事件概述2026 年 3 月 31 日，著名云安全平台 StepSecurity 监测到，在 JavaScript 生态系统中最受欢迎的 HTTP 客户端库 Axios（每周下载量超 3 亿次）遭遇了严重的供应链攻击。攻击者劫持了 Axios 核心维护者（jasonsaayman）的 npm 账户，并在 npm 官方仓库发布了两个被污染的恶意版本：axios@1.14.1 和 axios@0.30.4。

看到标题，可能会误以为这是一条完整的攻击链——先绕过认证，再执行命令。但实际上两个漏洞没有任何依赖关系，放在一篇文章里面只是因为它们出自同一个项目。

最近接了个医疗大模型的项目，在使用医疗数据构建RAG的时候，突然想到一个极具破坏性的盲点，如果外部导入的医学文献或第三方上传的医疗病例中，被悄悄藏入了隐蔽的提示词注入指令，模型在检索和生成时会不会也因此被攻击？

环境搭建[链接]下载 MySQL 驱动([链接])并放在在同一目录下。正确的启动命令为： {代码...} ‍启动成功后，访问 http://localhost:54321 就可以进入 H2O 的 Web 管理界面。漏洞复现MySQL 5.x 驱动只支持 Query String 格式（?key=value&key2=value2），且对 URL 解析较为严格。 MySQL 8.x 驱动引入了更灵活的 URL 解...

Cordova技术栈：WebView + H5代表应用：早期银行APP、政务APP特点：最早的混合开发方案，插件生态丰富Ionic技术栈：Angular/React/Vue + WebView代表应用：企业OA、CRM系统特点：UI组件丰富，适合企业应用原生WebView技术栈：原生壳 + H5页面代表应用：各种物业/水电缴费APP特点：开发成本低，更新灵活，最常见

0.前言有个项目做了个问答大模型，刚好需要安全测试，所以就有了这篇记录某法律机构声称，该模型基于某开源大模型的api微调，且已在应用层部署了严格的内容安全策略，限制其仅回答法律领域问题1.提示词注入首先手工测试一下，可以看到我输入“你好” llm直接给我拒了，直接就是说 {代码...} 那它都这么说了，那我试试输入”...

在浏览安全资讯的时候，我偶然间看到了 CVE-2026-0755，这是一个关于 gemini-mcp-tool 的命令注入漏洞。对MCP 协议不太了解，我心里充满了疑问：

0.前言小比赛随便打，国赛教我做人....1.AI安全1.1The Silent Heist {代码...} 那基本上就能看出本题模拟了一个典型的对抗性机器学习场景。目标是骗过一个已经上线的异常检测系统目标系统是基于孤立森林 的实时风控引擎，输入数据是20 维浮点数特征 金额目标:孤立森林不同于传统的分类算法（如 SVM 或神经网络），它属于...

0.前言一直以来都想写个流量分析的做题总结，总结一些思路和方法，但找不到好的例题，刚好国赛这道流量分析就挺适合的题目内容 {代码...} 1.SnakeBackdoor-1 {代码...} 直接筛选出http流量并找到最后一个login，右键追踪一下，就看到后台密码了flag{zxcvbnm123}2.SnakeBackdoor-2 {代码...} 模糊查询，直接找到这个关键...

在某社区平台的评论功能中发现存储型HTML注入漏洞。虽然前端做了输入过滤，且存在WAF防护，但通过逆向前端加密逻辑并构造特殊payload，成功绕过所有防护，注入恶意<a>标签。结合平台存在的GET方式登出接口，实现了点击即登出的CSRF攻击。

在实际应用中，LLM 通常通过一个生命周期管理（LLM Lifecycle Management）系统进行维护和部署，该系统提供一个用于接收用户输入的聊天界面，即提示（Prompt）

0.前言这次鹏城杯真的是燃尽了，能不能进线下就看命了1.cry1.1 babyrsa一道典型的RSA 密钥恢复题目，具体来说，它是利用高精度浮点数泄露来还原私钥参数的题目题目给出了一个名为 leak 的变量，其计算公式为这道题之所以会发生泄露，核心原因在于：题目给出的十进制小数精度远大于还原分数所需的信息量简单来说，是因为...

​‍环境搭建可以从 docker hub 上搜索 docker 资源 [链接] {代码...} ​​‍漏洞复现/sqleditor/query_tool/download/前提：登录 pgAdmin 获取有效 session 和 CSRF Token调用接口 /misc/workspace/adhoc_connect_server功能：临时连接到 PostgreSQL 数据库服务器返回：sid（服务器 ID）和 did（数据库 ID)调用接口 /misc/wo...

在glibc2.34以后取消了__free_hook以及__malloc_hook，因此需要找到一个可以控制程序执行流程的函数指针代替__free_hook以及__malloc_hook。

mab多臂老虎机，又称为mab。同一个环境，动作，状态下有可能返回1，有可能返回0。也就是说环境反馈它不是一个固定的值。可以假设为有五个函数，也就是相当于五种反馈，第一个函数返回1的概率是20％，返回0的概率是80％。代码实现： {代码...} 类定义：MultiArmedBanditn_arms 老虎机的数量true_rewards 每个臂的真实平均...

