【XSS Tips】分割构造Payload绕过Waf

免责声明：由于传播、利用本公众号Z1sec所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，公众号及作者不为此承担任何责任，一旦造成后果请自行承担！如有侵权烦请告知，我们会立即删

契约锁电子签章系统 pdfverifier 远程代码执行漏洞

契约锁，是一个电子签章及印章管控平台，提供的电子文件具有与纸质文件一样的法律效力。2025年7月，契约锁发布安全补丁修复了远程代码执行漏洞。该漏洞允许未授权攻击者通过特定方式在服务器上执行任意代码。由

DeepSeek 彻底爆了

自今年年初以来，一款名为 DeepSeek 的 AI 软件在全球范围内迅速走红，引发了各界的广泛关注。它的出现，让 AI 不再是高高在上、只存在于科研机构和大型企业实验室中的神秘技术，而是真正走进

【复现】契约锁文件写入致远程代码执行漏洞风险通告

-赛博昆仑漏洞安全风险通告-契约锁文件写入致远程代码执行漏洞风险通告漏洞描述 契约锁，是一个电子签章及印章管控平台，提供的电子文件具有与纸质文件一样的法律效力。平台上签署大体的流程是：由合同发起

腾讯云Web应用防火墙｜秒级拦截千万级DDoS攻击，实现业务0中断

随着大模型在各行各业的广泛应用，传统安全防护手段已无法应对prompt注入、不当信息诱导、AI基础设施风险等新型威胁。面对AI时代的安全需求，腾讯云Web应用防火墙可以做到： 秒级拦截千万级DDoS攻

XCon2025官宣定档！无界场议题征集，热力启动！！

XCon2025安全焦点信息安全技术峰会官宣定档！2025年8月22日 北京·民航国际会议中心<一年一度纯享型技术盛会·蓄势待发>作为中国网络安全领域一年一度的纯享型技术盛会，XCon安全焦点信息安全

IT巨头英迈因SafePay勒索软件攻击导致服务中断

据了解，IT巨头英迈（Ingram Micro）的持续停机是由SafePay勒索软件攻击造成的，该软件导致内部系统关闭。英迈是全球最大的企业对企业技术分销商和服务提供商之一，为全球经销商和管理服务提供

2025网安夏令营，即将开课！

GraphQL入门与安全风险探究

点击蓝字 关注我们GraphQL入门与安全风险探究GraphQL简介GraphQL是一种面向数据的API查询语言，其特性是能够请求和接收所请求的特定数据，在一个端点为前端提供所有的数据。GraphQL

Kali+大模型+手机,开启移动自然语言渗透

将二进制空间安全设为"星标⭐️"第一时间收到文章更新技术背景人工智能与传统工具的融合正在开启新的可能性——也带来了新的威胁。其中一个最引人关注的现象是“氛围黑客”（vibe hacking），这个术语

X-SAST 已开源审计UI并发布AI过滤模块

0x00 前言免责声明：继续阅读文章视为您已同意[NOVASEC免责声明].X-SAST 当前公开的第一款基于规则的多语言GUI代码审计工具。具体信息可以查看: X-SAST 轻量、快速、多语言、代码

【代码】hypnus：Rust 内存混淆与执行流伪装

0x00 前言免责声明：继续阅读文章视为您已同意[NOVASEC免责声明].hypnus：Rust 内存混淆与执行流伪装利器，提升攻防隐匿性在现代攻防对抗与安全研究中，内存混淆与执行流伪装技术日益重要

高级渗透测试技术实战场景：红队专项技能

点击上方蓝字 关注安全知识1. 活动目录（AD）攻击与域控渗透1.1 NTDS.dit数据库提取技术技术原理与重要性： NTDS.dit文件是Active Directory的核心数据库，存储了域内

纳亚赖布尔国际信息技术研究所 | 利用高效特征选择方法对Tor流量进行分类

原文标题：A novel approach for classification of Tor and non-Tor traffic using efficient feature selectio

以攻促防 - 探究如何发现、应对和演进专业红队技术

最近，在x33fcon 2025的演讲《红队编年史：一个C2的故事——Outlook的“一键奇迹”》中，TrustedSec 团队向业界展现了一项红队技术的完整生命周期。其核心项目 Specula 命

