运维123 - 网络安全
type: channel
link: https://www.sddts.cn/index.php/tag/%E7%BD%91%E7%BB%9C%E5%AE%89%E5%85%A8/
items: archive.today 利用用户浏览器发起 DDoS 攻击事件分析
items: 网站证书从担心到不担心：证书链信任机制深度解析
items: 首次披露！国家级电网险遭大停电，数十处电站通信设备被攻击瘫痪
items: OpenSSL 3.6.1 正式发布技术分析
items: HSBC邮件追踪像素事件技术分析
items: DynoWiper 恶意软件针对波兰电网攻击技术分析
items: reCAPTCHA 验证码技术原理与未来发展分析
items: Reticulum 加密网络栈技术分析
items: APT24 组织 BadAudio 恶意软件攻击活动技术分析
items: 中国 AI 势力圈扩张战略技术分析（上）

archive.today 利用用户浏览器发起 DDoS 攻击事件分析
type: item
date: 2026-02-03T14:27:30+00:00
description: archive.today 利用用户浏览器发起 DDoS 攻击事件分析一、新闻概述1. 标题archive.today 利用用户浏览器对个人博客发起 DDoS 攻击2. 发布时间2026 年 2 月 1 日3. 来源Gyrovague 个人博客（gyrovague.com）二、核心内容1. 事件摘要A. 主要内容知名网页存档服务 archive.today 被曝利用访问其验证码（CAPTCHA）页面的用户浏览器，对 Gyrovague 博客发起分布式拒绝服务攻击。B. 核心亮点archive.today 在验证码页面注入恶意 JavaScript 代码每 300 毫秒向目标博客发起随机字符串搜索请求阻止响应缓存，最大化资源消耗事件源于一篇 2023 年发布的 archive.today 调查文章2. 关键信息A. 攻击时间线攻击开始时间：约 2026 年 1 月 11 日首次公开发现：2026 年 1 月 14 日（Hacker News 用户 rabinovich）B. 涉及技术JavaScript 定时器（setInterval）Fetch APICORS no-cors 模式Referrer 策略隐藏C. 攻击目标目标网站：Gyrovague（gyrovague.com）攻击向量：随机字符串搜索请求资源消耗：服务器 CPU 和带宽3. 背景介绍A. 前置事件2023 年 8 月 5 日，Gyrovague 发布了一篇题为《archive.today：追踪互联网神秘的游击队档案员》的调查文章，使用 OSINT 技术分析了该网站的历史、技术栈和资金来源，并提及三个与网站相关的化名。B. 相关上下文2025 年 11 月：FBI 传唤 archive.today 的域名注册商 Tucows2026 年 1 月：有人以 GDPR 投诉尝试要求删除该文章2026 年 1 月：archive.today 网站管理员邮件要求暂时删除文章三、详细报道1. 攻击技术分析A. 恶意代码分析archive.today 在其验证码页面注入以下 JavaScript 代码：setInterval(function() { fetch("https://gyrovague.com/?s=" + Math.random().toString(36).substring(2, 3 + Math.random() * 8), { referrerPolicy: "no-referrer", mode: "no-cors" }); }, 300);代码功能解析：使用 setInterval 每 300 毫秒执行一次请求生成随机字符串作为搜索参数（防止缓存）使用 no-cors 模式绕过跨域限制使用 no-referrer 策略隐藏来源B. 攻击原理graph LR A[用户访问 archive.today] --> B[重定向到 CAPTCHA 页面] B --> C[加载恶意 JavaScript] C --> D[每 300ms 发起请求] D --> E[Gyrovague.com 服务器] E --> F[生成随机搜索 URL] F --> E E --> G[服务器资源消耗]C. 防御措施uBlock Origin 等广告拦截器可阻止请求执行2026 年 1 月 21 日，gyrovague.com 被添加到 DNS 阻止列表2. 事件时间线A. 时间线概览时间事件2023-08-05发布 archive.today 调查文章2025-11-05Heise Online 报道 FBI 调查 archive.today2025-11-13AdGuard DNS 披露 WAAD 组织施压事件2026-01-08收到 GDPR 投诉（Nora Puchreiner）2026-01-10archive.today 管理员邮件要求删除文章2026-01-11DDoS 攻击开始（推测时间）2026-01-14Hacker News 用户首次公开发现攻击2026-01-21gyrovague.com 被添加到 DNS 阻止列表2026-01-25archive.today 方面发出威胁邮件B. 关键事件详解GDPR 投诉事件：投诉人：Nora Puchreiner投诉内容：文章包含大量个人数据，语调和语境具有诽谤性质处理结果：Automattic（WordPress.com）支持文章作者，拒绝删除邮件沟通记录：archive.today 管理员要求暂时删除文章数月作者提议修改部分措辞，拒绝完全删除后续邮件演变为威胁，包括人身攻击3. 身份迷雾A. 相关身份Nora Puchreiner：发送 GDPR 投诉的联系人在 Hacker News 上评论过原始文章拥…

网站证书从担心到不担心：证书链信任机制深度解析
type: item
date: 2026-02-03T07:52:38+00:00
