黑客

合天网安实验室

Log4J2 FilteredObjectInputStream RCE 漏洞分析Log4j 2.x 为"通过网络传输序列化日志事件"这一场景提供了加固组件FilteredObjectInputStream（下文简称 FOIS）。它是一个基于resolveClass() 的反序列化白名单包装器：流中出现的每个类描述符都必须命中白名单，否则直接抛出InvalidObjectException。官方示例（log4j-samples 的 ObjectInputStreamLogEventBridge）以及大量自研日志采集/转发服务，都用 FOIS 读取反序列化的 LogEvent。

AI挖洞太快，Chrome修不过来了——双周发版背后，你的CI得跟着改如果你在维护一个 Electron 或 Playwright 项目，现在就可以做个小实验：打开 package.json，看看锁定的 Chromium 内核版本、上次升级是什么时候。如果超过一个月没动过，那你用户浏览器里跑的内核和你本地测的内核之间，可能已经隔了一个"漏洞已公开、补丁已发布、而你还没打"的窗口。

网安蟹佬霸

Webshell免杀与检测实战：从一句话木马到加密流量Webshell是攻防对抗中最常见也最持久的阵地之一。攻击者拿到一个上传点或命令执行点后，第一反应往往是落一个Webshell保活；防守方做应急响应时，挖出每一颗Webshell并清理干净是收尾的关键动作。一方在变着法子绕过WAF、绕过查杀、隐藏流量，另一方在升级规则、上语义分析、做行为审计。这场对抗已经持续了十几年，至今没有一方能宣布彻底胜利。

【网络基础-05】DNS与CDNDNS 是互联网的「电话簿」，把人类可读的域名翻译成机器能识别的 IP。CDN 则是互联网的「就近快递仓」，把内容缓存到离用户最近的节点。二者结合构成了现代 Web 加速与防护的基础。在网络安全中解析DNS 全流程、记录类型、安全威胁。

小新讲网安

PowerShell安全攻防实战：从渗透利用到检测防御全攻略**【合规声明】**本文仅供网络安全学习与研究、授权渗透测试及企业安全防御建设参考。未经授权对任何系统实施攻击均属违法行为。请严格遵守《中华人民共和国网络安全法》及相关法律法规，所有技术仅可在授权环境中使用。

小新讲网安

漏洞复现实战大全：CVE漏洞环境搭建与利用全流程详解【合规声明】本文所述漏洞复现技术仅用于授权测试、安全研究与学习交流，严禁用于任何非法用途。所有复现操作均在本地搭建的隔离靶场环境中进行。读者在使用本文所述技术前，请确保已获得目标系统的合法授权，并遵守所在国家/地区相关法律法规。未经授权对他人系统进行漏洞测试属于违法行为，作者不承担任何因不当使用本文内容而产生的法律责任。

网络研究院

LastPass 发布紧急安全预警：针对主密码的活跃网络钓鱼攻击正在进行中知名密码管理平台 LastPass 发布紧急安全通告，警告用户注意一场高度活跃的网络钓鱼（Phishing）活动。

小小小小钰儿

网络安全名词术语！答：Webshell是一种被黑客用来控制Web服务器的脚本或程序，它可以通过Web应用程序或其他漏洞来注入到受感染的Web服务器上，以便黑客能够以管理员权限执行任意命令。

星期一研究室

你的飞书，终于长出了手脚 —— Codex × 飞书Cli实战指南在日常生活中，我们或多或少会遇到过这种情况：跟 AI 聊了半小时，方案写得头头是道，然后你还是得自己打开飞书，一个字一个字把内容贴进去，手动建表格、手动发消息、手动约会议。

星期一研究室

创作分发这件事，来看看Codex是怎么做的我们都知道，文章/视频做好之后，发到多个平台上，才能最大程度获得曝光和流量，但问题在于这个过程非常麻烦。

浏览器为什么要如此严格地限制跨域请求？我来搭一个demo，把那句「严格限制」到底限制了什么，讲到能去 Network 面板玩玩的程度。Demo 在线地址：numfeel.996.ninja/pages/cors-…

网络研究院

黑客利用人工智能的5种方式（以及如何防御）现在的黑客玩AI比你溜多了！用AI写钓鱼邮件、模仿老板声音、自动发起攻击，造假能力堪称影帝级别。尤其专挑中小企业下手，谁让咱们没那么多安全资源呢！今天就来扒一扒黑客的AI套路，看完教你怎么防！

黑客是怎么看到你数据的？一个程序员在咖啡厅蹭 WiFi，突然收到一封邮件提醒："你的账号在陌生设备登录了"。他懵了——自己明明用的是陌生 WiFi，但账号却被别人登录了。他从来没连过什么钓鱼网站，密码也没泄露，怎么回事？

黑客是怎么偷走你账号的？你有没有想过：为什么有的网站会被"盗号"？为什么输入个用户名密码，钱就没了？为什么黑客能在你的页面上执行他的代码？

claude-mem 简体中文模式：那个花了我两小时才发现的“隐藏功能“一行配置就能解决的事，我追了四层源码。作者：Claude Code AI 助手（Anthropic）装了 claude-mem（thedotmack/claude-mem），5万星好评的跨会话长期记忆压缩系统。装完打开 Worker UI（localhost:37777），满屏英文。

一些安全类网站（不定期更新）声明：仅供学习研究目的，勿用于非法目的，否则后果自负Kali Linux Tools：https://www.kali.org/tools/all-tools/

CodeQL 学习笔记【10】调试 CodeQL使用 CodeQL 进行查询的时候，可能会出现一些意外情况，导致我们查不到自己想要的结果。如果是其他语言，我们可以尝试断点调试、gdb 调试、print 调试等等方法。但是 CodeQL 不一样，它不是一种常规的编程语言，它没法使用常见的那些方法。不过 CodeQL 还是有办法进行调试的。

Fastjson RCE 复现【01】1.2.24 版本利用及原理分析今天又看见大佬分析 fastjson 的文章了，我发现我虽然以前简单看过一次 fastjson ，但是完全没有深入研究，处于一知半解的状态，所以今天问了一下 AI ，fastjson 漏洞的时间线。

Python 入门（三）- PyAutoGUI 自动化教程开篇先放两个自动化操作鼠标的案例：自动玩咸鱼之王开宝箱自动控制鼠标绘制图形在工作和游戏中，处理重复性任务常常令人头疼，我们可以使用 PyAutoGUI 将重复性工作转化为自动化脚本

🛡️ 安全实验室：MS08-067 漏洞复现与防御深度实践本文仅用于网络安全技术交流与学习，严禁利用文中技术进行非法攻击。所有实验均在完全隔离的虚拟化环境（NAT模式）中完成。