运维123 - 安全
type: channel
link: https://www.sddts.cn/index.php/tag/%E5%AE%89%E5%85%A8/
items: 首次披露！国家级电网险遭大停电，数十处电站通信设备被攻击瘫痪
items: 关于 LLM 漏洞利用生成即将工业化的思考
items: NetAlertX 网络入侵检测与设备监控技术分析
items: MySQL 在 2026 年不再是真正的开源软件技术分析
items: Certificate Inspector：基于 Playwright 的全链路 SSL 证书检测工具
items: cURL 移除漏洞赏金项目技术分析
items: APT24 组织 BadAudio 恶意软件攻击活动技术分析
items: 中国主机托管生态系统中的恶意软件 C2 基础设施分析
items: Tangles AI 监控系统：美国警方隐秘手机追踪技术深度分析
items: Web-Check 全能 OSINT 网站分析工具技术分析

首次披露！国家级电网险遭大停电，数十处电站通信设备被攻击瘫痪
type: item
date: 2026-01-29T22:16:35+00:00
description: 首次披露！国家级电网险遭大停电，数十处电站通信设备被攻击瘫痪安全内参编译安全内参在小说阅读器中沉浸阅读关注我们带你读懂网络安全结合多家安全厂商的事件响应报告，波兰电网险遭大停电事件，带有明显的IT、OT协同攻击特征，攻击者通过防火墙等边界系统漏洞突破了数十个分布式电站的网络防护，劫持RTU通信设备令其无法运行和恢复，并在IT网络传播数据擦除器，试图造成停电影响。前情回顾·我怎么被黑的？从瘫痪到恢复：一家老牌医院如何熬过勒索软件攻击后的5个月？因外包人员失误：这家保险巨头内网沦陷、发生严重数据泄露事件Okta被黑溯源：系统设计曝重大漏洞，机器账号未做安全防护勒索攻击溯源报告：一个帐号被盗，一个城市政务服务停摆安全内参1月29日消息，去年12月，波兰电网基础设施遭遇了一次网络攻击，险些引发大规模停电。最新报告显示，黑客对该国不同地区的多处能源设施发动攻击，至少导致约30个站点的通信设备失效。美国工控安全公司Dragos参与了其中一家受攻击组织的取证调查。Dragos表示，黑客成功禁用了用于监测和控制其他设备的通信系统，这类系统被称为远程终端单元（RTU）。黑客攻击让这些RTU无法运行，且无法修复。不过，在这近30个站点中，此次攻击并未引发停电，也未对发电和输电设备造成其他影响。Dragos表示，攻击者针对的大多数设备并非直接隶属于控制基础设施，而是与电网安全和稳定性监测相关的系统。尽管它们不是主动的发电控制系统，但在监测功能和维持电网稳定方面仍发挥着重要作用。该公司指出，如果攻击者获得了这些系统的完全运行控制权，可能会造成"显著不同"的影响。Dragos还表示，此次攻击似乎是"机会主义"的，而非经过充分策划和精准定向的行动。受影响的站点由多家能源实体负责管理，其中包括2家热电联产电厂，以及多处用于管理风电和光伏等可再生能源调度的设施。Dragos并未披露其调查涉及的是哪一家实体。同时破坏IT、OT系统以扩大攻击影响欧洲终端安全厂商ESET上周发布报告披露称，此次攻击涉及一种被称为擦除器（wiper）的恶意软件，其目的是擦除目标设施中IT系统上的文件。不过，目前尚不清楚攻击者是否实际启动了该擦除功能来清除这些系统。结合Dragos披露的最新情况，可以推断，这是一场多管齐下的网络攻击，同时针对了IT系统和OT（运营技术）系统。IT系统通常是工程师用于监控和管理运行情况的笔记本电脑或台式Windows系统，而OT系统则是工厂或设施中执行实际功能或操作的工业设备。通过同时攻击IT和OT系统，攻击者不仅能够扰乱运行，还能削弱工程师监控这些功能或恢复运行的能力，从而放大攻击影响。这正是2015年针对乌克兰电网的一次攻击中所发生的情况，而那次攻击被认为同样由袭击波兰的这一组织实施。在那次行动中，黑客结合了多种手段来扩大停电影响。他们使用脚本断开断路器，引发停电，同时还覆盖了RTU上的固件，使操作人员无法向RTU下达重新接通断路器、恢复供电的指令。他们还擦除了操作人员的IT系统，以制造混乱，使其更难从攻击中恢复并恢复供电。Dragos表示，波兰此次攻击缺乏这种协调有序的攻击序列，可能是因为黑客攻击的近30个站点中，每一个站点都需要执行不同的人工操作才能产生影响，无法通过单一的自动化工具同时攻击所有站点。攻击者偏向"机会主义"动机尽管波兰遭到的这次攻击被发现时，尚未对电网造成任何影响，但波兰当局表示，如果攻击成功，可能会导致多达50万名波兰民众断电。这意味着，如果攻击者操纵或禁用了其已获得访问权限的OT设备，确实有可能引发大规模停电。Dragos表示，攻击者具备造成比仅仅禁用通信设备更大破坏的能力，但此次攻击看起来更像是机会主义行为，而非精准定向、周密策划的行动。更有可能的是，黑客发现了一些存在漏洞、可以被访问的系统，并对其进行测试和探索，试图了解自己能够做到什么，但缺乏足够的时间和准备来实施更进一步的破坏。如果给予更多时间，攻击者本可以造成更为严重的影响，而他们最终只是利用了当时能够利用的一切。Dragos写道："这次行动看起来十分仓促，但无法评估其背后的原因。"不过，Dragos指出，即便假设攻击者采取了更多行动，由于波兰当前电网的结构方式，此类攻击更可能导致局部停电，而非全国范围内的大规模停电。Dragos表示，波兰发生的事件是对电网运营商的一次警告：规模较小的可再生能源系统如今也已成为攻击目标。这是首起针对分布式能源资源的重大网络攻击，而这些较小规模的风电、光伏和热电联产设施，正日益成为全球电网的重要组成部分。沙虫组织被指为幕后黑手以上信息来自Dragos公司前天（周二）发布的分析报告。据波兰政府及波兰计算机应急响应团队预告，他们将在明天（周五）发布一份包含更多技术细节的报告。波兰政府已将矛头指向俄罗斯，ESET也以"中等置信度"将此次攻击…

关于 LLM 漏洞利用生成即将工业化的思考
type: item
date: 2026-01-24T00:09:18+00:00
