新浪维基

说我写个木马连沙箱都会过不了，原来这是什么有门槛的操作啊，那太带派了🤣 一讲技术就是高谈阔论，今天是隔壁组在做linux内核漏洞的patch反推poc，明天是听了知道创宇的汇报 神必黑客追踪 （抽象艺术），后天是APT流量监测，那么问题是你自己很厉害喽，不说linux，就前段时间的chrome nday能复现的了吗？

#安全资讯 臭名昭著的黑客 IntelBroker 已经被逮捕，年仅 25 岁，使用自己实名认证账号出售赃款。 这名黑客曾入侵 AMD、诺基亚、HPE、通用电气等并兜售盗窃来的数据，FBI 对其钓鱼获得比特币收款地址，然后非常轻松地顺藤摸瓜确定他的真实身份。 查看全文：https://ourl.co/109538 对了：他的真实身份信息甚至连证件照都已经被人肉出来了。 →欢迎关注：蓝点网订阅频道 →欢迎关注：蓝点网X/Twitter →助力频道：点击帮助频道升级 →CN2GIA服务器99元不限新老 特别提示：评论区需人机验证才能发言，点击这里加评论区群和验证

这段时间Binance Alpha发了不少空投让很多人去刷交易量，接着就有聪明人去组LP收上面这些人的手续费，然而还有针对这些聪明人的收割，比如上面这种Pump & dump 更有天局是像前几天ZKJ/KOGE那样，由于KOGE/USDT没有流动性，严重依赖ZKJ/KOGE。有人看准时机将大量代币从KOGE转移到ZKJ，再抛售ZKJ，与此同时做市商Wintermute也撤销了流动性导致ZKJ/USDT池子变浅，结果导致KOGE先崩了后ZKJ也跟着崩了，一大堆LP大户被迫接盘。更要命的是ZKJ在Bybit上有一堆杠杆交易也被清算！太绝了！！

每次看到有人连续拉高就知道没好事发生，果不其然最后十几秒交易所突然宕机（高度怀疑有人刻意DDoS）。引发恐慌性抛售，这种剧情一天能上演好几次

白宫未来或采取更加激进的网络政策 4月9日，美国国家安全委员会网络官员 JD Work 在针对“商业网络入侵能力”（CCIC）和间谍软件（spyware）的研讨会上警告称，美国将对从事商业网络恶意活动的实体采取“致命武力”，这一表态令部分与会代表震惊。虽然人们一致认为，根据国际法，网络运营商在武装冲突期间可以成为合法的军事目标，但在其他情况下以这些运营商为目标的想法引发了关于必要性和相称性的重大问题。 4月11日，美国计划与21个国家签署一份自愿且不具约束力的行为准则，称为Pall Mall Process. 旨在“应对商业网络入侵能力的扩散和不负责任的使用”。前 NSA 网络安全专家表示，PMP的最大意义在于，各国政府首次公开承认他们开展了进攻性网络行动，他们认为这是一种战略优势，并且他们正在创建一个框架，以确定如何与私营部门合作，以确保他们能够获得达到最佳绩效所需的全球人才和产品。 4月11日，《华尔街日报》报道，在去年年底中美官员举行的一次秘密会议上，前者证实，作为被称为“伏特台风”的行动的一部分，中国对美国基础设施进行了网络攻击。美国高级官员表示，美国国防部“将对中国进行更多进攻性网络打击”。 therecord.media therecord.media informationsecuritybuzz.com lawfaremedia.org wsj.com 这种威胁一下对手还洋洋自得的态度只会迎来结结实实的拳头

《XX网军事砖家回旋镖》 6月11日报 ——“日前，伊朗官方媒体称，伊朗情报部门从以色列方面获取了大量战略敏感信息和文件，其中包括与以色列核设施和国防计划有关的文件。美国和伊朗第六轮会谈将于6月15日举行，舆论认为，伊朗宣布成功获取以色列机密文件的时机相当敏感，此举可能会有效限制以色列对伊朗采取军事行动。” 再看看今天新闻，伊朗两名高级将领与数十个核设施军事基地遭到袭击。 这件事情让我想起来：

安全公司曝光黑客盗用开发团队账号在 NPM 平台散布恶意软件包，涉及 React Native / GlueStack 项目 - IT之家 https://www.ithome.com/0/859/838.htm

Meta、Yandex等互联网大厂通过监听本地特定端口，并让第三方网站集成他们自己的JS脚本来监视、窃取用户隐私数据 源：G.O.S.S.I.P 阅读推荐 2025-06-06 127.0.0.1 窃听风暴

最近在玩无限机兵，类魂二次元端游

JWT固定密钥绕过认证+插件系统RCE，打了几十个内存马

💁🏻推荐社工人肉查询机器人 🕵🏻‍♂️ 功能全面，精准直达 📦 快递单号 | 🏨 开房记录 | 🚗 车主信息 📱 机主数据 | 🆔 身份证信息 | 📞 同户信息 📧 邮箱账号 | 🔐 密码数据 | 🎮 各类账号绑定 🗞 支持猎魔查询 🗞 支持身份证补齐 🚀 精准打击盒打击，无需等待！ 🟣 点击下方链接免费使用 🔗 立即体验： https://t.me/WikiSGK_Bot?start=77ac0346d679

华硕路由器被通过官方配置植入SSH后门 先暴力破解然后利用CVE-2023-39780写入ssh公钥

怎么有种在哪里看到过的感觉^^

中情局星战暗网 据Yahoo News早前调查，该秘密网络最初的崩溃始于伊朗。约在2010年，当地反间谍机构发现了部分伪装网站，并成功破解了隐藏通信机制，随后迅速锁定与这些网站有关的可疑人员。此举触发了一系列追捕行动。 2011年至2012年，伊朗和东亚多个国家情报机构开始系统性清除与CIA有关的线人和人员。尤其是在中国，这场泄密事件被视为造成美方在华情报网几乎“灭顶”的直接原因——至少十余名美方线人被捕或处决，堪称冷战以来最严重的特工危机。 公开资料显示，CIA于2013年彻底关闭该网络，但这一事件的影响远未结束。不仅中情局行动大幅收缩，盟友对美情报保护能力的信任也受到打击。

具体来讲就是一些插入到数据库的数据只将双引号变为了HTML实体，但没有将尖括号转义为HTML实体。如果输出点在双引号包裹的标签属性内，不会出现XSS，但如果输出点在标签之间就会出现xss。有些爬虫是直接提取属性插入自己的数据库，然后打印时放在了标签之间

给某厂src交了个xss被忽略了（不是头条），呵呵。不过发现了另外一个有趣的思路：某些使用爬虫的osint网站或者图形化界面的工具可能存在二次注入的xss，从而可以进行一些反制

这主要是mihomo的问题，external-ui-name存在路径穿越。mac环境下可以写入到.zshrc