原创 | 反序列化漏洞：你以为编译型语言就安全？别被“假象”骗了！

字数1653，阅读大约需9分钟编译型语言 ≠ 绝对安全。一次反序列化，可能让你的服务器“裸奔”。一、你以为的安全，其实漏洞百出很多人觉得：Java 是编译型语言，不像 JavaScript 那样动态

【资料】开源情报的政策考虑：Bellingcat在线调查模式研究（2014-2024）

摘要： 随着社交媒体和数字信息工具的普及，越来越多的互联网用户可以通过开源调查参与情报收集——这一领域以前是为有权访问机密信息的政府机构保留的。然而，随着时间的推移，开源信息的可用性和容易访问引发了一

首发 ｜ 五眼联盟网络武器承包商Trenchant总经理为澳大利亚信号情报局前黑客

Peter Williams，39岁，澳大利亚国籍，现居美国华盛顿特区，是网络安全与情报领域的资深从业者。他最近因涉嫌窃取并出售商业秘密而面临美国司法部的指控，此事件涉及国防承包商L3Harris T

【高危漏洞预警】Docker Desktop安装程序 DLL劫持漏洞CVE-2025-9164

漏洞描述:Docker Desktop是一款为开发者提供的跨平台容器管理工具,支持Windows和macOS系统。它简化了Docker引擎、容器、镜像的管理,并提供了图形化界面方便用户创建、构建、运行

CVE-2025-62725 – Docker Compose OCI 工件路径遍历

安全公告 ID： GHSA-gv8h-7v7w-r22q组件： Docker Compose（本地二进制文件）测试版本： 2.40.1（存在漏洞），2.40.2（已修复）发布日期： 2025-10-2

女科学家的平凡瞬间

最近个把月女科学家她们单位迎接教育部学科认证，她被指派成后勤组长，负责后勤工作，比如对教育部前来负责认证工作的专家团队提供后勤保障。这个学科认证她过去参与过，只不过那两次她是随另两拨专家团队去认证其

MS08067顺利交付中国人民解放军某部队C#代码审计培训课程【高质量精品实战版】

MS08067安全实验室近日成功完成解放军某科技型部队《C#源代码安全审计实战课程》定制开发与交付，标志着实验室在代码审计领域实现重要战略升级。① 课程特色一、核心方法：系统化实战教学路径围绕"漏洞

"Evtx Web Analysiser"实战案例（三）

上一篇：EventID：4625 → 4624 → 4672，暴力破解 → 成功 → 提权。延续 上一篇，我们 继续分析。1、EventID：4738（用户更改属性）发现有7条4738记录，如下

漏洞情报系统 - bug_search

01 项目地址https://github.com/menglike/bug_search02 项目介绍项目描述：bug_search 是一款免费开源轻量的漏洞情报系统，基于 python3 + Am

BSRC漏洞收录规范特殊说明

为进一步规范漏洞的收录与评分标准，BSRC《漏洞收录规范特殊说明》正式发布！该说明将明确特殊场景漏洞的处理细则，为各位白帽的漏洞提交提供更清晰的指引。每一次严谨的漏洞报告，都是网络安全的坚实防线，感谢

车辆的信息安全开发，是什么？

点击上方蓝字谈思实验室获取更多汽车网络安全资讯01车辆的信息安全，是什么？俄罗斯最大的打车平台Yandex Taxi遭黑客入侵，把所有出租车同时叫到莫斯科Kutuzov Prospect上同一目的地，

拥抱欧洲汽车产业“智能革命” | SDV & AIDV Europe 2026欧洲软件及AI定义汽车峰会报名开启！

点击上方蓝字谈思实验室获取更多汽车网络安全资讯“软件定义汽车”这一概念，最早出自前大众汽车CEO赫伯特·迪斯博士之口。但短短几年后看来，似乎已经成为上个时代的产物。从智能座舱的情感交互，到端到端自动驾

【安全圈】恶意 npm 包被发现窃取开发者凭证涉及多个操作系统

关键词恶意软件网络安全研究人员近期发现，一组伪装成常用库的恶意 npm 包正被用来向 Windows、Linux 与 macOS 目标投放信息窃取器。攻击链呈多阶段运行：恶意包在安装时通过 posti

【安全圈】黑客声称入侵汇丰美国客户数据库，涉个人及财务信息

关键词数据泄露近日，一名威胁行为者声称成功入侵了汇丰美国（HSBC USA）的系统，掌握了大量客户敏感信息，包括个人身份信息（PII）及财务数据。黑客在暗网泄露论坛上发布了截图和数据样本，称此次攻击是