description: 一、新闻概述1. 标题关于 LLM 漏洞利用生成即将工业化的思考2. 发布时间2026 年 1 月 18 日3. 来源Sean Heelan's Blog二、核心内容1. 事件摘要A. 主要内容安全研究员 Sean Heelan 发布了一项实验结果，展示了使用 Opus 4.5 和 GPT-5.2 构建 AI 代理，在 QuickJS JavaScript 解释器中针对零日漏洞自动生成漏洞利用代码的能力。B. 核心亮点AI 代理在 6 种不同场景下成功构建了 40 多种不同的漏洞利用代码GPT-5.2 解决了所有场景，Opus 4.5 解决了除两个外的所有场景在最困难的挑战中，GPT-5.2 在 3 小时内花费 5000 万 tokens（约 50 美元）成功解决了涉及多重防护机制的复杂漏洞利用作者提出，攻击性网络安全的许多组成部分正在走向"工业化"，即组织完成任务的能力将受到其 token 吞吐量的限制，而非雇用的黑客数量2. 关键信息A. 实验规模两种模型：Opus 4.5 和 GPT-5.2目标：QuickJS JavaScript 解释器中的零日漏洞6 种不同场景，40 多种不同的漏洞利用代码每次 agent 运行限制 3000 万 tokens每次 agent 运行成本约 30 美元（Opus 4.5）B. 最困难挑战的技术细节目标：向指定路径写入指定字符串防护措施：地址空间布局随机化、不可执行内存、完整 RELRO、QuickJS 二进制文件上的细粒度 CFI、硬件强制影子栈、防止 shell 执行的 seccomp 沙箱、剥离了所有访问操作系统和文件系统功能的 QuickJS 构建解决方案：GPT-5.2 通过 glibc 的 exit 处理程序机制链接 7 个函数调用耗时：5000 万 tokens，约 3 小时成本：约 50 美元（单次 agent 运行）C. 涉及技术QuickJS JavaScript 解释器地址空间布局随机化（ASLR）不可执行内存（NX）完整 RELRO（Relocation Read-Only）控制流完整性（CFI）影子栈（Shadow Stack）Seccomp 沙箱面向返回编程（ROP）3. 背景介绍A. 前置版本Sean Heelan 曾在 2025 年 5 月发布文章，介绍如何使用 o3 发现 Linux kernel SMB 实现中的远程零日漏洞 CVE-2025-37899。B. 相关上下文OpenAI 的 Aardvark 项目已显示，花费的 tokens 越多，发现的漏洞越多，质量越高Anthropic 报告称，中国黑客团队正在使用其 API 协调攻击作者此前拥有漏洞利用生成领域的研究背景，包括 2019 年的 Gollum 项目和 PhD 论文三、详细报道1. 主要内容A. 实验概述作者在 QuickJS JavaScript 解释器中引入了一个零日漏洞，并添加了各种现代漏洞利用缓解措施、各种约束（如假设未知的堆起始状态，或禁止漏洞利用中使用硬编码偏移）和不同目标（生成 shell、写入文件、连接回命令和控制服务器）。B. AI 代理的能力两个代理都将 QuickJS 漏洞转化为"API"，允许他们读取和任意修改目标进程的地址空间由于该漏洞是没有公开漏洞利用代码的零日，此能力必须由代理通过阅读源代码、调试和试错来开发大多数挑战在不到一小时内且相对廉价地解决在最困难的挑战中，需要链接多个函数调用来写入文件，但影子栈防止 ROP，沙箱防止简单地生成 shell 进程来解决问题C. 漏洞利用防护机制的缺口生成的漏洞利用代码未展示任何防护机制的新型通用破坏它们利用了这些防护机制中的已知缺陷和实际部署中存在的缺口这些是人类漏洞利用开发者也利用的相同缺口，因为他们通常也不会为每个漏洞利用想出防护措施的新型破坏新颖的是整体漏洞利用链。由于 QuickJS 漏洞是以前未知的（直到作者发现，或者更准确地说：作者的 Opus 4.5 漏洞发现代理发现的），根据定义这是真实的GPT-5.2 解决最困难挑战的方法对作者来说也是新颖的，尚未能在网上找到任何书面示例2. 技术细节A. 工业化定义作者所说的"工业化"是指组织完成任务的能力将受到其能够投入到该任务中的 token 数量的限制。为了使任务以这种方式"工业化"，需要两个条件：基于 LLM 的代理必须能够搜索解决方案空间。它必须有操作环境、适当的工具，且不需要人工协助。进行真正的"搜索"的能力，以及在花费更多 token 时覆盖更多解决方案空间，也需要模型具有处理信息、对信息做出反应并做出合理决策以推动搜索前进的某种基线能力。在作者的实验中，Opus 4.5 和 GPT-5.2 似乎具备这种能力。代理必须有某种方式验证其解决方案。验证器…

NetAlertX 网络入侵检测与设备监控技术分析
type: item
date: 2026-01-24T00:05:10+00:00
description: NetAlertX 网络入侵检测与设备监控技术分析一、项目概述1. 基本信息A. 项目定位NetAlertX 是一个开源的自托管网络监控解决方案，用于检测和跟踪 WiFi/LAN 网络中的设备。当网络中出现新的未知设备时，系统会自动发送警报通知。B. 核心价值网络可见性：实时监控网络中所有连接的设备安全防护：及时发现未授权的网络入侵设备管理：维护完整的网络设备清单隐私保护：自托管方案，数据完全本地化C. 适用场景家庭实验室网络监控中小型企业网络管理网络安全审计设备库存管理2. 项目背景A. 开源状态仓库地址：https://github.com/netalertx/NetAlertX许可证：开源项目社区活跃度高，持续更新B. 发展历程2025 年，NetAlertX 获得广泛关注：Lawrence Systems 发布了详细教程Virtualization Howto 推出了家庭实验室部署指南Reddit r/homelab 社区热烈讨论C. 技术特点基于 ARP 协议的设备检测无需代理软件，被动扫描支持 Docker 容器化部署Web 界面管理二、核心功能1. 设备检测与发现A. ARP 扫描机制NetAlertX 使用 ARP（Address Resolution Protocol）协议来发现网络中的设备：发送 ARP 请求到目标子网收集 ARP 响应，建立设备清单持续监控网络变化检测新设备的加入和现有设备的离线B. 