黑客如何一键接管你的大模型：NVIDIA Triton严重漏洞复现和检测（CVE-2025–23316） NVIDIA Triton Inference Server存在严重漏洞（CVSS 9.8），允许攻击者通过特定请求实现远程代码执行。该漏洞影响25.08之前的版本，可通过构造API请求触发命令注入。开源工具AI-Infra-Guard支持检测此漏洞，更新到最新版本可修复问题。... 2025-9-24 13:50:40 | 阅读: 3 | 收藏 | FreeBuf网络安全行业门户 - www.freebuf.com 漏洞 triton python infra nvidia

谷歌推出Data Commons MCP服务器，为AI Agent提供可信数据基础 谷歌发布Data Commons MCP Server工具，旨在为标准化公共数据集提供访问接口，并帮助AI系统获取可靠统计数据以防范幻觉风险。该工具简化了AI对统一知识图谱的访问流程，并通过集成开发工具支持Agent应用在公共卫生、气候等领域的开发与使用。... 2025-9-24 12:35:34 | 阅读: 11 | 收藏 | FreeBuf网络安全行业门户 - www.freebuf.com 数据 安全 mcp 谷歌 模型

万兴修复专家曝出两大高危漏洞：用户数据与AI模型面临风险 趋势科技在万兴修复专家中发现两个高危漏洞（CVE-2025-10643和CVE-2025-10644），CVSS评分分别为9.1和9.4。这些漏洞可能导致用户隐私数据泄露，并使系统面临AI模型篡改和供应链攻击的风险。问题源于开发过程中使用了过度宽松的云访问令牌，并且数据未加密存储。攻击者可以利用这些漏洞篡改AI模型或可执行文件，进而发起供应链攻击。趋势科技已通过零日计划负责任地披露问题，但尚未获得厂商回应。建议用户限制与该产品的交互。... 2025-9-24 11:25:0 | 阅读: 4 | 收藏 | FreeBuf网络安全行业门户 - www.freebuf.com 安全 攻击 数据 模型 漏洞

Java反序列化(五)：CC5链深度解析 文章描述了在JDK 8u71环境下利用Commons Collections 3.2.1中的反序列化漏洞（CC5链）进行远程代码执行的过程。通过分析BadAttributeValueExpException类的特性及其与TiedMapEntry类的交互关系，结合反射技术构造利用链。最终通过序列化和反序列化触发LazyMap.get()方法调用ChainedTransformer链实现代码执行。... 2025-9-24 11:0:36 | 阅读: 2 | 收藏 | FreeBuf网络安全行业门户 - www.freebuf.com lazymap impl

思科SNMP零日RCE漏洞（CVE-2025-20352）遭野外利用，可导致RCE或DoS 思科披露其广泛使用的IOS和IOS XE软件中存在一个零日漏洞（CVE-2025-20352），该漏洞存在于SNMP子系统中，可被远程攻击者利用以实现代码执行或引发拒绝服务状态。漏洞已被野外利用，影响包括Meraki MS390和Catalyst 9300系列交换机等设备。思科已发布修复版本，并建议用户升级软件以应对该高危漏洞。... 2025-9-24 09:59:36 | 阅读: 7 | 收藏 | FreeBuf网络安全行业门户 - www.freebuf.com 漏洞 安全 思科 攻击 xe

OSCP靶场50——Timelapse 文章描述了攻击链的信息收集过程：通过nmap扫描目标IP的开放端口后，使用smbclient连接SMB端口枚举共享目录并下载zip文件。随后利用zip2john提取压缩文件的哈希值进行爆破获得密码supremelegacy，并解压得到pfx文件。继续使用pfx2john提取pfx文件的哈希值再次爆破后获得file.key和file.crt证书。最后通过evil-winrm工具连接目标系统读取Windows历史命令，并在LAPS组中获取管理员密码。... 2025-9-24 08:39:49 | 阅读: 28 | 收藏 | FreeBuf网络安全行业门户 - www.freebuf.com 安全 爆破 nmap 端口

iframe安全盲区：支付信息窃取攻击的新温床 攻击者利用恶意覆盖层技术绕过安全策略，在支付iframe中窃取信用卡数据。近期针对Stripe系统的攻击已入侵49家商户。传统安全防护失效，需强化CSP策略、实时监控DOM变化等六层防御方案应对威胁。... 2025-9-24 08:33:0 | 阅读: 12 | 收藏 | FreeBuf网络安全行业门户 - www.freebuf.com 安全 攻击 stripe 数据 注入

