超微BMC固件曝两处漏洞，恶意固件可绕过信任根安全机制 超微主板管理控制器（BMC）固件存在两处中等严重程度的安全漏洞，攻击者可利用这些漏洞绕过验证机制上传恶意固件镜像，进而控制BMC系统及服务器操作系统。... 2025-9-23 15:30:0 | 阅读: 28 | 收藏 | FreeBuf网络安全行业门户 - www.freebuf.com 安全 固件 bmc 镜像 漏洞

微软修复CVSS 10.0分高危Entra ID漏洞CVE-2025-55241 微软修复Azure Entra ID高危漏洞（CVE-2025-55241），该漏洞可被用于仿冒任何用户身份甚至全球管理员。攻击者利用未公开文档中的Actor tokens结合Azure AD Graph API缺陷实现跨租户攻击。微软三天内完成修复并采取额外措施。专家指出事件暴露云身份信任机制风险，建议企业建立独立可观测性以降低系统性风险。... 2025-9-23 13:23:40 | 阅读: 27 | 收藏 | FreeBuf网络安全行业门户 - www.freebuf.com 安全 租户 漏洞 攻击 攻击者

阿里云一次说透「AI安全」！2025「AI安全」全球挑战赛特别节目——《定向AI航标》全集观看 阿里云与阿里巴巴联合举办"AI安全"全球挑战赛特别直播，探讨大模型时代安全威胁与应对策略。推出Oyster-Qwen3模型及分层纵深防御体系，并分享AI反向赋能安全攻防的实践成果。... 2025-9-23 09:0:33 | 阅读: 18 | 收藏 | FreeBuf网络安全行业门户 - www.freebuf.com 安全 阿里 模型 攻防 风险

SQL注入姿势分享&实战案例分享 FreeBuf.COM是一个网络安全行业门户，每日发布专业的安全资讯和技术剖析。涵盖云安全、AI安全、开发安全等多领域，并提供热点、工具、漏洞等特色内容。免责声明指出信息仅供参考，不构成专业建议，并提醒读者注意技术发展和适用性问题。... 2025-9-23 08:58:21 | 阅读: 2 | 收藏 | FreeBuf网络安全行业门户 - www.freebuf.com 安全 信息 网络 免责

FreeBuf早报 | Chrome高危类型混淆0-Day漏洞技术分析；22.2Tbps DDoS攻击刷新世界纪录 文章概述了全球网络安全事件及技术发展，包括Chrome高危漏洞、史上最大DDoS攻击、DeepMind AI安全框架升级、Steam恶意软件入侵、微隔离技术对抗勒索软件、新勒索组织Kawa4096活动、非人实体身份安全挑战、机场勒索攻击影响、合法工具传播木马威胁及僵尸网络升级为犯罪基础设施等关键议题。... 2025-9-23 08:27:44 | 阅读: 3 | 收藏 | FreeBuf网络安全行业门户 - www.freebuf.com 攻击 漏洞 安全 勒索 网络

攻击者利用IMDS服务获取云环境初始访问权限 威胁行为者利用云实例元数据服务（IMDS）漏洞进行渗透攻击。通过诱导应用程序访问IMDS端点获取短期令牌，实施凭证窃取和权限提升。研究指出IMDSv1存在SSRF漏洞，攻击者可绕过防护机制获取敏感数据。防御需强制使用IMDSv2、限制访问并实时检测异常请求。... 2025-9-23 03:58:14 | 阅读: 7 | 收藏 | FreeBuf网络安全行业门户 - www.freebuf.com 安全 imds 数据 攻击 漏洞

《网络安全标准实践指南-生成式人工智能服务安全应急响应指南》发布 全国网络安全标准化技术委员会发布《网络安全标准实践指南——生成式人工智能服务安全应急响应指南》，指导生成式人工智能服务提供者做好安全应急响应工作。该指南明确了安全事件分类、分级方法及应急响应管理措施和技术方法，适用于相关单位开展安全应急响应活动。... 2025-9-22 23:0:0 | 阅读: 5 | 收藏 | FreeBuf网络安全行业门户 - www.freebuf.com 安全 生成式 网络

22.2Tbps DDoS攻击再次刷新世界纪录：史上最强网络攻击 Cloudflare成功拦截史上最大规模DDoS攻击，峰值达22.2Tbps和每秒106亿数据包。此次攻击采用多向量复合技术，在40秒内释放短时高强度流量。Cloudflare通过机器学习驱动的自动化系统在无人干预情况下完成防御，凸显了自动化技术在应对高速度、大规模网络威胁中的关键作用。... 2025-9-22 22:26:10 | 阅读: 9 | 收藏 | FreeBuf网络安全行业门户 - www.freebuf.com 安全 攻击 网络 流量 自动化

《实战紫队演练》书评：构建攻防协作的安全新范式 《实战紫队演练》由GitHub高级安全分析师Alfie Champion撰写，聚焦紫队演练的设计与实施，涵盖攻防协作、实验室建设及项目运营体系。书中提供工具实例与协作框架，强调演练可重复性与持续价值，适合安全运营各环节人员提升威胁检测与响应能力。... 2025-9-22 21:30:3 | 阅读: 4 | 收藏 | FreeBuf网络安全行业门户 - www.freebuf.com 安全 攻防 攻击 数据