设备信息收集为每个检测到的设备收集以下信息：IP 地址和 MAC 地址设备厂商（通过 OUI 查询）主机名（通过 DNS 反向查询）设备状态（在线/离线）首次发现时间和最后活跃时间2. 警报系统A. 新设备警报当检测到新的未知设备时：触发实时警报通知支持多种通知渠道（如 Webhook、邮件等）记录设备加入时间B. 设备状态变化通知设备离线警报设备重新上线通知IP 地址变更检测3. 设备管理功能A. 设备标记与分类将已知设备标记为"已识别"为设备添加自定义名称和分组维护设备白名单B. 设备历史记录记录设备的连接历史追踪设备活动模式生成设备在线统计三、技术架构1. 系统架构graph TB subgraph 网络层 A[路由器/交换机] B[已知设备] C[未知设备] end subgraph NetAlertX 容器 D[ARP 扫描引擎] E[设备数据库] F[Web 服务器] G[警报引擎] end subgraph 用户界面 H[Web Dashboard] I[通知渠道] end A --> D B --> D C --> D D --> E D --> G F --> E F --> G H --> F G --> I2. 核心组件A. ARP 扫描引擎持续发送 ARP 请求解析 ARP 响应数据包维护设备状态表B. 设备数据库存储设备信息（IP、MAC、主机名等）记录设备连接历史管理设备分类和标签C. Web 服务器提供 Web DashboardRESTful API 接口用户认证和会话管理D. 警报引擎监控设备变化事件匹配警报规则发送通知到配置的渠道3. 数据流向sequenceDiagram participant N as 网络设备 participant S as ARP 扫描引擎 participant DB as 设备数据库 participant A as 警报引擎 participant U as 用户 N->>S: ARP 响应 S->>DB: 查询设备是否已知 DB-->>S: 返回设备状态 alt 新设备 S->>A: 触发新设备警报 A->>U: 发送通知 else 已知设备 S->>DB: 更新设备活跃时间 end S->>DB: 保存设备信息四、安装与部署1. Docker 部署（推荐）A. 环境要求Docker 20.10+Docker Compose（可选）网络适配器访问权限B. 快速启动docker run -d \ --name netalertx \ --network host \ -v /path/to/data:/app/db \ jokobsk/netalertx:latestC. Docker Compose 部署version: '3' services: netalertx: image: jokobsk/netalertx:latest container_name: netalertx network_mode: host volumes: - ./data:/app/db restart: unless-stopped2. 配置要点A. 网络模式使用 network_mode: host 确保容器能够：访问宿主机的网络接口执行 ARP 扫…

MySQL 在 2026 年不再是真正的开源软件技术分析
type: item
date: 2026-01-23T21:45:13+00:00
description: MySQL 在 2026 年不再是真正的开源软件技术分析一、新闻概述1. 标题停止在 2026 年使用 MySQL，它不是真正的开源软件2. 发布时间2026 年 1 月 11 日3. 来源Optimized by Otto二、核心内容1. 事件摘要A. 主要内容Otto Kekalainen 发布文章呼吁在 2026 年停止使用 MySQL，转而使用 MariaDB。文章指出 MySQL 虽然使用 GPL 开源协议，但并非真正的开源项目，开发过程完全闭门进行，社区贡献受到限制。B. 核心亮点MySQL GitHub 提交量在 2025 年显著下降Oracle 收购后 MySQL 社区逐渐萎缩MySQL 技术质量从 2022 年开始明显下滑2025 年 MySQL 公布 123 个 CVE，而 MariaDB 仅 8 个2. 关键信息A. 涉及产品MySQL 8.0/8.4/9.5MariaDBPercona ServerTiDBB. 重要数据2025 年 MySQL CVE 数量：123 个2025 年 MariaDB CVE 数量：8 个全球 57% 的 WordPress 网站使用 MariaDBMySQL 9.5 写密集型工作负载吞吐量比 8.0 下降约 15%C. 历史背景2009 年 Oracle 收购 Sun Microsystems 和 MySQL2018 年 MySQL 8.0 发布2024 年 MySQL 8.4 LTS 发布2025 年 Oracle 大幅削减 MySQL 团队人员三、详细报道1. 开源性质问题A. 开发模式对比graph LR subgraph MySQL_开发模式 M1[Oracle 内部开发] --> M2[闭门开发] M2 --> M3[社区提交 PR] M3 --> M4[无反馈/被忽略] M4 --> M5[发布新版本] end subgraph MariaDB_开发模式 N1[GitHub 公开开发] --> N2[实时审查] N2 --> N3[社区参与讨论] N3 --> N4[Jira 公开追踪] N4 --> N5[透明发布] endB. MySQL 社区问题所有开发在闭门环境中进行公开 Bug 跟踪器并非 Oracle 实际使用的系统社区提交的 Pull Request 缺乏反馈代码变更通常被重写，原作者仅在博客中获小额提及Git 作者/提交者字段仅包含 Oracle 员工C. MariaDB 开放模式所有开发在 github.com/mariadb/server 实时进行任何人都可以提交 Pull Request 并获得审查所有 Bug 在 jira.mariadb.org 公开讨论符合真正开源项目的运作模式2. 技术质量下滑A. 