FreeBuf早报 | 一加手机OxygenOS存在权限绕过漏洞；微软修复高危Entra ID漏洞 文章总结了近期全球网络安全事件，包括一加手机权限漏洞、微软Azure Entra ID高危漏洞、超微BMC固件安全缺陷、Zloader木马升级攻击、Shai-Hulud蠕虫感染npm仓库等多起重大安全事件及修复建议。... 2025-9-24 08:30:21 | 阅读: 10 | 收藏 | FreeBuf网络安全行业门户 - www.freebuf.com 漏洞 安全 攻击 数据 攻击者

HackProve冠军小杰专访｜从差点转专业到漏洞大赛冠军，他做对了什么？ 文章讲述了年轻白帽小杰从迷茫到成长为网络安全专家的经历。他通过系统学习、持续实践和积累知识库，在漏洞挖掘领域取得显著成就，并在比赛中夺冠。他的故事展现了坚持、耐心和热爱对职业发展的关键作用。... 2025-9-24 07:4:36 | 阅读: 43 | 收藏 | FreeBuf网络安全行业门户 - www.freebuf.com 漏洞 安全 挖掘 hackprove 赏金

红队实战：从0到1搭建高隐蔽性C2基础设施 基于Cobalt Strike 4.7框架优化C2服务器搭建与配置流程，涵盖基础环境部署、服务端深度定制（如自定义证书与Malleable Profile）、流量伪装策略（Nginx反向代理与可信SSL证书）、系统加固措施及实战验证方法，旨在提升红队行动中C2服务器的隐蔽性与稳定性。... 2025-9-24 06:2:30 | 阅读: 5 | 收藏 | FreeBuf网络安全行业门户 - www.freebuf.com 证书 端口 beacon c2 teamserver

黑客可通过加载任意扩展程序入侵Windows系统中的Chromium浏览器 Chromium内核浏览器存在安全漏洞，攻击者可通过修改偏好设置文件，在未经用户同意或商店审核的情况下加载任意扩展程序。此攻击需预先计算扩展ID、生成有效MAC并绕过企业策略控制。攻击可能导致网络流量拦截、数据窃取等风险。防御需监控偏好文件更改、验证策略完整性及检测异常扩展注册。... 2025-9-24 05:12:8 | 阅读: 9 | 收藏 | FreeBuf网络安全行业门户 - www.freebuf.com 安全 攻击 chrome chromium 攻击者

黑客利用内存PE加载器下载恶意文件绕过EDR检测 攻击者利用内存加载PE技术绕过EDR和杀毒软件检测，在内存中直接执行恶意代码。该技术通过合法进程下载PE文件至内存缓冲区，并手动重建和解析以执行恶意行为。由于不接触文件系统且行为隐蔽，传统基于磁盘的检测手段难以发现此类威胁。... 2025-9-24 03:43:44 | 阅读: 13 | 收藏 | FreeBuf网络安全行业门户 - www.freebuf.com 安全 攻击 攻击者 映射

因L1TF重加载漏洞绕过云缓解措施而奖励15万美元 阿姆斯特丹自由大学研究人员利用L1TF重加载漏洞从公有云虚拟机中提取敏感数据并获得15万美元奖金。该漏洞结合L1TF和半幽灵漏洞绕过防护机制，在谷歌云平台上成功窃取Nginx TLS密钥。研究显示攻击在高噪声环境下仍具可靠性，建议禁用同步多线程或扩展页表配合缓存清空进行防御。... 2025-9-24 02:35:53 | 阅读: 22 | 收藏 | FreeBuf网络安全行业门户 - www.freebuf.com 安全 漏洞 数据 谷歌 虚拟

burp使用效率提升工具：bambda过滤模式的使用 本文介绍了Burp Suite Professional 2023.10.3版本新增的Bambda功能，通过自定义代码灵活筛选HTTP历史记录及替换请求内容，并详细讲解了ProxyHttpRequestResponse、ProxyWebSocketMessage和Utilities等主要接口的使用方法及其应用场景。... 2025-9-24 02:23:20 | 阅读: 31 | 收藏 | FreeBuf网络安全行业门户 - www.freebuf.com 安全 信息 bambda burp