0.前言给组里的本科生讲一讲恶意软件，以及如何识别恶意软件。1.CNN介绍注：这里写得很简陋，只挑笔者不熟悉的部分写，具体学习还是得详看官方文档。卷积神经网络（CNN）是一种深度学习模型，特别适用于处理图像和视频等数据。CNN包括：卷积层、激活层、池化层、全连接层。CNN的工作流程：1.输入层：接收原始数据（如图...

朴素贝叶斯算法原理：其实朴素贝叶斯方法是一种生成模型，对于给定的输入x，通过学习到的模型计算后验概率分布P ，将后验概率最大的类作为x的类输出。

其实xss说白了就是，通过向网页中注入恶意的脚本代码，一般来说都是 JavaScript，让代码在其他用户的浏览器中执行，从而达到窃取信息、冒充身份、传播木马等目的。

0.前言好久没打CTF了，打个羊城杯回顾一下，记录一下做题过程1.web1给了份php代码 {代码...} 代码审计后一看就能看到unserialize这个危险函数unserialize() 函数用于将通过serialize()函数序列化后的对象或数组进行反序列化，并返回原始的对象结构并且代码里面没有进行任何的过滤和检验，那么如果类中定义了像：__destru...

技术文章仅供参考学习，请勿使用本文中所提供的任何技术信息或代码工具进行非法测试和违法行为。指纹：title="欢迎使用浙大恩特客户资源管理系统"本文对该系统公开在互联网，但未分析代码细节的漏洞进行审计分析：前台文件上传RCE该系统2019版本存在权限绕过加文件上传组合漏洞，可通过上传webshell实现前台RCE。公开POC...

这种攻击方式看起来很low，但在现实中却屡见不鲜，因为许多用户仍然习惯使用过于简单的弱口令，比如像什么123456，或者是password或是生日、手机号等。

该漏洞的成因在于程序未对用户传入的数据进行严格的合法性校验，直接拼接进入系统命令，攻击者可以借此注入并执行任意代码。这种情况不仅可能导致设备运行异常，还可能在某些条件下使攻击者获得对路由器的完全控制。

最近应急，遇到一起官网非法链接事件。如下图所示，使用百度搜索引擎语法site:www.网站域名 搜索“博彩”关键字，会出现一堆结果。并且只有百度搜索引擎可以搜索出来，其他的都没有记录。

该漏洞源于程序在拷贝用户输入时缺乏有效的边界检查，攻击者可以通过构造恶意请求触发溢出，从而导致系统崩溃，甚至在某些场景下获得更高权限，进而完全控制设备。

1.前言半个月前，我在对Wavlink品牌WL-NU516U1型号路由器进行安全测试时，发现其管理界面存在一处命令注入漏洞。该漏洞源于系统对用户输入过滤不严，攻击者可通过特制的HTTP请求在设备中执行任意系统命令，从而完全控制设备。经过深入分析与验证，确认该漏洞具有高危害性，可导致设备被完全接管。我写了详细的技术报告，...

之前在网上随便逛逛的时候，发现一个有各种各样的PHP项目的管理系统，随便点进一个查看，发现还把mysql版本都写出来了，而且还是PHP语言。

Android 四大组件Activity、Service、Broadcast Receiver和Content Provider是应用程序的核心组成部分，但如果实现不当，会引入严重的安全漏洞。本文将详细分析各组件常见的安全漏洞，通过漏洞代码逻辑基于 drozer 的利用方式，能够更清楚的了解具体漏洞的原理以及利用方法。

前言书接上文，在上次意外搞出的免杀 webshell 条件下，最近又去审计了一个织梦 cms官方网站[链接]最后成功利用免杀 webshell 实现了 RCE，下面是审计过程和审计思路环境搭建去官网下载源码，然后配合 phpstudy 搭建就 ok 了这个比较简单，注意根目录需要放 upload 目录注意默认的管理员目录是 dede，访问/dede/login.ph...

前言本文章所分享内容仅用于网络安全技术讨论，切勿用于违法途径，所有渗透都需获取授权，违者后果自行承担，与本号及作者无关，请谨记守法。外网打点首先一波信息收集过后，把最后收集的到的 url 拿到 httpx 去做一下存活检测httpx 测活一下测完活之后，搞波指纹指纹到手，这边一般我都是拿高危指纹去漏扫一下然后找到...

​ 一个从20几℃的大热天冬天天气变成寒冷潮湿阴天的天气，正躲在公司瑟瑟发抖的我，突然被拉进了一个应急群。某客户那边的站点，在打开某些特定页面的时候，会出现买虚拟货币的宣传视频，很明显又是黑灰产搞的鬼。目前已前场采集过来的信息如下：