关键技术问题版本问题影响MySQL 8.0.29ALTER TABLE 默认 in-place 有边界情况缺陷数据库崩溃、数据损坏MySQL 8.0.32一年后才完全修复用户数据风险持续MySQL 8.1仅作为短期预览版本功能不完整MySQL 8.4 LTS新功能极少用户失望MySQL 9.5写密集型工作负载性能下降 15%性能退化B. 版本发布问题8.0 系列被宣布为"常青"版本小版本引入功能变更而非仅修复 Bug6 年无新的主要版本（2018-2024）升级路径困难（5.7->8.0、8.0->8.4）大量功能废弃导致迁移复杂C. 性能退化对比graph LR A[MySQL 8.0] -->|基线性能| B[100%] B -->|MySQL 9.5| C[85%] C -->|下降| D[15%] D --> E[工作负载: 写密集型]3. 安全与透明度A. CVE 数量对比（2025）数据库CVE 数量独有 CVEMySQL123117MariaDB8-B. 安全处理方式差异MySQL：CVE 描述缺乏详细信息示例：CVE-2025-53067 仅说明"高权限攻击者可通过多种协议轻易利用"无可验证的漏洞细节用户必须信任 Oracle 声称已修复典型描述："Easily exploitable vulnerability allows high privileged attacker with network access via multiple protocols to compromise MySQL Server"真正的开源项目：安全问题在禁运期结束后完全公开代码修复可供全面审查可验证漏洞存在性和修复有效性社区可审查修复方案是否充分C. 安全影响分析graph TD A[闭源安全处理] --> B[缺乏详细信息] B --> C[无法验证漏洞] C --> D[无法审查修复] D --> E[完全依赖供应商信任] E -…

Certificate Inspector：基于 Playwright 的全链路 SSL 证书检测工具
type: item
date: 2026-01-22T21:49:37+00:00
description: Certificate Inspector：基于 Playwright 的全链路 SSL 证书检测工具一、新闻概述1. 标题Certificate Inspector：使用 Playwright 捕获网页完整网络足迹的 SSL 证书检测工具2. 发布时间2025 年 1 月（GitHub 开源项目）3. 来源GitHub 开源仓库：shanselman/cert-inspector二、核心内容1. 事件摘要A. 主要内容Certificate Inspector 是一款基于 Node.js 和 Playwright 的 Web 工具，能够检测网页加载过程中所有域名的 SSL 证书和 DNS 记录。其核心创新在于使用无头浏览器捕获完整请求树，包括 JavaScript 动态加载的资源、广告、追踪器和 API 调用。B. 核心亮点完整请求树捕获：通过 Playwright 无头 Chromium 拦截所有网络请求多维度证书检测：SSL 详情、证书链、TLS 版本、HSTS 状态健康度仪表板：颜色编码状态、进度条可视化、按紧急程度排序多视图展示：详细表格、摘要卡片、时间线三种视图多种部署方式：独立可执行文件、Docker、Codespaces、本地开发2. 关键信息A. 技术栈后端：Node.js + Express浏览器自动化：Playwright（无头 Chromium）证书解析：Node.js 原生 tls 模块B. 开源协议MIT LicenseC. 部署选项Windows/macOS/Linux 可执行文件Docker 容器GitHub Codespaces（云端运行）本地开发环境3. 背景介绍A. 痛点分析传统 SSL 检测工具存在以下局限：仅检测主域名，无法发现第三方资源无法捕获 JavaScript 动态加载的连接无法识别隐藏的追踪器和 API 调用缺乏可视化的健康度评估B. 解决方案通过 Playwright 模拟真实用户访问，拦截所有网络请求，实现对网页完整网络足迹的全面检测。三、详细报道1. 主要功能A. 深度检测完整请求树捕获：使用无头 Chromium 加载页面并捕获所有网络请求DNS 查询：每个域名的 IPv4/IPv6 地址和 CNAME 记录SSL 证书详情：主题、颁发者、有效期、序列号、指纹证书链：查看完整的信任链TLS 版本：检测域名是否使用 TLS 1.2 或 1.3HSTS 状态：检查是否启用 Strict-Transport-Security响应时间：测量到每个域名的连接延迟B. 健康度仪表板颜色编码状态：绿色（健康）、黄色（即将过期，小于等于 30 天）、红色（已过期/无效）、灰色（无 HTTPS）进度条：证书健康状况的可视化分解按紧急程度排序：问题优先显示剩余天数：大号可扫描的数字显示C. 多视图展示详细视图：完整表格，可展开证书详情摘要视图：紧凑卡片网格，快速扫描时间线视图：证书过期的可视化时间线D. 工具与过滤器搜索：按域名过滤状态过滤：按健康状态显示/隐藏颁发者过滤：按证书颁发机构分组（Let's Encrypt、DigiCert 等）深色模式：护眼模式点击复制：域名、指纹、序列号导出：下载 JSON 或 CSV 格式结果2. 技术架构A. 系统组成graph TB User[用户浏览器] -->|访问| WebUI[Web 界面] WebUI -->|提交 URL| API[Express API 服务器] API -->|创建页面| Playwright[Playwright 无头浏览器] Playwright -->|加载页面| Target[目标网页] Playwright -->|拦截请求| Network[网络请求拦截器] Network -->|提取域名| DNS[DNS 解析器] Network -->|提取证书| TLS[TLS 证书解析器] DNS -->|返回结果| API TLS -->|返回结果| API API -->|返回数据| WebUIB. 核心工作流程sequenceDiagram participant U as 用户 participant W as Web 界面 participant P as Playwright participant T as 目标网页 participant D as DNS 解析 participant C as 证书检查 U->>W: 输入 URL W->>P: 创建浏览器上下文 P->>T: 加载目标页面 P->>P: 拦截所有网络请求 loop 每个请求 P->>D: 解析 DNS 记录 P->>C: 检查 SSL 证书 D-->>P: IP 地址、CNAME C-->>P: 证书详情、链、TLS 版本 e…