description: 网站证书从担心到不担心：证书链信任机制深度解析一、背景：为什么会担心证书到期？假设一个网站域名是 www.baidu.com，由第三方客户通过 curl 进行调用。通过 sitecertcheck 工具检查发现，该网站的证书链中的中间证书有效期到 2028 年。问题来了：到了 2028 年，用户的 curl 调用是否依然有效呢？证书过期后会不会导致 HTTPS 连接失败？这是一个常见的担心，尤其是对于需要长期稳定运行的系统集成场景。二、证书链结构分析2.1 www.baidu.com 的证书链使用 sitecertcheck 工具检查 www.baidu.com 的证书链，发现其证书链包含 3 级证书：graph TB subgraph "客户端信任库" Root[根证书 GlobalSign Root CA 系统预置信任] end subgraph "服务器返回的证书链" Server[#1 服务器证书 CN=baidu.com 📅 2026-08-10到期 188天] Inter1[#2 中间证书 GlobalSign RSA OV SSL CA 2018 📅 2028-11-21到期 1021天] Inter2[#3 中间证书 GlobalSign Root CA - R3 📅 2028-01-28到期 724天] end Server -->|签发| Inter1 Inter1 -->|签发| Inter2 Inter2 -->|签发| Root style Server fill:#e3f2fd style Inter1 fill:#fff3e0 style Inter2 fill:#fff3e0 style Root fill:#e8f5e92.2 证书链关键信息摘要级别证书类型主题有效期截止剩余天数#1服务器证书CN=baidu.com2026-08-10188天#2中间证书GlobalSign RSA OV SSL CA 20182028-11-211021天#3中间证书GlobalSign Root CA - R32028-01-28724天可以看到，证书链中的 中间证书 最晚将在 2028 年到期。这正是我们担心的焦点。三、证书验证流程当客户端（如 curl）访问 www.baidu.com 时，SSL/TLS 握手和证书验证的完整流程如下：sequenceDiagram participant C as 客户端 (curl) participant S as 服务器 (www.baidu.com) participant T as 系统信任库 (/etc/ssl/cert.pem) Note over C,S: TLS握手开始 C->>S: 1. ClientHello（支持的加密套件） S->>C: 2. ServerHello + 证书链 （3个证书：服务器+2个中间证书） Note over C: 证书链验证开始 C->>C: 3. 验证证书#1签名 （使用证书#2的公钥） C->>C: 4. 验证证书#2签名 （使用证书#3的公钥） C->>T: 5. 查找根证书 （查询：GlobalSign Root CA - R3） T-->>C: 6. 返回匹配的根证书 （有效期至2029-03-18） C->>C: 7. 验证证书#3签名 （使用根证书公钥） Note over C: ✅ 信任链验证通过 C->>S: 8. 建立加密连接核心验证步骤证书链完整性验证：逐级验证每个证书的数字签名，确保证书由上级 CA 合法签发信任锚点查找：在系统信任库（如 /etc/ssl/cert.pem）中查找根证书有效期检查：确认当前时间在所有证书的有效期内验证结果通过 sitecertcheck 检查，当前验证结果为：✅ 证书链验证：通过✅ 系统信任：匹配根证书 #97（GlobalSign Root CA - R3）✅ 根证书有效期：2029-03-18（剩余 1139 天）四、为什么不用担心 2028 年到期？4.1 系统信任库中的 GlobalSign 根证书通过 sitecertcheck listca 命令查看系统信任库，发现系统中预置了 多个 GlobalSign 根证书，有效期各不相同：序号根证书有效期截止剩余天数#34/#35GlobalSign2038-01-194367天#64GlobalSign2034-12-103231天#97GlobalSign Root CA - R32029-03-181139天#101GlobalSign Root CA2028-01-28724天关键发现：系统中有 GlobalSign 根证书的有效期可达 2038 年，远远超过当前中间证书的到期时间。4.2 证书续…

首次披露！国家级电网险遭大停电，数十处电站通信设备被攻击瘫痪
type: item
date: 2026-01-29T22:16:35+00:00
description: 首次披露！国家级电网险遭大停电，数十处电站通信设备被攻击瘫痪安全内参编译安全内参在小说阅读器中沉浸阅读关注我们带你读懂网络安全结合多家安全厂商的事件响应报告，波兰电网险遭大停电事件，带有明显的IT、OT协同攻击特征，攻击者通过防火墙等边界系统漏洞突破了数十个分布式电站的网络防护，劫持RTU通信设备令其无法运行和恢复，并在IT网络传播数据擦除器，试图造成停电影响。前情回顾·我怎么被黑的？从瘫痪到恢复：一家老牌医院如何熬过勒索软件攻击后的5个月？因外包人员失误：这家保险巨头内网沦陷、发生严重数据泄露事件Okta被黑溯源：系统设计曝重大漏洞，机器账号未做安全防护勒索攻击溯源报告：一个帐号被盗，一个城市政务服务停摆安全内参1月29日消息，去年12月，波兰电网基础设施遭遇了一次网络攻击，险些引发大规模停电。最新报告显示，黑客对该国不同地区的多处能源设施发动攻击，至少导致约30个站点的通信设备失效。美国工控安全公司Dragos参与了其中一家受攻击组织的取证调查。Dragos表示，黑客成功禁用了用于监测和控制其他设备的通信系统，这类系统被称为远程终端单元（RTU）。黑客攻击让这些RTU无法运行，且无法修复。不过，在这近30个站点中，此次攻击并未引发停电，也未对发电和输电设备造成其他影响。Dragos表示，攻击者针对的大多数设备并非直接隶属于控制基础设施，而是与电网安全和稳定性监测相关的系统。尽管它们不是主动的发电控制系统，但在监测功能和维持电网稳定方面仍发挥着重要作用。