【已复现】契约锁电子签章系统 pdfverifier 远程代码执行漏洞

契约锁，是一个电子签章及印章管控平台，提供的电子文件具有与纸质文件一样的法律效力。2025年7月，契约锁发布安全补丁修复了远程代码执行漏洞。该漏洞允许未授权攻击者通过特定方式在服务器上执行任意代码。由

HW 中如何利用 WAF 缺陷进行绕过

初见端倪在上传的头像的点位:当时抓了一个包，发现这个地方更换头像分为三部走:一，把头像图片上传到云返回云上的地址二，通过另外一个接口上传头像地址的链接三，通过前端中的<img src="头像地址">显

【0day】紧急提醒！你的Telegram私密群组/频道可能被未授权访问！

免责声明❝由于传播、利用本公众号"隼目安全"所提供的信息而造成的任何直接或者间接的后果及损失,均由使用者本人负责,公众号"隼目安全"及作者不为此承担任何责任,一旦造成后果请自行承担!如有侵权烦请告知,

一款以Web与全版本服务漏洞检测为核心的辅助性主、被动扫描工具

以 Web 和完整版服务漏洞检测为核心的辅助主动和被动扫描工具。|一款以 Web 与全版本服务漏洞检测为核心的辅助性主优势1、集成 WAF 检测、指纹信息和插件扫描2、能够解析 Json、XML 和伪

《 都没见到专业红队》

《付费实习》

Grok4跑分没输过，安全没赢过

近日，xAI发布了自家第四代大模型Grok4，并迅速将其集成进X平台，自诩为“地表最聪明”的AI聊天机器人。在LMSysleaderboard上，Grok4的表现确实令人侧目：超越Claude3Opu

俄罗斯篮球运动员因参与勒索软件攻击被捕

近日，美国司法部频频发出国际通缉令，继一名中国工程师在意大利米兰因“参与丝绸台风黑客攻击活动”被捕后，一位俄罗斯篮球运动员，也在巴黎戴高乐机场被拘捕，罪名是参与了网络安全领域最臭名昭著的黑客团伙之一—

美国网络司令部拟强化联合网络作战架构的集成和创新

编者按：美国网络司令部计划在2025财年和2026财年拨款1.9亿美元，用于支持“联合网络作战架构”（JCWA）的内部集成以及外部研发和创新引入。根据美国网络司令部最新的2026财年预算申请文件，JC

绿盟虚拟汽车靶场（三）：MQTT云服务攻防

国家安全部通报三起公职人员泄密案；|麦当劳AI招聘系统重大数据泄露：6400万求职者隐私遭威胁

国家安全部通报三起公职人员泄密案；国家安全部7月10日通报，近期破获多起境外间谍情报机关针对我国公职人员的渗透策反案件，现披露三起典型案例：案例一：亲属关联泄密案张某（28岁），某基层单位副职，违规将

大规模浏览器劫持活动，已感染超230万用户

一场大规模浏览器劫持活动通过Google Chrome和Microsoft Edge上的18款恶意扩展程序，已感染超过230万用户。尽管这些扩展拥有认证标识和高评分，却暗中部署监控代码，引发对浏览器扩

供应链攻击某src某游戏控制台

1.前言很久没发实战类文章了，以下内容源自于去年我在某src的报告，仅对文字和图片中的关键信息做了脱敏和打码，其余内容基本没做什么修改。在挖掘某src游戏业务的时候，我大量使用了供应链攻击手法，并进入

X-SAST 专业多语言代码安全审计工具套件

项目背景在渗透测试和安全评估过程中，高效快速的代码审计是一项关键能力。现有工具如 Seay 和 Fortify SCA 各有局限性：Seay：仅适用于 PHP 环境，正则匹配结果冗余，缺乏有效的审计进

摩诃草（APT-Q-36）仿冒高校域名实施窃密行动

团伙背景摩诃草，又名 Patchwork、白象、Hangover、Dropping Elephant 等，奇安信内部跟踪编号 APT-Q-36。该组织被普遍认为具有南亚地区背景，其最早攻击活动可追溯到