cURL 移除漏洞赏金项目技术分析
type: item
date: 2026-01-21T12:11:17+00:00
description: cURL 移除漏洞赏金项目技术分析一、新闻概述1. 标题cURL 移除漏洞赏金项目以应对 AI 生成垃圾报告2. 发布时间2026 年 1 月 20 日3. 来源Elektroniktidningen（瑞典电子行业新闻网站）二、核心内容1. 事件摘要A. 主要内容开源代码库 cURL 宣布移除漏洞赏金项目，终止通过报告漏洞获得经济报酬的机制。B. 核心亮点cURL 被大量 AI 生成的错误报告淹没移除赏金机制以减少 AI 垃圾报告的激励知名漏洞猎人 Joshua Rogers 支持这一决定历史上共支付 101,020 美元赏金给 87 个漏洞报告2. 关键信息A. 涉及产品cURL 开源代码库B. 重要数据历史赏金总额：101,020 美元获赏报告数量：87 个单个赏金上限：10,000 美元AI 辅助的有效报告：超过 100 个C. 生效时间2026 年 1 月底3. 背景介绍A. cURL 项目cURL 是一个广泛使用的开源命令行工具和库，用于传输数据，支持多种协议如 HTTP、HTTPS、FTP 等。B. 问题起源cURL 维护者 Daniel Stenberg 去年曾发表关于 AI 生成漏洞报告的文章《Death by a thousand slops》，揭示了开源项目面临的 AI 垃圾报告泛滥问题。三、详细报道1. 主要内容A. 问题现状cURL 项目收到了大量 AI 生成的错误报告，其中绝大多数都是毫无意义的垃圾内容。其他开源项目也面临同样的困境。B. 决策原因判定这些报告是否为垃圾内容非常耗时，给维护者带来了大量额外工作。AI 生成的垃圾报告和低质量报告近期不断增加，必须尝试遏制这股洪流，否则项目将被淹没。C. 官方声明cURL 维护者 Daniel Stenberg 表示：「我们希望这能减少人们发送垃圾内容的激励。我们花费了太多时间处理那些非真实、夸大或被误解的发现所产生的垃圾。」2. 技术细节A. AI 报告的两面性并非所有 AI 生成的漏洞报告都是垃圾。虽然无法确定具体比例，但 Daniel Stenberg 知道有超过 100 个由 AI 辅助生成的优秀报告，最终导致了代码修正。B. 漏洞赏金历史cURL 项目历年来的漏洞赏金数据：总报告数：87 个总赏金：101,020 美元平均赏金：约 1,161 美元/个3. 专家观点A. Joshua Rogers 的支持Joshua Rogers 是一位知名的漏洞猎人，去年曾向多个开源项目提交了大量由 AI 工具辅助生成的漏洞报告。与纯粹的 AI 生成不同，他会在提交前仔细审查并补充 AI 的分析。尽管自己活跃于漏洞挖掘领域，他认为移除赏金是个极好的主意，早就应该这么做了。他在 2025 年底的一篇文章中记录了这一观点。B. 关于激励机制当被问及移除赏金是否会消除代码审查的激励时，Joshua Rogers 表示：「这是一个激励，但不是全部激励，特别是对于那些真正重要的报告。」他认为：「发现 cURL 漏洞的真正激励是名声（品牌是无价的），而不是几百或几千美元。对于能够在 cURL 中发现关键漏洞的人来说，10,000 美元（cURL 最高赏金）并不是什么大钱。」C. 经济不对称性Joshua Rogers 指出了开发者与安全研究员之间的不对称关系：「无论研究员身处发达国家还是发展中国家，他们为开发者提供的价值是相同的。但另一方面，赏金对每个报告者的价值并不相同——在低收入地区，对瑞典人来说只是一顿午餐费用的赏金，对那些低收入地区的人来说可能是巨款。」graph LR A[AI 工具] -->|生成报告| B{质量审查} B -->|垃圾报告| C[维护者审核] B -->|有效报告| D[代码修正] C -->|消耗时间| E[项目负担加重] F[漏洞赏金] -->|经济激励| G[大量提交] G -->|包含| A H[移除赏金] -->|减少激励| I[垃圾报告减少]四、影响分析1. 行业影响A. 开源项目的普遍问题cURL 并非唯一面临 AI 垃圾报告困扰的开源项目。随着 AI 工具的普及，越来越多的开源维护者报告了类似问题。B. 漏洞赏金模式的反思cURL 的决定可能引发其他开源项目重新审视其漏洞赏金计划。传统上，漏洞赏金被视为激励安全研究的有效手段，但在 AI 时代可能需要新的机制。2. 用户影响A. 真实安全研究员对于真正有能力发现漏洞的安全研究员，这一决定影响有限。正如 Joshua Rogers 所指出的，真正的激励在于声誉和专业认可，而非经济报酬。B. AI 滥用者移除赏金将直接减少那些依赖 AI 批量生成垃圾报告以获取经济利益的行为。3. 技术趋势A. AI 时代的开源安全挑战开源项目需要在鼓励安全研究和防范 AI 滥用之间找到平衡。可能的…

APT24 组织 BadAudio 恶意软件攻击活动技术分析
type: item
date: 2026-01-20T06:12:57+00:00