该公司指出，如果攻击者获得了这些系统的完全运行控制权，可能会造成"显著不同"的影响。Dragos还表示，此次攻击似乎是"机会主义"的，而非经过充分策划和精准定向的行动。受影响的站点由多家能源实体负责管理，其中包括2家热电联产电厂，以及多处用于管理风电和光伏等可再生能源调度的设施。Dragos并未披露其调查涉及的是哪一家实体。同时破坏IT、OT系统以扩大攻击影响欧洲终端安全厂商ESET上周发布报告披露称，此次攻击涉及一种被称为擦除器（wiper）的恶意软件，其目的是擦除目标设施中IT系统上的文件。不过，目前尚不清楚攻击者是否实际启动了该擦除功能来清除这些系统。结合Dragos披露的最新情况，可以推断，这是一场多管齐下的网络攻击，同时针对了IT系统和OT（运营技术）系统。IT系统通常是工程师用于监控和管理运行情况的笔记本电脑或台式Windows系统，而OT系统则是工厂或设施中执行实际功能或操作的工业设备。通过同时攻击IT和OT系统，攻击者不仅能够扰乱运行，还能削弱工程师监控这些功能或恢复运行的能力，从而放大攻击影响。这正是2015年针对乌克兰电网的一次攻击中所发生的情况，而那次攻击被认为同样由袭击波兰的这一组织实施。在那次行动中，黑客结合了多种手段来扩大停电影响。他们使用脚本断开断路器，引发停电，同时还覆盖了RTU上的固件，使操作人员无法向RTU下达重新接通断路器、恢复供电的指令。他们还擦除了操作人员的IT系统，以制造混乱，使其更难从攻击中恢复并恢复供电。Dragos表示，波兰此次攻击缺乏这种协调有序的攻击序列，可能是因为黑客攻击的近30个站点中，每一个站点都需要执行不同的人工操作才能产生影响，无法通过单一的自动化工具同时攻击所有站点。攻击者偏向"机会主义"动机尽管波兰遭到的这次攻击被发现时，尚未对电网造成任何影响，但波兰当局表示，如果攻击成功，可能会导致多达50万名波兰民众断电。这意味着，如果攻击者操纵或禁用了其已获得访问权限的OT设备，确实有可能引发大规模停电。Dragos表示，攻击者具备造成比仅仅禁用通信设备更大破坏的能力，但此次攻击看起来更像是机会主义行为，而非精准定向、周密策划的行动。更有可能的是，黑客发现了一些存在漏洞、可以被访问的系统，并对其进行测试和探索，试图了解自己能够做到什么，但缺乏足够的时间和准备来实施更进一步的破坏。如果给予更多时间，攻击者本可以造成更为严重的影响，而他们最终只是利用了当时能够利用的一切。Dragos写道："这次行动看起来十分仓促，但无法评估其背后的原因。"不过，Dragos指出，即便假设攻击者采取了更多行动，由于波兰当前电网的结构方式，此类攻击更可能导致局部停电，而非全国范围内的大规模停电。Dragos表示，波兰发生的事件是对电网运营商的一次警告：规模较小的可再生能源系统如今也已成为攻击目标。这是首起针对分布式能源资源的重大网络攻击，而这些较小规模的风电、光伏和热电联产设施，正日益成为全球电网的重要组成部分。沙虫组织被指为幕后黑手以上信息来自Dragos公司前天（周二）发布的分析报告。据波兰政府及波兰计算机应急响应团队预告，他们将在明天（周五）发布一份包含更多技术细节的报告。波兰政府已将矛头指向俄罗斯，ESET也以"中等置信度"将此次攻击…

OpenSSL 3.6.1 正式发布技术分析
type: item
date: 2026-01-29T07:13:00+00:00
description: OpenSSL 3.6.1 正式发布技术分析一、新闻概述1. 标题守护互联网安全的 OpenSSL 3.6.1 正式发布，修复多个高危漏洞2. 发布时间2025 年 1 月（具体日期未在原文中注明）3. 来源民工哥技术之路微信公众号二、核心内容1. 事件摘要A. 主要内容OpenSSL 项目正式发布 OpenSSL 3.6.1 版本，这是 3.6 版本的首个维护更新版本。该版本主要聚焦于安全漏洞修复、稳定性增强和功能改进。B. 核心亮点修复 12 个 CVE 安全漏洞，包括多个高危漏洞解决回归问题，恢复 3.6.0 之前的部分行为新增 LMS 签名验证和 FIPS 186-5 标准支持引入 NIST 安全等级分类和新的密钥管理接口2. 关键信息A. 版本号OpenSSL 3.6.1B. 重要数据修复漏洞数量：12 个 CVE涉及组件：PKCS#12、CMS、TLS 1.3、BIO、OCSP 等C. 涉及产品OpenSSL 加密库、FIPS 提供程序3. 背景介绍A. 前置版本OpenSSL 3.6 系列是 OpenSSL 3.x 的最新分支，3.6.1 是该系列的首个维护版本。B. 相关上下文OpenSSL 是互联网最广泛使用的加密库之一，为 HTTPS、VPN、SSH 等协议提供底层加密支持。此次更新对于维护网络安全具有重要意义。三、详细报道1. 主要内容A. 漏洞修复OpenSSL 3.6.1 修复了 12 个 CVE 安全漏洞，其中包括：CVE-2025-11187：PKCS#12 MAC 验证中 PBMAC1 参数验证不当CVE-2025-15467：CMS AuthEnvelopedData 解析中的栈缓冲区溢出CVE-2025-15468：SSL_CIPHER_find() 函数空指针解引用CVE-2025-15469：OpenSSL dgst 静默截断大于 16 MiB 的输入CVE-2025-66199：TLS 1.3 CompressedCertificate 过度内存分配CVE-2025-68160：BIO_f_linebuffer 堆越界写入CVE-2025-69418：OCB 函数调用中未经身份验证的尾随字节CVE-2025-69419：PKCS12_get_friendlyname() UTF-8 转换越界写入CVE-2025-69420：TS_RESP_verify_response() 缺少 ASN1_TYPE 验证CVE-2025-69421：PKCS12_item_decrypt_d2i_ex() 空指针解引用CVE-2026-22795：PKCS#12 解析缺少 ASN1_TYPE 验证CVE-2026-22796：PKCS7_digest_from_attributes() ASN1_TYPE 类型混淆B. 