【安全圈】新型Android银行木马“GhostGrab”静默窃取登录凭证并拦截短信OTP

关键词恶意软件安全研究人员近期发现，一种名为“GhostGrab”的高级Android银行木马正在活跃传播，针对多个地区的金融机构展开攻击。该恶意软件能够在受感染设备上静默运行，窃取银行登录凭证，同时

【安全圈】Everest勒索软件泄露AT&T、都柏林机场与阿拉伯航空数据

关键词数据泄露俄罗斯语系勒索软件组织Everest近日声称泄露了电信巨头AT&T的招聘平台数据，并试图通过出售数据敛财，同时还针对都柏林机场和阿拉伯航空的员工信息提出高额勒索。该组织声称，AT&T C

FOFA 百万次免费搜！Cake_v1.1 免配代理，全资产收集更全面

做资产收集，“全不全” 直接影响后续工作成效。之前 Cake_v1.0 在 Windows 环境、无 API 密钥配置下，查同一个目标的子域名，数量就远超同类工具，能帮大家找到更多容易被忽略的资产：点

Ubuntu内核曝严重UAF漏洞，可致攻击者获取Root权限

Ubuntu Linux内核近日曝出严重安全漏洞，允许本地攻击者提升权限，并可能获取受影响系统的根访问权限。该漏洞在TyphoonPWN 2025安全会议上披露，源于af_unix子系统中的引用计数失

Docker Compose曝高危漏洞，执行只读命令即可覆写任意文件

Docker容器编排工具Compose近日披露一个高危路径遍历漏洞（CVE-2025-62725，CVSS v4评分8.9）。该漏洞影响Docker Desktop用户、独立Compose二进制文件用

新型零点击攻击，通过主流AI Agent利用MCP静默窃取数据

一种名为"Shadow Escape"的新型零点击攻击利用模型上下文协议（MCP），通过ChatGPT、Claude和Gemini等流行AI Agent静默窃取敏感数据。Operant公司发现的这一漏

漏洞通告 | Apache Tomcat 目录遍历漏洞

漏洞概况Tomcat 是一个开源的、轻量级的 Web 应用服务器 和 Servlet 容器。它由 Apache 软件基金会下的 Jakarta 项目开发，是目前最流行的 Java Web 服务器之一。

AI辅助逆向APP白盒AES分析

一、分析定位首先APP为x60企业壳 有frida检测 我采用的是内核模块过的 好了 开始rush b抓个包先看看参数 如下阔以发现有个q参数 sign参数sign=74530712421112715

先知安全沙龙 - 西安站 11月15日开启！

阿里云先知灯塔系列城市安全沙龙第十一场-西安站将于11月15日在西安电子科技大学南校区办公楼210报告厅举办。本次沙龙在中国互联网协会网络与信息安全工作委员会的指导下，由阿里云先知平台、阿里安全响应中

Everest勒索团伙发起连环攻击，泄露AT&T数据并索要巨额赎金

勒索软件团伙Everest近期发起连环网络攻击，先后瞄准电信巨头AT&T、都柏林机场及阿拉伯航空，泄露部分数据并索要高额赎金，引发广泛关注。10月21日，该团伙宣称窃取了AT&T Carrier（at

Palo Alto推出首个安全代理平台，押注Agentic AI赋能安全自动化

关注我们带你读懂网络安全Palo Alto昨夜搞了个大动作，发布更新了一系列AI+安全产品，包括全新的安全代理平台Cortex Agenti、新版的云安全产品Cortex Cloud 2.0和AI保护

英国智库提出在多极世界中塑造跨域网络威慑

编者按：英国智库皇家联合三军研究所近日发表题为《重新思考多极世界中的网络威慑》的文章，围绕如何阻止严重影响国家安全和社会稳定的网络攻击事件再次发生的主题，评析了当前五种主流网络威慑观点，并提出三项推进

一图看懂：幻阵AI在欺骗防御蜜网运营中的核心作用解析

Kali火到娱乐圈了？

【免费领】专家团队实战经验：PostgreSQL安全配置权威指南

点击蓝字/关注我们今日福利一线安全专家团队实战经验成果涵盖PostgreSQL所有安全项配置指导帮助快速完成PostgreSQL安全设置限时福利，请及时领取哦 ~该资料内容较多，以下为节选的部分目录：

“GEEKCON2025”上海站闭幕 | 共探AI与机器人安全新挑战

GEEKCON 2025上海站当选手对着人形机器人轻声说出“芝麻开门”时，机器人就脱离了原主人的掌控，完全听命于陌生人。这不是科幻电影，而是今日在“GEEKCON2025”安全极客大赛暨大会上海站现场