description: APT24 组织 BadAudio 恶意软件攻击活动技术分析一、新闻概述1. 标题中国背景 APT24 组织利用 BadAudio 恶意软件入侵合法网站实施攻击2. 发布时间2025 年 11 月 21 日3. 来源Cyber Security News二、核心内容1. 事件摘要A. 主要内容与中国相关的 APT24 高级持续性威胁组织发起了为期三年的恶意软件投放活动，利用高度混淆的 BadAudio 第一阶段下载器实现对目标组织的持久化网络访问。B. 核心亮点APT24 组织展示了从广泛的战略性 Web 入侵转向精确针对性攻击的能力攻击重点转向台湾地区的实体组织结合多种攻击向量：供应链入侵和定向钓鱼攻击利用合法云存储平台（Google Drive、OneDrive）分发恶意载荷2. 关键信息A. 涉及组织APT24（与中国相关的网络间谍组织）B. 攻击工具BadAudio：高度混淆的第一阶段下载器C. 攻击时间线活动持续：约三年BadAudio 出现：2022 年 11 月开始武器化D. 目标区域主要针对台湾地区的实体和组织3. 背景介绍A. 组织历史APT24 是已知的网络间谍组织，此前主要利用战略性 Web 入侵（Strategic Web Compromise）技术进行广泛攻击。B. 攻击演变组织近期转向多向量攻击模式，结合供应链入侵和钓鱼攻击，展示出战术升级。三、详细报道1. 主要内容A. 攻击方式转变APT24 组织从广泛机会主义攻击转向更精确的针对性攻击：供应链入侵：针对台湾地区的数字营销公司定向钓鱼：伪装成动物救援组织的邮件水坑攻击：入侵超过 20 个合法网站注入恶意 JavaScriptB. BadAudio 恶意软件特征BadAudio 是一个用 C++ 编写的自定义第一阶段下载器，具有以下特点：下载、解密并执行 AES 加密的载荷从硬编码的命令与控制服务器获取指令收集系统信息（主机名、用户名、系统架构）使用 Cookie 参数加密传输数据，规避检测C. 技术细节控制流平坦化混淆BadAudio 采用了控制流平坦化（Control Flow Flattening）技术，这是一种高级混淆方法，通过系统性破坏程序的自然逻辑结构来增加逆向分析难度。DLL 劫持技术恶意软件主要以动态链接库形式存在，利用 DLL 搜索顺序劫持（Search Order Hijacking）通过合法应用程序获取执行权限。加密载荷传递后续载荷使用硬编码的 AES 密钥解密，已被确认为 Cobalt Strike Beacon，提供完整的远程访问能力。2. 技术细节A. 攻击流程graph TB A[受害者访问合法网站] --> B[注入恶意JS重定向] B --> C[下载BadAudio下载器] C --> D[DLL劫持执行] D --> E[收集系统信息] E --> F[加密数据通过Cookie传输] F --> G[下载AES加密载荷] G --> H[Cobalt Strike Beacon] H --> I[建立持久化后门]B. 战略性 Web 入侵攻击流sequenceDiagram participant V as 受害者 participant CW as 合法网站 participant Att as 攻击者基础设施 participant C2 as C2服务器 V->>CW: 访问网站 CW->>Att: 恶意JS重定向 Att->>V: 返回BadAudio下载器 V->>V: DLL劫持执行 V->>C2: 发送加密信标 C2->>V: 返回加密载荷 V->>V: 解密执行BeaconC. JavaScript 供应链攻击graph LR A[数字营销公司] --> B[JS库被入侵] B --> C[恶意代码注入] C --> D[客户端访问] D --> E[重定向至攻击者] E --> F[BadAudio载荷下载]D. 性能指标攻击持续时间：三年被入侵网站数量：超过 20 个合法网站加密强度：AES 加密检测规避：Cookie 参数加密传输3. 数据与事实A. 攻击范围持续时间：约三年目标区域：台湾地区被入侵网站：20+ 合法公共网站B. 技术特点编程语言：C++混淆技术：控制流平坦化加密算法：AES后门工具：Cobalt Strike BeaconC. 攻击载体恶意 JavaScript 注入加密压缩包（VBS、BAT、LNK 文件）合法云存储平台（Google Drive、OneDrive）四、影响分析1. 行业影响A. 供应链安全威胁数字营销公司成为攻击跳板，凸显供应链安全的重要性。第三方服务提供商的安全状况直接影响下游客户。B. 水坑攻击趋势合法网站被入侵用于攻击访客，水坑攻击（Wateri…

中国主机托管生态系统中的恶意软件 C2 基础设施分析
type: item
date: 2026-01-19T15:04:53+00:00
description: 中国主机托管生态系统中的恶意软件 C2 基础设施分析一、概述1. 研究背景随着网络威胁的不断演变，恶意软件命令与控制（C2）基础设施的规模和复杂性持续增长。Hunt.io 通过其 Host Radar 平台对中国主机托管生态系统进行了大规模分析，发现了一个令人担忧的现象：超过 18000 个活跃的 C2 服务器分布在中国的 48 家主要基础设施提供商网络中。2. 研究意义这项研究揭示了威胁情报分析中的一个关键问题：传统的基于单一威胁指标（如 IP 地址或域名）的威胁狩猎方法存在局限性。当将恶意基础设施从国家层面进行系统性分析时，可以发现不同攻击活动之间共享的基础设施模式。3. 核心发现A. 基础设施规模在 90 天的观察期内，检测到 21629 个恶意基础设施指标，其中包括：超过 18000 个 C2 服务器2837 个钓鱼网站528 个恶意开放目录134 个公开的入侵指标（IOC）B. 分布特征中国联通单独承载了近一半的 C2 服务器（约 9100 个），阿里巴巴云和腾讯分别承载约 3300 个，显示出恶意活动在大型电信和云平台中的高度集中。二、中国恶意基础设施格局1. 按提供商分布的分析A. 中国联通中国联通作为中国最大的电信提供商之一，表现出最高的 C2 服务器数量，90 天内检测到 9000 个，同时还有 30 个恶意开放目录和 11 个 IOC。仅这一家提供商就占分析期间中国主机托管环境中观察到的所有 C2 基础设施的近一半。B. 阿里巴巴云作为领先的云服务提供商，阿里巴巴云显示出显著的 C2 存在，有 3300 个服务器和 37 个钓鱼网站。值得注意的是，它没有开放目录或 IOC，这反映了云环境主要用于弹性命令与控制操作，而不是暴露的恶意工件。C. 腾讯腾讯作为中国大型科技集团，展示了更多样化的恶意足迹。在 90 天内，它托管了 3300 个 C2 服务器、122 个开放目录、26 个 IOC 和 2400 个钓鱼网站，表明其广泛的面向互联网服务（包括社交媒体、游戏和电商平台）被大量滥用。