稳定性增强回归问题修复恢复 X509_V_FLAG_CRL_CHECK_ALL 标志的 3.6.0 之前行为修复钉扎 OCSP 响应处理时的握手失败问题错误处理优化修复 BIO_f_linebuffer 在短写入时的堆越界写入修复 PKCS12_item_decrypt_d2i_ex() 函数空指针解引用C. 功能改进加密能力提升为 PKEY 对象引入 NIST 安全等级分类支持 EVP_SKEY 不透明对称密钥对象新增三个密钥派生函数接口：EVP_KDF_CTX_set_SKEY、EVP_KDF_derive_SKEY、EVP_PKEY_derive_SKEY合规性增强默认和 FIPS 提供程序中加入 LMS（Leighton-Micali 签名）验证实现基于 FIPS 186-5 标准的确定性 ECDSA 签名生成工具使用体验优化新增 openssl configutl 工具，用于读取和解析 OpenSSL 配置文件2. 技术细节A. 漏洞分类graph TD A[OpenSSL 3.6.1 漏洞] --> B[缓冲区溢出类] A --> C[指针引用类] A --> D[验证缺失类] A --> E[内存管理类] B --> B1[CMS 栈溢出] B --> B2[BIO 堆越界写入] B --> B3[UTF-8 越界写入] C --> C1[SSL_CIPHER_find 空指针] C --> C2[PKCS12 空指针] D --> D1[PKCS#12 验证不当] D --> D2[ASN1_TYPE 验证缺失] D --> D3[类型混淆] E --> E1[TLS 1.3 过度分配] E --> E2[dgst 静默截断]B. 架构变化OpenSSL 3.6.1 在架构层面的变化主要体现在提供程序模块的增强：graph LR A[OpenSSL 核心] --> B[…

HSBC邮件追踪像素事件技术分析
type: item
date: 2026-01-29T06:18:19+00:00
description: HSBC 邮件追踪像素事件技术分析一、事件概述1. 事件背景2025 年 9 月，HSBC 银行向一位客户发送实体信函，声称发送给该客户的邮件被「退回且无法送达」，要求客户更新账户中的电子邮件地址。然而，客户实际上一直正常接收银行的所有邮件。2. 核心问题HSBC 使用追踪像素来监控客户是否阅读邮件，但该技术被隐私保护工具拦截，银行错误地将「无法追踪」理解为「邮件未送达」。3. 事件严重程度用户影响：误导性通知导致客户困扰安全风险：使用未加密 HTTP 传输追踪像素隐私问题：未经同意的邮件阅读监控二、事件经过1. 初始阶段：收到误导性信函客户收到 HSBC 实体信函，内容如下：声称发给客户的邮件被「退回且无法送达」要求客户更新在线银行账户中的电子邮件地址标注为「需要采取行动」然而，客户的邮箱中实际上正常存放着来自 HSBC 的最新邮件。2. 在线验证阶段客户按照信函指示登录银行账户，发现：账户中记录的电子邮件地址完全正确无需进行任何更新3. 客服沟通阶段A. 在线客服回应通过银行应用程序与客服代表 Ankitha 进行长达一小时沟通后，对方坚持表示：「如果银行发送了这封信，您就必须更新电子邮件地址」B. 电话客服回应直接致电客户服务部门后获得不同答复：「如果您的电子邮件地址已经正确，则可以忽略我们的来信」三、技术分析1. 追踪像素工作原理HSBC 在其邮件底部嵌入了追踪像素代码： A. 追踪像素是什么追踪像素是 1×1 像素的微小图片，通常为透明或白色，用于秘密追踪邮件阅读行为。B. 工作机制sequenceDiagram participant B as 银行服务器 participant E as 邮件服务器 participant C as 客户端 participant T as 追踪服务器 B->>E: 发送含追踪像素的邮件 E->>C: 投递邮件 C->>C: 用户打开邮件 C->>T: 请求加载追踪图片 T->>B: 记录阅读事件C. 追踪像素与传统回执的区别特性传统邮件回执追踪像素用户知情需要用户同意完全隐藏信息内容已读状态阅读时间、频率、次数可靠性依赖用户选择依赖客户端设置隐私保护有用户控制无用户控制2. 问题根因分析A. 直接原因客户使用隐私保护工具拦截了追踪像素，导致 HSBC 无法收到阅读确认。B. 深层原因（5 Whys 分析）为什么 HSBC 认为邮件未送达？因为追踪像素未被触发为什么追踪像素未被触发？因为客户的隐私保护工具拦截了追踪请求为什么 HSBC 依赖追踪像素确认送达？因为监控资本主义已普遍化，银行假设追踪技术 100% 可靠为什么银行不使用更可靠的验证方式？因为便利性和隐蔽性优先于准确性为什么会产生系统性误判？因为监控资本主义已透明化，银行无法想象用户会拒绝被监控C. 核心矛盾追踪像素的设计初衷是秘密监控，而不是确认送达。两者存在本质区别：确认送达：邮件成功到达收件箱追踪像素：收件人打开了邮件（且未拦截追踪）四、安全问题1. 未加密传输风险HSBC 使用 HTTP 而非 HTTPS 协议传输追踪像素，导致以下风险：A. 网络监听风险当客户在公共 WiFi（如咖啡馆）打开银行邮件时：同一网络的其他人可看到追踪请求攻击者可获知客户使用的银行攻击者可知道客户正在查看银行邮件B. 中间人攻击风险未加密连接允许攻击者：注入恶意内容到邮件底部篡改追踪像素参数执行其他攻击行为2. 隐私侵犯问题A. 超范围数据收集追踪像素可记录：阅读时间戳阅读次数阅读频率可能的 IP 地址和设备信息B. 未经同意的监控未征求用户同意未提供关闭选项违反隐私设计原则五、系统性问题分析1. 监控资本主义普遍化问题的核心在于监控资本主义已变得如此普遍，以至于：银行假设追踪技术 100% 可靠银行无法想象用户会拒绝被监控银行将「无法追踪」等同于「无法送达」2. 邮件系统的设计原则电子邮件最初设计的核心原则：发送方无法知道收件人是否已读邮件收件人完全控制阅读行为隐私保护是内置特性追踪像素破坏了这些原则，引入了:发送方监控能力未经用户同意的数据收集隐私侵犯机制六、改进建议1. 技术层面改进A. 最低要求：使用加密连接将所有追踪像素从 HTTP 改为 HTTPS防止网络监听和数据泄露降低中间人攻击风险B. 停止依赖不可靠的代理认识到追踪像素不等于送达确认建立更可靠的邮件验证机制接受隐私保护是用户的合法选择C. 最佳实践：停止邮件监控尊重用户隐私权遵循「最小必要」数据收集原则实践银行自身发布的数据伦理原则2. 流程层面改进A. 准确的信函模板原模板错误之处：声称邮件「退回且无法送达」标注「需要采取行动」威胁要求更新电子邮件地址改进后的模板应说明：「需要确认您能收到我们的邮件」「请检查您是否收到我们的邮件」「请验证账户中的电子邮件地址是否正…

