RSS订阅 立即发帖
筛选:  最新的 推荐的 热门的

黑盒背后的密钥：验证码加密解析与 AI 破局实录

一个平常不过的app加密竟然如此难搞？一开始不断受阻，不过最后也是破局并且复盘，而且又研究了AI利用的新思路，一键出结果，非常强的可实用性

Android移动安全第一章_组件导出安全

这是 Android 移动安全系列的第一章。整个系列计划覆盖组件导出、Intent、WebView、Binder 服务等方向，逐篇分享 Android 客户端安全技术。附带靶场 App

  • 8
  • 13
  • bReaK_1
  • 发布于 2026-03-24 10:04:06
  • 阅读 ( 4491 )

Java Record 反序列化——从机制差异到攻防

Java 原生反序列化（java.io.ObjectInputStream）一直是安全领域的重灾区。从 2015 年 Apache Commons Collections 反序列化漏洞被公开，到 2021 年 Log4Shell 中 JNDI 注入与反序列化的联动利用，Java 反序列化攻击已经形成了成熟的方法论体系。

  • 1
  • 0
  • Dracarys
  • 发布于 2026-06-26 09:38:46
  • 阅读 ( 4456 )

还能这样对大模型输入投毒

对protswigger的第三个大模型prompt注入靶场进行实战记录

基于 nRF Sniffer 的 BLE 智能灯泡协议逆向与重放攻击

本文详细记录了对某智能灯泡的低功耗蓝牙（BLE）安全测试全过程。文章从 Wireshark 与 nRF52832 抓包环境的搭建切入，直击物联网设备通信痛点，演示了如何捕获设备指令、逆向分析 GATT 读写 Payload，并成功利用 nRF Connect 实施重放攻击接管设备。文末针对实测漏洞，提出了引入随机数、挑战-应答机制及链路层加密等安全防护建议。

  • 2
  • 3
  • JiuMeng
  • 发布于 2026-06-25 09:33:48
  • 阅读 ( 4381 )

补齐SDLC最后一块拼图：LLM 在应用安全中的实践探索

随着DevSecOps的推进，应用安全已逐步融入SDLC各阶段，一个长期存在的问题依然突出：安全工具往往能发现问题，却难以判断其真实性、可利用性及处置优先级。这些持续消耗研发与安全团队的时间精力。近年来随着大语言模型的迅速发展，为这一困境提供了新的可能，本文结合实际应用安全建设经验，重点探讨AI在硬编码、SCA、漏洞挖掘等场景中的应用安全实践方法。

  • 4
  • 1
  • hyyrent
  • 发布于 2026-01-21 09:00:01
  • 阅读 ( 4353 )

DeepTective: 基于混合图神经网络的自动化漏洞挖掘框架

PHP在Web应用中的普遍漏洞以及开发者、安全公司和白帽黑客为解决这些问题所做的努力。传统的静态、流和污点分析方法在性能上存在局限性，数据挖掘方法常受到误报/漏报的困扰，而近期基于深度学习的模型（主要是基于LSTM）并不天生适合程序语义等图结构数据。DeepTective是一种基于深度学习的PHP源代码漏洞检测方法，其核心创新在于采用混合架构，结合门控循环单元（GRU）处理代码令牌的线性序列（语法信息），以及图卷积网络（GCN）处理控制流图（CFG）（语义和上下文信息）

  • 0
  • 0
  • Bear001
  • 发布于 2025-10-23 09:47:12
  • 阅读 ( 4345 )

AI安全之间接提示词注入实现RCE(CVE-2025-53773绕过分析)

AI安全之间接提示词注入实现RCE(CVE-2025-53773绕过分析)

  • 1
  • 1
  • mhxiang
  • 发布于 2025-12-29 09:45:04
  • 阅读 ( 4295 )

AI 供应链安全：MCP 协议下自动化 AI 架构中的隐式执行风险实测

随着大语言模型（LLM）从单纯对话向自动化执行演进， MCP (Model Context Protocol) 协议正迅速成为连接模型大脑与外部工具（文件、数据库、API）的标准“USB接口”。然而，这种高度集成的架构也引入了一个AI隐式执行的风险。不同于传统的前端提示词注入，基于 MCP 的攻击发生在系统底层的协议交互阶段。本文将通过两个小实验实测复现，演示如何通过篡改MCP工具元数据，诱导模型进入逻辑陷阱，从而实现敏感数据的静默外泄。

  • 1
  • 2
  • 11123
  • 发布于 2026-01-06 09:46:20
  • 阅读 ( 4095 )

