RDP服务

一个大规模僵尸网络正通过超10万个IP地址，针对美国境内的远程桌面协议（RDP）服务发起攻击。该攻击活动始于10月8日，威胁监控平台GreyNoise的研究人员根据IP地址来源判断，此次攻击由一个跨多

K8s渗透入门从零到一

扫码领资料获网安教程本文由掌控安全学院 - yuy0ung 投稿来Track安全社区投稿~ 千元稿费！还有保底奖励~（ https://bbs.zkaq.cn ）一、前言 文章旨在让小白从零

美国西北大学｜模仿人类专家进行程序修复

原文标题：PatchAgent: A Practical Program Repair Agent Mimicking Human Expertise原文作者：Zheng Yu, Ziyi Guo,

零知识证明（ZKP），解锁隐私计算的硬核密码

在隐私计算领域，“证明你有权限”与“保护核心数据”总是矛盾的焦点。比如，证明“我有私钥”却不能泄露私钥本身，或者验证“我满18岁”但不能暴露生日。零知识证明（Zero-Knowledge Proof，