DynoWiper 恶意软件针对波兰电网攻击技术分析
type: item
date: 2026-01-26T12:43:22+00:00
description: DynoWiper 恶意软件针对波兰电网攻击技术分析一、新闻概述1. 标题波兰能源电网遭新型擦除器恶意软件攻击，但未能切断电力供应2. 发布时间2026 年 1 月 24 日3. 来源Ars Technica二、核心内容1. 事件摘要A. 主要内容2025 年 12 月最后一周，波兰电力网络遭到擦除器（wiper）恶意软件攻击，该攻击试图破坏可再生能源设施与配电运营商之间的通信，但最终未能成功。B. 核心亮点首次发现针对波兰电网的新型擦除器恶意软件 DynoWiper攻击发生在俄罗斯攻击乌克兰电网 10 周年当天ESET 研究人员以中等置信度将此次攻击归因于俄罗斯黑客组织 Sandworm2. 关键信息A. 攻击时间2025 年 12 月最后一周B. 攻击目标波兰电力网络，特别是可再生能源设施与配电运营商之间的通信系统C. 攻击工具DynoWiper 擦除器恶意软件3. 背景介绍A. Sandworm 组织历史Sandworm 是与俄罗斯政府有关的 APT 组织，长期代表克里姆林宫发动破坏性攻击。该组织最著名的攻击包括 2015 年 12 月对乌克兰电网的攻击，导致约 23 万人在一年中最寒冷的月份停电约 6 小时。这是首次已知的由恶意软件 facilitat 的停电事件。B. 相关上下文此次针对波兰的攻击发生在乌克兰电网攻击 10 周年当天，具有明显的象征意义。ESET 研究人员指出，攻击使用的战术、技术和程序（TTP）与 Sandworm 之前的多起擦除器攻击高度重合。三、详细报道1. 主要内容A. 攻击细节攻击类型：擦除器（wiper）恶意软件攻击攻击目标：可再生能源设施与配电运营商之间的通信攻击结果：未能成功破坏电力供应B. 攻击归因ESET 研究人员基于对恶意软件和相关 TTP 的分析，以中等置信度将此次攻击归因于与俄罗斯结盟的 Sandworm APT 组织。归因依据包括与之前分析的多次 Sandworm 擦除器活动的强烈重叠。C. 恶意软件特征DynoWiper 是一种擦除器恶意软件，其功能是永久擦除服务器上存储的代码和数据，目标是完全摧毁操作。2. 技术细节A. 擦除器工作原理graph TB A[攻击者植入恶意软件] --> B[权限提升与横向移动] B --> C[定位关键系统] C --> D[DynoWiper 执行] D --> E[擦除系统文件] E --> F[擦除引导记录] F --> G[系统无法重启]B. Sandworm 历史攻击时间线timeline title Sandworm 组织主要攻击时间线 2015-12 : 首次电网攻击 : 乌克兰 23 万人停电 6 小时 2017-06 : NotPetya : 全球性破坏性蠕虫爆发 2022-02 : AcidRain : 破坏 27 万台卫星调制解调器 2022-2023 : 多次擦除器攻击 : 针对乌克兰大学和关键基础设施 2025-12 : DynoWiper : 针对波兰电网攻击C. 攻击防护分析graph LR subgraph 攻击链条 A[初始入侵] --> B[权限提升] B --> C[横向移动] C --> D[部署擦除器] D --> E[执行破坏] end subgraph 防护措施 F[网络监控] --> G[入侵检测] G --> H[隔离关键系统] H --> I[数据备份] end A -.检测.-> F B -.阻断.-> G C -.限制.-> H D -.失效.-> I3. 数据与事实A. Sandworm 攻击统计2015 年乌克兰电网攻击：23 万人受影响，停电 6 小时2017 年 NotPetya：全球损失约 100 亿美元，可能是历史上最昂贵的计算机入侵事件2022 年 AcidRain：破坏 27 万台卫星调制解调器自 2022 年入侵乌克兰以来，俄罗斯已使用至少 7 种不同的擦除器B. 擦除器类型清单ESET 去年报告称，Sandworm 在乌克兰的大学和关键基础设施上释放了多种擦除器，此次针对波兰的 DynoWiper 是最新发现的一种。四、影响分析1. 行业影响A. 关键基础设施威胁升级此次攻击标志着针对欧洲国家关键基础设施的网络攻击威胁显著升级。波兰作为北约成员国和乌克兰的主要支持者，其能源系统成为俄罗斯网络战的目标。B. 攻击模式演变从 2015 年首次使用通用恶意软件 BlackEnergy 渗透电网，到现在开发专门的擦除器 DynoWiper，显示出攻击手段的持续进化。C. 威胁扩散虽然此次攻击未能成功，但表明俄罗斯网络战能力已扩展到乌克兰以外，可能在未来针对其他支持乌克兰的欧洲国家。2. 技术趋势A. 定制化擦除器俄罗斯黑客持续开发新的擦除器恶意软件，表明定制化破坏工具已…

reCAPTCHA 验证码技术原理与未来发展分析
type: item
date: 2026-01-20T09:08:20+00:00