D. 中国电信相比之下，中国电信显示适度的 C2 活动，同期有 617 个服务器和 42 个开放目录，反映了对国有电信基础设施的目标性利用。E. JD.comJD.com 作为主要的电商提供商，表现出最小的恶意活动，有 385 个 C2 服务器，没有开放目录、IOC 或钓鱼网站，这表明零售网络与大型电信和云平台相比，吸引力较低或被滥用程度较低。graph TD A[中国恶意基础设施分布] --> B[中国联通 9000 C2] A --> C[阿里巴巴云 3300 C2] A --> D[腾讯 3300 C2 + 2400 钓鱼] A --> E[中国电信 617 C2] A --> F[JD.com 385 C2] B --> G[占比 ~50%] C --> H[云平台滥用] D --> I[多样化恶意活动] E --> J[电信基础设施利用] F --> K[零售网络相对安全]2. 恶意基础设施类型分布A. C2 基础设施主导地位数据显示，C2 基础设施主导了观察到的恶意活动，约占所有观察到的恶意工件的 84%，其次是钓鱼基础设施约占 13%，而恶意开放目录和公开 IOC 合计贡献不到 4% 的观察活动。B. 前十大托管商按 C2 服务器检测数量排名的前十家公司中，中国联通是最大的贡献者，检测到 9100 个 C2 服务器，占此数据集中所有观察到的 C2 活动的近一半。阿里巴巴云和腾讯紧随其后，各自约有 3300 个 C2 检测，表明对大规模云环境的大量滥用，这些环境提供快速配置和高可用性。中国电信排名第四，有 620 个检测，而 JD.com 以 385 个 C2 服务器完成前五名。graph LR A[恶意基础设施分布] --> B[C2 服务器 84%] A --> C[钓鱼网站 13%] A --> D[开放目录 <4%] A --> E[公开 IOC <4%] B --> F[18000+ 服务器] C --> G[2837 网站] D --> H[528 目录] E --> I[134 IOC]三、恶意软件家族分布1. 主导恶意软件类型通过 HuntSQL 分析，中国网络中托管的 C2 基础设施按恶意软件家族分布如下：A. Mozi 恶意软件Mozi 以 9427 个唯一 C2 IP 为主导，占所有观察到的 C2 活动的一半以上。这是一个基于 IoT 的僵尸网络，通过针对物联网设备（特别是路由器和摄像头）进行传播。B. ARL 框架第二大集群 ARL（2878 个 C2）表明，红队或后渗透框架被大量重新用于恶意操作。C. 商业框架和商品僵尸网络中层威胁如 Cobalt Strike（1204）、Vshell（83…

Tangles AI 监控系统：美国警方隐秘手机追踪技术深度分析
type: item
date: 2026-01-19T12:01:44+00:00
description: Tangles AI 监控系统：美国警方隐秘手机追踪技术深度分析一、新闻概述1. 标题德克萨斯州警方投资数百万美元购置隐秘手机追踪软件 Tangles，拒绝披露使用详情2. 发布时间2026 年 1 月 13 日3. 来源The Texas Observer二、核心内容1. 事件摘要A. 主要内容德克萨斯州各级执法机构在过去几年中投资至少 800 万美元购买名为 Tangles 的 AI 监控软件。该软件由以色列科技公司 Cobwebs Technologies 开发，后被 PenLink Ltd 收购。其核心功能是通过商业数据追踪手机移动轨迹，无需搜查令即可进行大规模监控。B. 核心亮点无搜查令监控：通过第三方商业数据绕过司法审查大规模投资：德州公共安全部签署 530 万美元的 5 年合同使用不透明：机构拒绝提供具体使用案例和效果宪法争议：民权组织认为违反第四修正案2. 关键信息A. 版本号/发布内容Tangles 监控平台（版本未公开）WebLoc 插件：地理围栏追踪功能B. 重要数据投资总额：联邦和德州机构至少 800 万美元德州公共安全部：530 万美元（230 个用户，5 年合同）移民海关执法局（ICE）：约 200 万美元毒品执法局（DEA）：超过 1000 万美元戈利亚德县：约 30 万美元C. 涉及产品/技术Tangles 监控平台WebLoc 追踪插件商业位置数据经纪服务3. 背景介绍A. 前置版本/历史2014 年：Cobwebs Technologies 由以色列特种部队前成员成立2023 年：PenLink Ltd 收购 Cobwebs2018 年：美国最高法院在 Carpenter v. United States 案中裁定获取手机位置数据需要搜查令B. 相关上下文这是德州公共安全部「孤星行动」（Operation Lone Star）的一部分，该行动是州长 Greg Abbott 的数十亿美元边境军事化任务。三、详细报道1. 主要内容A. 功能更新Tangles 核心能力：开放网络情报（OSINT）收集深网和暗网数据抓取WebLoc 地理围栏追踪：在虚拟区域内追踪移动设备设备识别号码追踪（非姓名追踪）数据来源：在线广告生态系统的位置数据用户同意共享位置的应用程序B. 技术改进技术架构：graph TB A[移动设备用户] --> B[应用程序] B --> C[位置数据收集] C --> D[数据经纪人] D --> E[Tangles 数据库] E --> F[执法机构用户] E --> G[WebLoc 插件] G --> H[地理围栏分析] H --> I[设备移动轨迹] I --> J[执法行动]关键发现：位置数据通常滞后数天，非实时追踪不能搜索姓名或电话号码仅显示设备识别号码（广告生态系统中的 ID）与其他监控工具（无人机、车牌读取器）结合使用效果更佳C. 政策变化美国法律框架：2018 年 Carpenter 案确立：从电信公司获取位置数据需要搜查令商业数据漏洞：从数据经纪人购买相同数据无需司法审查德州法律未明确要求警方记录 AI 监控技术的使用国际使用：萨尔瓦多：2020 年国家警察购买 Tangles2021 年：立法允许无搜查令监控数据在司法中使用2. 技术细节A. 