Bad Char 绕过实战：稳定 MIPS Shellcode 的设计方法

在漏洞验证过程中，Shellcode 必须被完整注入并成功执行，但目标程序常因使用 strcpy、sprintf 等字符串函数，或协议解析与输入校验机制，对 \x00 等坏字符进行截断或过滤，导致载荷失效。该问题不仅影响传统栈溢出利用，在 ROP 场景下同样突出：部分 gadget 地址包含坏字节，难以完整写入，迫使攻击者通过运行时计算等方式绕过，显著增加利用复杂度。因此，准确识别坏字符并制定规避策略，是构造稳定 Shellcode 的关键。本文将结合 msfvenom 的局限性，介绍实战绕过方法。

  • 1
  • 3
  • all
  • 发布于 2026-02-02 09:00:00
  • 阅读 ( 3894 )

【2025补天白帽黑客盛典】推广漏洞的特殊思路

通杀国内主流互联网厂商的推广漏洞思路分享。

「JavaWeb审计盲点」List 集合误区：批量操作下的权限逃逸

本文将深入剖析 List 集合在批量查询、批量更新、批量导出等场景下的典型越权模式。这些风险并非源于明显的代码缺陷，而是藏在"合理的业务逻辑"与"容器特性的误用"之间——属于最难被自动化工具发现、却最易被攻击者利用的 Corner Case。

  • 2
  • 3
  • tkswifty
  • 发布于 2026-04-09 09:00:01
  • 阅读 ( 3843 )

CVE-2026-41844 Spring Framework 开放重定向漏洞浅析

CVE-2026-41844受影响版本中,当 Spring MVC 或 Spring WebFlux 应用配置了全局匹配路径映射且未显式指定视图名时,视图名会默认从请求路径提取。由于在解析时未校验视图名是否包含 "redirect:" 等恶意前缀,攻击者可构造类似 /redirect:https://evil.com 的请求,导致应用返回 302 重定向至外部恶意站点。

  • 1
  • 0
  • tkswifty
  • 发布于 2026-07-30 09:42:15
  • 阅读 ( 3843 )

Ai安全漏洞剖析-CVE-2025-68664

LangChain 是一个用于构建基于ai大语言模型(LLM)应用程序的框架。在受影响版本中，存在序列化注入漏洞。

  • 1
  • 0
  • 逍遥~
  • 发布于 2026-01-23 09:00:02
  • 阅读 ( 3838 )

跨层残差绕过LLM内生安全

2025年LLM的内容安全已经有质的飞跃了，基于模型内生安全、外挂的安全审核模型、改写模型等等手段，传统的基于提示词工程的黑盒攻击逐渐难以突破愈发完善的防御机制，而白盒攻击通过直接操纵模...

  • 0
  • 3
  • Holiday
  • 发布于 2026-01-22 09:00:00
  • 阅读 ( 3793 )

PE文件代码洞利用技术详解

PE代码洞是PE文件补丁的一种方式，PE补丁的本质是在不修改原始源代码的情况下，直接对可编译的可执行文件，进行二进制级别的修改，以改变程序的行为、修复漏洞或添加功能。 它和PE壳技术原理有着异曲同工之妙。本篇文章主要讲解代码洞的利用过程以及原理，从而进行更好的防御。

  • 1
  • 0
  • pwjcw
  • 发布于 2026-02-11 09:55:10
  • 阅读 ( 3771 )

【2025补天白帽黑客盛典】大模型时代的移动端攻防：基于LLM的App漏洞挖掘

本议题将分享一种基于LLM Agent的App漏洞挖掘。通过引入MCP方式，结合精细化的Prompt工程与工作流编排，将复杂的挖洞过程拆解为可控的原子任务。将展示如何使用LLM强大的代码审计能力，实现对App隐蔽漏洞的高效、精准捕获。

ShopNC商场代码审计&裁剪图片业务绕过getshell

当我们渗透遇到图片上传后裁剪的功能时，容易放弃上传图片木马，因为裁剪功能会将图片经过压缩、重新采样处理后文件中的payload会丢失。有一种方式可以绕过PHP GD库对图片的处理，结合文件名重命名的漏洞，获得Web Shell。

  • 4
  • 2
  • en0th
  • 发布于 2026-02-28 10:00:02
  • 阅读 ( 3686 )

当AI被“反向操控”：图像模型反演攻击全流程揭秘

模型反演攻击（Model Inversion Attack, MIA）是机器学习隐私领域的一大隐患：攻击者仅通过访问模型输出或内部信息，就能“逆向工程”出训练数据的敏感特征。本文聚焦图像分类模型的黑白盒反演攻击，以通俗易懂的方式，从原理到代码、从实验到分析，全链路演示这一攻击的威力与风险。

  • 0
  • 0
  • Wh1tecell
  • 发布于 2026-01-26 09:00:00
  • 阅读 ( 3646 )

第五届“湾区杯”CTF Final - Blind writeup

本题描述了一个现实场景常见的模型：即无法采用多模态模型时，先使用ASR模型将语音转换为文字，接着调用大模型进行回答。

  • 0
  • 2
  • Cain
  • 发布于 2025-12-31 10:00:01
  • 阅读 ( 3643 )