踹哈公寓

微软将重构 Windows 安全架构 防病毒软件移出系统内核 微软正准备发布一项 Windows 系统变更的内部预览，计划将防病毒 (AV) 及终端检测与响应 (EDR) 应用移出系统内核。此举旨在防止类似去年因 CrowdStrike 错误更新导致全球 850 万台设备蓝屏的重大事故重演。 新的安全平台正与 CrowdStrike、Bitdefender、ESET 及 Trend Micro 等多家安全厂商合作构建。微软强调将与合作伙伴共同制定规则，而非单方面强制执行。该变更未来也可能影响到同样使用内核驱动的游戏反作弊引擎等程序。 The Verge 📮分享投稿 ☘️频道 🍵茶馆

阿里云核心域名突发解析异常，多项云服务遭重创 2025年6月6日凌晨，中国云计算巨头阿里云突发大规模服务故障。自北京时间02:57起，其核心基础域名aliyuncs.com出现解析异常，导致对象存储OSS、内容分发网络CDN、容器镜像服务ACR、云解析DNS等多项关键云产品受到严重影响。 此次故障疑似源于aliyuncs.com域名被强制转移或劫持，其NS服务器一度被指向shadowserver.org，一个专门处理恶意网络活动的非营利组织。这一异常操作直接导致全球范围内的域名解析中断，大量依赖阿里云服务的企业和个人用户业务被迫中断。 尽管阿里云官方于08:11宣布域名解析已初步恢复，但由于DNS缓存机制，部分海外地区及客户业务的实际恢复时间显著延长，持续面临访问问题。此次事件迅速引发了大量客户的强烈不满，V2EX等技术社区充斥着用户对业务中断的抱怨，并被一些网友视为“足以进入云计算故障历史的事件”。 V2EX讨论 | 老冯云数 📮投稿 ☘️频道 🍱狗东

收shell 一手 企业备案 40u 每天大量包收 招审计 月薪6位数加百分之50提成 收洞 联系 @facai68facai 骗子勿扰

这位其实早年间逆天事迹不少了，不过当时没暴雷不方便蛐蛐人家，总的来说是各种英雄事迹加起来是能写一篇神人tv的

避雷魔魔 经常能在各大安全群内看到卖这人远低于市场价卖cnvd，实际上是拿nday报告骗人的，目前受害者加起来应该有一万元起步

今日头条XSS 未过滤AI生成内容。一种是AI生成的总结内容（存储型XSS？），另一种是手机端AI会把即时输入重新打印到页面上。理论上可以带外，但利用起来还是有点苛刻，放出来玩玩 链接

帮一个好兄弟推一下！ 接国内外渗透拿站，联系：@anjingACE

奇安信2024年净利降2022% 研发减千人 根据奇安信近日发布2024年度报告，公司实现营业收入43.49亿元，同比下降32.49%；归属于上市公司股东的净利润亏损13.79亿元，同比下降2022.46%，创下公司财报披露以来最大亏损。 同时，奇安信董事长齐向东降薪，年薪从2023年的165.28万元减至2024年的140.49万元。此外，该公司大幅减员1782人，缩减比例接近20%，其中研发人员属于“重灾区”——共计缩减965人，比例超27.5%。 新浪科技 📮投稿 ☘️频道 🌸聊天

【情报】最新AnyDesk Exploit存在后门🚨🚨🚨 刚看到我就在想，哎哟AnyDesk出远程命令执行漏洞了🤯 仔细一看，该Exploit存在后门backdoor，请谨慎运行和编译！🧐 后门仓库地址：https://github.com/Yuweixn/Anydesk-Exploit-CVE-2025-12654-RCE-Builder 通过在.vbproj最后的<PropertyGroup>存放恶意荷载，如果编译该项目就会执行命令导致木马上线🧐

【情报】SAP NetWeaver存在RCE漏洞🚨🚨🚨 SAP NetWeaver Visual Compose的指定路径下可以未授权利用该漏洞上传恶意文件，导致服务器失陷，漏洞编号为CVE-2025-31324🥲 资产分布中国和美国使用量都比较大，目前漏洞细节已经公开，存在大范围在野利用🧐

#系统资讯 由于开发商失误现在所有 Kali Linux 用户必须手动更新 repo 密钥，否则未来几天 Kali Linux 将无法正常安装任何更新。 出现这种情况是因为 Kali Linux 开发者不慎丢失存储库密钥，如果用户不手动更新最新创建的密钥，则安装更新时会因为无法验证签名而失败。 查看全文：https://ourl.co/108901 →欢迎关注：蓝点网订阅频道 →欢迎关注：蓝点网X/Twitter →联系编辑：山外的鸭子哥 →CN2GIA服务器仅99元/年

Clash-Verge-Rev 公网 RCE https://github.com/bron1e/Clash-Verge-Rev-RCE 使用DNS重绑定+`0.0.0.0`day提升我们的CSRF，从而绕过SOP和PNA限制，这真的很酷~

所以说DNS配置不正确就可以伪造这个域名的邮件... DNS中MX记录标记这个域名可以发送邮件，SPF记录标记哪些服务器可以用这个域名发送邮件 所以如果一个域名（比如说aaa.com）没有配置SPF，那任意服务器都可以用admin@aaa.com之类的邮箱给别人发邮件... 最后伪造邮件可以用emkei.cz这个网站 https://mp.weixin.qq.com/s/UFUBRg3BL1EMy0urkb6xxA

这个东西是JS的标签模板语法，本来是用来标记一个模板的 f`aaa${arg}bbb`就相当于f(["aaa","bbb"], arg) 所以''.replace.call`1${/.../}${alert}`就相当于''.replace.call(["1","",""], /.../, alert) ，也就是把第一个参数转成字符串"1,,"，用正则/.../匹配这个字符串，然后传给alert

今日XSS小技巧之魅力javascript语法 ''.replace.call`1${/.../}${alert}` 来源，所以这东西到底是怎么生效的，待我研究一下（

https://www.kandji.io/blog/pasivrobber TLDR：恁美国OSINT又对着China哈气了，路边拾了个美亚的取证工具一通分析然后怪他主机信息收集太多 Meiya：什么叫我竟然收集信息了，我不收集信息我干嘛

：你们美国OSINT就不能至少要求一下，做中国威胁情报一定要懂汉语 ：错了 做中国情报一定要不懂汉语（ 不然就不好意思喊了