description: reCAPTCHA 验证码技术原理与未来发展分析一、概述1. 技术背景A. 起源与发展reCAPTCHA 由卡内基梅隆大学的路易斯·冯·安于 2007 年开发，最初具有双重目标：让基于文本的 CAPTCHA 验证码挑战更难被机器人破解，同时提高用于数字化印刷文本的 OCR 准确性。2009 年，Google 收购 reCAPTCHA，并将其发展成为全球最广泛使用的人机验证服务。B. 核心问题在互联网时代，自动化机器人程序大量滥用网站资源，包括恶意注册、垃圾评论、密码暴力破解等。reCAPTCHA 致力于解决一个根本性问题：如何有效区分人类用户和自动化机器人，同时保持良好的用户体验。C. 技术价值reCAPTCHA 不仅是一个安全验证工具，更是一个大规模的人机协作平台。在其发展历程中，用户通过验证同时参与了古籍数字化、图像识别模型训练等有价值的工作。二、工作原理1. 核心机制reCAPTCHA 的工作原理基于三个核心要素：挑战-响应机制、风险评估引擎和行为分析技术。A. 挑战-响应机制系统向用户提出一个挑战，要求用户完成某项任务。这个任务的设计原则是：人类用户容易完成，但自动化程序难以解决。随着技术发展，挑战形式从扭曲文本识别演变为图像选择，最终发展为无感验证。B. 风险评估引擎reCAPTCHA v3 引入了智能风险评估系统，在后台实时分析用户行为。系统根据多个维度生成 0.0 到 1.0 的信任评分，其中 1.0 表示最可能是真实用户，0.0 表示很可能是机器人。C. 行为分析技术通过分析用户的交互模式，包括鼠标移动轨迹、点击方式、键盘输入节奏、触摸手势等，系统可以识别出人类特有的行为特征。2. 技术架构graph TB User[用户访问网站] --> JS[reCAPTCHA JavaScript SDK] JS --> Collect[收集行为数据] Collect -->|鼠标轨迹 点击模式 时序特征| Analysis[风险评估引擎] Analysis -->|机器学习模型 指纹识别 IP信誉| Score[生成信任评分] Score --> Threshold{评分阈值判断} Threshold -->|高分 0.9-1.0| Direct[直接通过] Threshold -->|中分 0.3-0.9| Challenge[触发额外挑战] Threshold -->|低分 0.0-0.3| Block[拒绝请求] Challenge --> Image[图像识别 文本输入 拼图验证] Image --> Verify[验证结果] Verify -->|通过| Direct Verify -->|失败| Block3. 版本演进A. reCAPTCHA v1 - 文本识别阶段（2007-2014）v1 版本采用双重文本验证机制。用户需要输入两个扭曲的单词，其中一个是系统已知的控制词，另一个是从古籍数字化项目中无法识别的词。这种设计既实现了验证功能，又利用人类的识别能力帮助数字化书籍。关键技术特点：基于 OCR（光学字符识别）技术的逆向应用扭曲变形的文本增加机器识别难度交叉验证机制提高准确性为视障用户提供音频验证选项历史贡献：至 2009 年，每天约 3000 万字符通过 reCAPTCHA 被数字化，累计帮助数字化了《纽约时报》历史档案等大量文献。B. reCAPTCHA v2 - 智能验证阶段（2014-2018）v2 版本引入了标志性功能我不是机器人复选框。这一版本的核心创新是自适应风险分析引擎，系统首先根据浏览器指纹、IP 信誉、Cookie 等信息进行快速评估，对于低风险用户只需点击复选框即可通过，高风险用户则需要完成图像识别挑战。关键技术特点：Advanced Risk Analysis 引擎进行预评估图像识别挑战替代文本验证行为生物识别技术（鼠标移动、点击模式）无障碍访问改进用户体验优化：大部分正常用户只需点击一次挑战内容从单一文本扩展到街景门牌号、图像分类等移动端友好的触摸交互设计C. reCAPTCHA v3 - 无感验证阶段（2018 至今）v3 版本实现了完全无感知的验证体验，系统在后台持续评估用户行为，不再中断用户操作。网站管理员可以为不同操作设置不同的风险阈值，实现精细化的安全策略。关键技术特点：实时信任评分机制（0.0-1.0）基于 Actions 的上下文感知联邦学习与边缘计算结合完全无用户交互的验证流程技术架构创新：核心算法在 Google 云端训练轻量级推理模型部署在 CDN 边缘节点混合部署模式兼顾准确性与响应速度三、技术效果评估1. 安全性表现A. 防护效果reCAPTCHA 在过去十几年中有效防护了无数网站免受机器人攻击。根据官方数据，reCAPTCHA v3 能够识别 99%…

Reticulum 加密网络栈技术分析
type: item
date: 2026-01-20T08:43:54+00:00
description: Reticulum 加密网络栈技术分析一、项目概述1. 简介A. 是什么Reticulum 是一个基于密码学的网络协议栈，用于构建不可阻挡的本地和广域网络。它能够在高延迟、极低带宽的环境下运行，支持 LoRa、分组无线电、WiFi 等多种物理介质。B. 为什么值得关注提供端到端加密和连接性实现发起者匿名通信支持自动配置的多跳传输无需内核模块或驱动，完全运行在用户态不依赖传统 IP 网络栈，独立构建网络层C. 应用场景离网mesh网络应急通信系统抗审查通信平台物联网设备互联隐私保护的网络服务2. 项目背景A. 作者与维护者作者：markqvist项目创建时间：2018 年 4 月项目状态：活跃开发中B. 核心理念Reticulum 的愿景是让每个人都能成为自己的网络运营商，通过廉价且易于部署的工具覆盖广阔区域，构建无数独立、可互操作和自治的网络。这些网络没有关闭开关、监控、审查和控制，可以自由互操作、关联和分离，无需中央监管。这是为人人构建的网络，属于人民的网络。二、技术架构1. 系统组成A. 核心组件网络协议栈（Network Stack）接口系统（Interface System）路由系统（Routing System）加密层（Cryptography Layer）传输层（Transport Layer）B. 关键概念Identity（身份）：基于椭圆曲线加密的身份标识Destination（目标）：网络地址和端点Link（链路）：加密的端到端连接Channel（通道）：可靠的顺序数据传输Path（路径）：多跳路由路径2. 工作原理graph TB A[应用层] --> B[Reticulum API] B --> C[传输层] C --> D[加密层] D --> E[接口系统] E --> F1[LoRa] E --> F2[分组无线电] E --> F3[TCP/IP] E --> F4[串口] F1 --> G[物理介质] F2 --> G F3 --> G F4 --> GA. 