AI安全公司Adversa发布25个主要 MCP漏洞 模型上下文协议（MCP）由Anthropic开发并作为开放标准发布，旨在确保AI代理与数据源之间接口的一致性和安全性。它统一了交互规则，降低了开发成本，并提升了安全性和可扩展性。MCP被视为大模型时代的基础设施协议，为智能体生态和产业化落地奠定基础。同时，其安全性是保障模型生态稳定和行业合规的关键。... 2025-9-24 01:47:25 | 阅读: 15 | 收藏 | FreeBuf网络安全行业门户 - www.freebuf.com 安全 模型 mcp 数据 漏洞

新型YiBackdoor后门程序可执行任意命令并窃取敏感数据 文章介绍了名为YiBackdoor的新型复杂恶意软件家族及其潜在威胁。该恶意软件具备执行任意命令、截取屏幕截图、收集敏感信息等功能，并采用虚拟机检测技术以逃避检测。其代码架构与已知威胁IcedID和Latrodectus相似，表明可能存在协作或资源共享。尽管目前仍处于开发或测试阶段，但其高级功能预示着未来可能引发更大规模的网络攻击活动。... 2025-9-24 00:34:55 | 阅读: 9 | 收藏 | FreeBuf网络安全行业门户 - www.freebuf.com 安全 yibackdoor rdtsc 注入

CISA警告：Shai-Hulud自复制蠕虫已入侵npm仓库500多个软件包 美国CISA警告称，代号"Shai-Hulud"的自复制蠕虫已渗透500多个npm软件包，通过滥用开发者凭证和发布流程传播恶意代码。该蠕虫窃取GitHub个人访问令牌及云服务API密钥，并利用被盗凭证注入恶意代码至其他软件包。CISA建议立即检查依赖包、轮换凭证、部署入侵检测系统并固定依赖版本以应对威胁。... 2025-9-23 23:40:43 | 阅读: 26 | 收藏 | FreeBuf网络安全行业门户 - www.freebuf.com 安全 github 蠕虫 仓库 注入

Kali Linux 2025.3 发布：新增10款渗透测试工具与多项功能升级 Kali Linux 2025.3发布新增10款安全工具及系统优化升级... 2025-9-23 23:11:21 | 阅读: 32 | 收藏 | FreeBuf网络安全行业门户 - www.freebuf.com 安全 树莓 镜像 无线 packer

一加手机OxygenOS存在权限绕过漏洞，攻击者可窃取短信并绕过MFA保护（CVE-2025-10184） Rapid7研究人员发现一加OxygenOS系统中存在关键漏洞（CVE-2025-10184），允许应用无需权限读取短信/彩信内容及其元数据。该漏洞源于内容提供程序配置错误，影响多款一加设备，并使短信多因素认证面临风险。建议用户采取缓解措施以保护安全。... 2025-9-23 19:10:10 | 阅读: 47 | 收藏 | FreeBuf网络安全行业门户 - www.freebuf.com 安全 漏洞 数据 oxygenos ex01

Zloader木马再次升级：通过DNS隧道和WebSocket C2实现更隐蔽的攻击 Zloader恶意软件新版升级为模块化平台，从银行木马演变为勒索软件初始访问工具。其新增自定义DNS隧道、WebSocket通信及LDAP功能套件，提升隐蔽性和网络渗透能力。... 2025-9-23 16:13:7 | 阅读: 29 | 收藏 | FreeBuf网络安全行业门户 - www.freebuf.com 安全 zloader 网络 攻击 勒索