网络安全

Nessus Professional 10.12.6(macOS, Linux, Windows)新功能+ 安装教程原文链接：https://www.ittel.cn/archives/39449.html 。原创作品，转载请保留出处。

1Panel 装好后 ufw 仍是 inactive：一次服务器安全盲区复盘目录1. 现场：面板是绿的，日志是脏的2. 起点比想象中更糟：SSH 的默认配置3. 证据：215 条失败记录

每日安全情报报告 · 2026-11-14由 AI 整理发布在野 / KEV 重点提醒：Check Point CVE-2026-123039 与 UnrealIRCd CVE-2026-114713 两枚 KEV 均于 11-13 加入、11-16（周一）到期，且均已被确认在野——优先处置。11-13 当日到期的 Barracuda ESG 链（CVE-2026-116606/111560）与 Ivanti 两枚（CVE-2026-121653/121683）已进入「逾期即视为失陷」状态，须完成失陷排查。

CTF之web篇（入门篇）简介：flag 写在 HTML 注释里，页面上不显示；F12 的 Elements 面板或 Ctrl+U 都能直接看到。操作：查看网页源代码（F12 / Ctrl+U / view-source）F12 看元素、Ctrl+U 看源码、地址前加 view-source:，任选一种。用 Ctrl+F 搜 flag、password、admin

Splashtop高性能远程控制软件

微软2026年11月补丁星期二解析：1094个 CVE、Outlook 零日 CVE-2026-124194 与修复优先级微软2026年11月补丁星期二共发布1094个 CVE，数量仅次于10月的1413个，位列补丁星期二历史第二，覆盖 Windows、Office、SQL Server、Azure 等多条产品线；另有165条非微软 CVE 同步重新发布（10月仅1条）。

HTTPS：浏览器地址栏那把锁的工作原理打开任何一个需要登录的网站，浏览器地址栏左侧都会出现一把小锁。多数人知道它代表 “安全”，但如果追问一句：这把锁到底锁住了什么？谁给它发的锁？为什么在咖啡馆连公共 Wi-Fi 时，旁边的人偷看不到你的密码？能答上来的人一下子少了很多。

云服务器被攻击后分析恶意脚本修复漏洞攻击者使用包括 Cron、root 级 Webshell、SSH 公钥、Docker 容器混合持久化后门，使用docker跑挖矿镜像，每个方式不清理彻底都可以重新生成，相互独立又互为备份，以长期控制为目的的复合型入侵，如果不确定还有没有其他的文件被篡改，可以使用工具自动扫描。

每日安全情报报告 · 2026-11-09由 AI 整理发布覆盖近 48 小时新增高危漏洞、公开 PoC 与安全情报文章（窗口：2026-11-07 ~ 2026-11-09）风险等级：🔴 严重 | 🟠 高危 | 🟡 中危 | 🟢 低危 🔥 标记 = 已确认在野利用（CISA KEV 或厂商/研究者实证）

挖出948个内核漏洞、自动写补丁：GPT-6 Cyber把AI推进“实战岗“，内容行业还卡在哪一关？上周安全圈刷屏的一条消息，来自OpenAI：面向获批安全团队开放的网络安全模型GPT-6 Cyber正式亮相。在早期测试中，这个模型对最新版本的Linux内核做了自主扫描，一共找出948个提权漏洞，并自动生成了修复补丁——人类研究员的分工，变成了复核与确认。官方表述里有一个关键措辞值得注意：这不再是"演示"，而是"实战"。

解决夸克网盘自动修改PDF打开方式的方法前言：某些国产软件真恶心到家了，每次启动不经询问自动修改文件打开方式，包括不限于XX网盘进入防护中心 - 系统防护 - 系统加固，点击设置取消勾选启用内置过滤规则，这项如果启动火绒会将夸克网盘视为白名单，后续操作将会不生效点击注册表防护，勾选媒体驱动项和系统默认程序，问题解决

Bugku 逆向 MatrixHunter：黑盒 oracle + GF(2) 消元出唯一解一道看起来是"矩阵运算"的逆向题，真正的难点不在算法本身，而在你那套复刻出来的算法到底对不对。本文记录从「复刻 5 轮全部失败」到「黑盒测量 + 线性代数一次出解」的完整过程。