协议分层应用层：使用 Reticulum API 的应用程序传输层：提供可靠传输、通道、缓冲机制加密层：处理身份认证、加密、签名接口层：抽象各种物理介质物理层：实际的通信硬件B. 数据流向sequenceDiagram participant App as 应用程序 participant RNS as Reticulum participant IF as 接口 participant Phy as 物理介质 App->>RNS: 发送数据 RNS->>RNS: 加密与签名 RNS->>RNS: 路由查找 RNS->>IF: 封装数据包 IF->>Phy: 发送 Phy->>Phy: 传输 Phy->>IF: 接收 IF->>RNS: 解封装 RNS->>RNS: 验证与解密 RNS->>App: 交付数据三、核心功能特性1. 密码学特性A. 身份与加密512 位椭圆曲线密钥对256 位 Ed25519 签名密钥256 位 X25519 ECDH 密钥前向保密（Forward Secrecy）不可否认的传输确认B. 加密令牌格式基于 Curve25519 的 ECDH 密钥交换AES-256 CBC 模式加密，PKCS7 填充HMAC-SHA256 消息认证通过 os.urandom() 生成 IVC. 密码学原语Reticulum 使用一套高效、强大且经过充分测试的密码学原语：Curve25519 密钥交换Ed25519 数字签名HKDF 密钥派生SHA-256/SHA-512 哈希AES-256-CBC 加密2. 网络特性A. 地址与路由无需协调的全局唯一地址完全自动配置的多跳路由灵活的跨异构载体扩展B. 性能指标最小带宽：5 bps最小 MTU：500 字节性能范围：150 bps - 500 Mbps链路建立开销：仅 3 个数据包（297 字节）链路维持成本：0.44 bpsC. 匿名性发起者匿名：数据包不包含源地址通信时不暴露身份信息3. 接口系统A. 内置接口类型以太网设备LoRa（通过 RNode）分组无线电 TNC（带或不带 AX.25）KISS 兼容硬件和软件调制解调器串口设备TCP over IPUDP over IP外部程序（通过 stdio 或管道）B. 自定义接口支持用户自定义接口模块简单的接口实现 API可扩展的插件系统四、部署与使用1. 系统要求A. 硬件要求任何支持 Python 3 的系统至少半双工通道，吞吐量 > 5 bpsMTU ≥ 500 字节B. 支持平台LinuxmacOSWindowsAndroid（通过 Sideband 应用）嵌入式系统（如树莓派）2. 安装方法A. 通过 pip 安装pi…

APT24 组织 BadAudio 恶意软件攻击活动技术分析
type: item
date: 2026-01-20T06:12:57+00:00
description: APT24 组织 BadAudio 恶意软件攻击活动技术分析一、新闻概述1. 标题中国背景 APT24 组织利用 BadAudio 恶意软件入侵合法网站实施攻击2. 发布时间2025 年 11 月 21 日3. 来源Cyber Security News二、核心内容1. 事件摘要A. 主要内容与中国相关的 APT24 高级持续性威胁组织发起了为期三年的恶意软件投放活动，利用高度混淆的 BadAudio 第一阶段下载器实现对目标组织的持久化网络访问。B. 核心亮点APT24 组织展示了从广泛的战略性 Web 入侵转向精确针对性攻击的能力攻击重点转向台湾地区的实体组织结合多种攻击向量：供应链入侵和定向钓鱼攻击利用合法云存储平台（Google Drive、OneDrive）分发恶意载荷2. 关键信息A. 涉及组织APT24（与中国相关的网络间谍组织）B. 攻击工具BadAudio：高度混淆的第一阶段下载器C. 攻击时间线活动持续：约三年BadAudio 出现：2022 年 11 月开始武器化D. 目标区域主要针对台湾地区的实体和组织3. 背景介绍A. 组织历史APT24 是已知的网络间谍组织，此前主要利用战略性 Web 入侵（Strategic Web Compromise）技术进行广泛攻击。B. 攻击演变组织近期转向多向量攻击模式，结合供应链入侵和钓鱼攻击，展示出战术升级。三、详细报道1. 主要内容A. 攻击方式转变APT24 组织从广泛机会主义攻击转向更精确的针对性攻击：供应链入侵：针对台湾地区的数字营销公司定向钓鱼：伪装成动物救援组织的邮件水坑攻击：入侵超过 20 个合法网站注入恶意 JavaScriptB. BadAudio 恶意软件特征BadAudio 是一个用 C++ 编写的自定义第一阶段下载器，具有以下特点：下载、解密并执行 AES 加密的载荷从硬编码的命令与控制服务器获取指令收集系统信息（主机名、用户名、系统架构）使用 Cookie 参数加密传输数据，规避检测C. 技术细节控制流平坦化混淆BadAudio 采用了控制流平坦化（Control Flow Flattening）技术，这是一种高级混淆方法，通过系统性破坏程序的自然逻辑结构来增加逆向分析难度。DLL 劫持技术恶意软件主要以动态链接库形式存在，利用 DLL 搜索顺序劫持（Search Order Hijacking）通过合法应用程序获取执行权限。加密载荷传递后续载荷使用硬编码的 AES 密钥解密，已被确认为 Cobalt Strike Beacon，提供完整的远程访问能力。2. 技术细节A. 攻击流程graph TB A[受害者访问合法网站] --> B[注入恶意JS重定向] B --> C[下载BadAudio下载器] C --> D[DLL劫持执行] D --> E[收集系统信息] E --> F[加密数据通过Cookie传输] F --> G[下载AES加密载荷] G --> H[Cobalt Strike Beacon] H --> I[建立持久化后门]B. 