架构变化数据流向分析：sequenceDiagram participant U as 移动设备用户 participant App as 应用程序 participant DB as 数据经纪人 participant T as Tangles participant L as 执法机构 U->>App: 同意位置共享 App->>DB: 出售位置数据 DB->>T: 数据聚合 L->>T: 创建地理围栏 T->>L: 返回设备移动轨迹 L->>L: 分析与调查B. 性能指标系统限制：数据延迟：通常为数天（历史数据）搜索能力：不支持姓名或电话号码搜索识别方式：仅限广告生态系统中的设备 IDC. 兼容性说明平台兼容性：与德州现有监控工具整合（无人机网络、自动车牌读取器）支持多机构协同（近 60 个德州机构共享）3. 数据与事实A. 投资明细德州机构支出：机构金额用途德州公共安全部（DPS）530 万美元230 用户，5 年合同戈利亚德县警长办公室约 30 万美元反走私任务组ICE 情报办公室约 200 万美元2025 年合同DEA超过 1000 万美元多个合同B. 机构覆盖使用机构（部分）：达拉斯警察局休斯顿警察局基林警察局蒙哥马利县警长办公室近 20 个德州警长办公室C. 实际使用案例已知案例：戈利亚德县：使用酒类收据 + 地理围栏追踪人口走私嫌疑人（未导致逮捕）图森市（亚利桑那）：监控副总统哈里斯访问期间的抗议者追…

Web-Check 全能 OSINT 网站分析工具技术分析
type: item
date: 2026-01-19T01:37:31+00:00
description: Web-Check 全能 OSINT 网站分析工具技术分析一、概述1. 项目背景Web-Check 是由开发者 Lissy93（Alicia Sykes）创建的开源 OSINT（Open Source Intelligence，开源情报）工具。该项目旨在为安全研究人员、渗透测试人员、网站运维人员提供一个综合性的网站分析平台，通过单一界面获取目标网站的全方位技术情报。A. 项目定位类型：All-in-one OSINT 工具许可证：MIT 开源许可目标用户：安全研究人员、渗透测试人员、红队成员、网站管理员、系统运维人员B. 核心价值传统网站分析通常需要使用多个独立工具分别查询 DNS、SSL、服务器信息等，Web-Check 将这些功能整合到统一平台，大幅提升分析效率。2. 关键数据A. 项目热度GitHub Stars：30.2kGitHub Forks：2.4k贡献者：29 人支持者：GitHub Sponsors 平台活跃B. 技术栈TypeScript：65.5%JavaScript：18.5%Astro：11.7%SCSS：2.1%HTML：1.1%Dockerfile：0.6%C. 部署方式在线 Demo：https://web-check.as93.net官方网站：https://web-check.xyzDocker 镜像：支持一键部署云平台：Netlify、Vercel 一键部署二、核心功能1. 功能模块概览Web-Check 集成了 20+ 个检测模块，涵盖网站分析的各个维度。以下是核心功能分类：A. 基础信息收集IP 信息：获取目标 IP 地址、地理位置、ISP 信息DNS 记录：解析 A、AAAA、MX、TXT、CNAME 等各类 DNS 记录Whois 查询：域名注册信息、注册人、注册时间等域名信息：域名年龄、注册商、DNS 服务器B. 安全分析SSL 证书链：SSL/TLS 证书详细信息、颁发机构、有效期安全配置：HTTP 安全头、CSP、HSTS 等配置检测防火墙检测：识别 WAF、防火墙规则恶意软件检测：检查域名是否被列入黑名单C. 服务器分析服务器位置：物理位置推断开放端口：常用端口扫描Traceroute：路由跳数追踪关联主机名：同服务器托管的其他域名（需 Shodan API）D. 技术栈识别Tech Stack：识别前端框架、后端技术、CMS、服务器软件HTTP 头：响应头分析、服务器指纹识别Cookie：Cookie 设置分析爬虫规则：robots.txt、sitemap.xml 解析E. 内容分析页面地图：网站结构可视化关联页面：内外链分析社交媒体标签：Open Graph、Twitter Card 等元标签截图：网页截图获取F. 性能与质量网站性能：加载时间、资源大小质量指标：Lighthouse 分数（需 Google API）碳足迹：估算网站碳排放G. 高级功能重定向链：追踪 HTTP 重定向路径TLS 密码套件：支持的加密套件分析TLS 安全配置：TLS 版本、协议配置TLS 握手模拟：模拟连接过程DNS 安全扩展：DNSSEC 记录查询历史存档：Wayback Machine 历史记录全球排名：网站流量排名估算封锁检测：检测是否被防火墙封锁邮箱配置：SPF、DMARC、DKIM 记录2. 系统架构graph TB User[用户] --> WebUI[Web 界面] WebUI --> API[API 服务] API --> DNS[DNS 查询模块] API --> SSL[SSL 分析模块] API --> Server[服务器探测模块] API --> Scanner[爬虫与分析模块] API --> External[外部 API 集成] DNS --> Response[(分析结果)] SSL --> Response Server --> Response Scanner --> Response External --> Response Response --> WebUI External -.Shodan/Google/WhoAPI.-> ExternalAPI[第三方服务]3. 数据流向sequenceDiagram participant U as 用户 participant W as Web UI participant A as API 层 participant M as 分析模块 participant E as 外部服务 U->>W: 输入目标域名 W->>A: 发起分析请求 A->>M: 调用多个检测模块 M->>E: 查询外部 API（可选） E-->>M: 返回增强数据 M-->>A: 返回模块结果 A-->>W: 汇总分析数据 W-…