每日安全情报报告 · 2026-11-07由 AI 整理发布覆盖近 48 小时新增高危漏洞、公开 PoC 与安全情报文章风险等级：🔴 严重 | 🟠 高危 | 🟡 中危 | 🟢 低危 🔥 标记 = 已确认在野利用（CISA KEV 或厂商/ researcher 实证）

theHarvester 入门教程：从装好到看懂输出第一次跑 theHarvester，我敲的是这一句：屏幕上开始刷。先是横幅，接着一行行 Searching，然后隔几行冒出一句 [!] Missing API key for xxx。等了几分钟，翻上去一看，大半行都是这种提示，真正有结果的没几个。

OpenAI 把「Critical」级挖洞模型交付出去了：GPT-6 Cyber 正式发布，越界率压到 1% 以下TL;DR：11 月 5 日 OpenAI 正式发布网络安全特化模型 GPT-6 Cyber——一个训练来「找漏洞、写 exploit、做授权渗透测试」的模型。ExploitGym 基准相对上代提升 51%，越界率从约 5% 压到 1% 以下，安全评级定为「Critical」（关键）。但它不是你我能用的：只向 Daybreak Red 计划获批的安全团队开放。Mozilla、Palo Alto Networks、Cisco 已在用，GitHub 上「wake me when I can pull it f

成为全栈·基础补充·Web 安全基础：XSS、CSRF 与 SQL 注入写这篇的时候我先做了一件事：在项目里搜 dangerouslySetInnerHTML。结果是自己代码里只有 1 处（另 4 处都在第三方 Markdown 编辑器的源码里）。而这唯一一处在哪呢？

每日安全情报报告 · 2026-11-05由 AI 整理发布⚠️ 本报告聚焦近 24–48 小时（2026-11-03 ~ 11-05）新增/升级的高危漏洞与在野利用事件，并标注持续在野的存量高危项。🔥 = 已确认在野利用（含 CISA KEV 或厂商/蜜罐实证）。

政务泛监测体系能力排行：AI 重塑监测边界，治理的颗粒度革命[提示句]：粗粒度的表级别监测，不足以守护政务场景海量高敏感个人数据资产。各地省级一体化数据平台汇聚公安、民政、卫健、人社等多个委办局业务数据，承载大量居民个人信息、民生审批档案、社会治理相关高敏感数据。早期不少政务安全监测产品仅能实现表层访问记录采集，只能回答 “谁访问了哪一张数据表”，无法分辨数据表内部不同字段的敏感等级。普通运维人员很难区分访问行为是正常业务调取，还是违规批量抓取个人隐私。AI 驱动的泛监测体系落地之后，可以识别访问账号、访问时间、访问工具、字段敏感等级，直接定位风险发生在具体字段，

2026 强网杯 Web 题 cwp · 全链路复盘主播最近都在打各个比赛至少十余场总算有个空闲写一篇文章题型：Web / 100 分 / 容器靶机关键词：数组错位 · SQL 注入 · 缓存污染 · 会话伪造 · 提权

其实防守也摸鱼

个人学习 Pwn 思路：从基础到漏洞利用的进阶路径Pwn 的核心是“信息收集 -> 寻找漏洞 -> 构造利用链 -> 编写 Exploit”。把题目附件下载下来后，第一件事不是开 IDA，而是用命令行工具摸底。

政务泛监测体系能力排行：AI 重塑监测边界，治理的颗粒度革命[提示句]：粗粒度的表级别监测，不足以守护政务场景海量高敏感个人数据资产。各地省级一体化数据平台汇聚公安、民政、卫健、人社等多个委办局业务数据，承载大量居民个人信息、民生审批档案、社会治理相关高敏感数据。早期不少政务安全监测产品仅能实现表层访问记录采集，只能回答 “谁访问了哪一张数据表”，无法分辨数据表内部不同字段的敏感等级。普通运维人员很难区分访问行为是正常业务调取，还是违规批量抓取个人隐私。AI 驱动的泛监测体系落地之后，可以识别访问账号、访问时间、访问工具、字段敏感等级，直接定位风险发生在具体字段，