战略性 Web 入侵攻击流sequenceDiagram participant V as 受害者 participant CW as 合法网站 participant Att as 攻击者基础设施 participant C2 as C2服务器 V->>CW: 访问网站 CW->>Att: 恶意JS重定向 Att->>V: 返回BadAudio下载器 V->>V: DLL劫持执行 V->>C2: 发送加密信标 C2->>V: 返回加密载荷 V->>V: 解密执行BeaconC. JavaScript 供应链攻击graph LR A[数字营销公司] --> B[JS库被入侵] B --> C[恶意代码注入] C --> D[客户端访问] D --> E[重定向至攻击者] E --> F[BadAudio载荷下载]D. 性能指标攻击持续时间：三年被入侵网站数量：超过 20 个合法网站加密强度：AES 加密检测规避：Cookie 参数加密传输3. 数据与事实A. 攻击范围持续时间：约三年目标区域：台湾地区被入侵网站：20+ 合法公共网站B. 技术特点编程语言：C++混淆技术：控制流平坦化加密算法：AES后门工具：Cobalt Strike BeaconC. 攻击载体恶意 JavaScript 注入加密压缩包（VBS、BAT、LNK 文件）合法云存储平台（Google Drive、OneDrive）四、影响分析1. 行业影响A. 供应链安全威胁数字营销公司成为攻击跳板，凸显供应链安全的重要性。第三方服务提供商的安全状况直接影响下游客户。B. 水坑攻击趋势合法网站被入侵用于攻击访客，水坑攻击（Wateri…

中国 AI 势力圈扩张战略技术分析（上）
type: item
date: 2026-01-20T05:57:09+00:00
description: 中国 AI 势力圈扩张战略技术分析（上）一、新闻概述1. 标题中国正加速将世界纳入其 AI 势力圈2. 发布时间2025 年 12 月 10 日（第一部分）3. 来源China: Technosphere二、核心内容1. 事件摘要A. 主要内容中国正在广西壮族自治区南宁市大规模建设 AI 基础设施，以成为中国向东南亚出口 AI 技术的门户。这是中国更广泛努力的一部分，旨在将其 AI 势力圈扩展至全球。B. 核心亮点广西南宁正在迅速建设 AI 算力基础设施目标成为中国面向东盟的 AI 出口门户东盟仅是中国全球 AI 势力圈扩张的初始阶段TikTok 依赖奇安信（威胁情报公司）提供安全服务2. 关键信息A. 涉及产品/技术华为昇腾 AI 芯片全栈技术算力中心基础设施AI 安全产品B. 地理战略节点南宁五象云谷数据中心中国—东盟人工智能计算中心中国—东盟 AI 创新合作中心C. 战略目标辐射东盟，成为中国与东盟地区的顶尖算力中心3. 背景介绍A. 战略定位广西壮族自治区毗邻东盟国家，成为中国 AI 技术出口东南亚的战略支点。B. 相关上下文随着中国 AI 技术的快速发展，中国正在积极构建全球 AI 基础设施网络，以推广其技术标准和产品。三、详细报道1. 主要内容A. 五象云谷数据中心五象云谷有限公司由总部位于南宁的润建股份有限公司建设。该数据中心于 2021 年底至 2022 年秋季间投入运营。技术规格：当前算力：5000P（每秒 5000 京次浮点运算）规划算力：40000P（两个 10000 卡算力集群）目标定位：跻身中国和东盟地区前三的算力中心战略规划：「一旦全面建成，将成为辐射东盟的超大型算力枢纽」。目标是让东盟国家从该枢纽租赁算力资源。graph LR A[润建股份] -->|建设| B[五象云谷数据中心] B -->|5000P 算力| C[当前规模] B -->|40000P 算力| D[规划目标] B -->|算力租赁| E[东盟国家]B. 中国—东盟人工智能计算中心中国—东盟人工智能计算中心位于距离五象云谷数据中心仅几分钟车程的位置，于 2023 年 9 月 19 日正式开放。技术架构：该计算中心基于华为生态系统构建，包含：昇腾 AI 芯片CANN（帮助华为芯片高效运行 AI 模型的软件）MindSpore（用于构建、训练和运行 AI 模型的软件框架）算力配置：AI 训练算力：40P（每秒 40 京次浮点运算）AI 推理算力：1.4P（每秒 1.4 京次浮点运算）采用华为昇腾全栈人工智能技术建设单位：数丝科技集团有限责任公司由其母公司南宁产业投资集团有限责任公司于 2022 年建立。C. 中国—东盟 AI 创新合作中心在数据中心以北几分钟车程的位置，中国—东盟 AI 创新合作中心和中国—东盟华为创新中心已经建成。功能定位：旨在成为面向东盟国家、香港、澳门和台湾的 AI 平台。资金支持：中国银行提供 300 亿元人民币支持，在未来五年内帮助广西企业向东盟国家扩张。合作企业：已签署合作协议的公司包括：越南 Vela 集团（技术）新加坡 BariumTech（技术）缅甸 GT Broadband（宽带和信息服务）设施组成：AI 展览馆智能工厂东盟分支机构联络中心东盟 AI 培训基地东盟国家联络处graph TB subgraph 广西南宁 AI 基础设施集群 A[五象云谷数据中心] B[中国—东盟 AI 计算中心] C[中国—东盟 AI 创新合作中心] D[中国—东盟华为 AI 创新中心] end A -->|算力支持| E[东盟国家] B -->|华为昇腾全栈技术| E C -->|AI 平台服务| E D -->|技术集成与出口| E F[中国银行 300 亿元] -->|资金支持| C G[南宁产业投资集团] -->|建设| B H[润建股份] -->|建设| AD. 中国—东盟华为 AI 创新中心该中心由华为和广西投资集团（国有企业）于 2019 年共同建立。战略定位：华为与广西的 AI 规划高度契合，目标是实现「在北京、上海和广州进行研发 + 在广西进行集成 + 在东盟进行应用」。实施路径：华为将当地企业整合到其生态系统中通过广西本地公司（如润建股份）与广东（如华为）的集成下一步将技术出口到东盟国家E. 企业聚焦：奇安信奇安信位于北京市西城区西直门外南大街 26 号 1 号楼。2025 年 9 月，这家网络安全公司揭幕了其中国—东盟 AI 安全研究院。研究方向：该研究院的工作将与中国—东盟 AI 合作中心保持一致，专注于三个重点领域：AI 网络安全AI 网络安全标准AI 网络安全人才核心产品：大模型安全护栏（LLM security fence），该产品通过检测和阻止以下内容来提高部署 LLM 的公司安全性：提…