基于软件的微隔离如何阻断勒索软件横向传播 软件微隔离技术通过细粒度网络控制阻断攻击者横向移动，有效遏制勒索软件扩散。ColorTokens与CrowdStrike集成方案可在90天内完成部署，显著缩短攻击突破时间窗口。"预备式防御"理念强调从预防转向应对必然发生的入侵。... 2025-9-22 17:24:36 | 阅读: 4 | 收藏 | FreeBuf网络安全行业门户 - www.freebuf.com 安全 攻击 隔离 横向 colortokens

新勒索攻击组织Kawa4096，采用Akira风格品牌标识与Qilin式勒索信 Kawa4096是一个新兴的勒索组织，采用双重勒索策略攻击跨国机构，并模仿Akira风格增强威慑力。其技术特点包括独特的命令行执行行为、部分加密机制和删除备份功能。... 2025-9-22 16:16:10 | 阅读: 10 | 收藏 | FreeBuf网络安全行业门户 - www.freebuf.com 安全 勒索 加密 数据 kawa4096

谷歌DeepMind升级前沿AI安全框架，新增操纵风险与系统抗关停防护机制 DeepMind发布第三版《前沿安全框架》，新增关键能力等级评估和抗关停防护机制，优化风险分级机制，旨在加强对高性能AI系统的监管和潜在风险的主动缓解。... 2025-9-22 12:40:1 | 阅读: 2 | 收藏 | FreeBuf网络安全行业门户 - www.freebuf.com 安全 风险 deepmind 模型 机制

Steam游戏成为恶意软件载体，以补丁更新形式入侵玩家电脑 热门游戏《BlockBlasters》的恶意补丁通过伪装更新传播恶意软件，影响数百名Steam用户。该补丁窃取加密货币钱包、浏览器凭证及Steam登录详情，并采用三阶段感染机制实现持久化控制。攻击者绕过Steam安全筛查，最终被安全团队封禁相关C2基础设施。... 2025-9-22 10:51:37 | 阅读: 4 | 收藏 | FreeBuf网络安全行业门户 - www.freebuf.com 安全 攻击 信息 数据

Cake 工具评测：资产收集能力远超OneForAll，附魔后更是强得无边 文章介绍了Cake这款红队工具，它能够通过公司名或域名一键完成资产收集与漏洞筛查。集成多种优化工具，支持子域名收集、备案查询、端口扫描等功能，适合提升资产收集效率的安全团队及新手使用。... 2025-9-22 10:25:25 | 阅读: 82 | 收藏 | FreeBuf网络安全行业门户 - www.freebuf.com cake 安全 信息 漏洞 collector

某移动端任意用户接管漏洞的发现与利用 文章描述了一个SRC中的认证逻辑缺陷漏洞，允许攻击者无需认证接管任意用户账号。漏洞源于后端API设计问题，通过修改请求头参数即可绕过认证机制。攻击者可遍历用户ID获取敏感信息并执行敏感操作。建议加强职责分离和认证机制设计以避免此类问题。... 2025-9-22 09:46:0 | 阅读: 2 | 收藏 | FreeBuf网络安全行业门户 - www.freebuf.com 账号 漏洞 信息 机制 安全

FreeBuf早报 | 勒索软件攻击始于暴露的Oracle服务器；攻击者用向macOS用户投放窃密木马 全球网安事件包括勒索软件攻击、窃密木马分发、高危漏洞如Microsoft Entra ID和TP-Link路由器漏洞、Unicode钓鱼攻击、跨平台勒索软件BlackLock、供应链攻击PyPI、虚假信息网络CopyCop以及多个SQL注入漏洞等。防御需及时修补漏洞、限制服务暴露并谨慎验证来源。... 2025-9-22 09:36:41 | 阅读: 4 | 收藏 | FreeBuf网络安全行业门户 - www.freebuf.com 漏洞 攻击 安全 数据 攻击者

如何掌控AI Agent与非人实体身份安全 企业安全团队常面临这样的困境："我们有数百个服务账户和AI Agent在后台运行，其中大多数并非由我们创建，也不清楚归属者是谁，该如何保障它们的安全？"现代企业的运作早已超越人类用户的范畴。在... 2025-9-22 08:30:0 | 阅读: 5 | 收藏 | FreeBuf网络安全行业门户 - www.freebuf.com 安全 nhi 风险 非人 数据

应急响应 | 使用D盾检查WebShell 本文详细讲解了WebShell的概念、分类及其检测原理，并介绍了D盾工具的功能与使用方法。通过实验步骤演示了如何利用D盾查杀WebShell并清除恶意脚本。... 2025-9-22 04:49:3 | 阅读: 12 | 收藏 | FreeBuf网络安全行业门户 - www.freebuf.com 安全 脚本 木马 大马 数据

Chrome类型混淆0-Day漏洞（CVE-2025-10585）技术分析报告 Google Chrome浏览器曝出关键类型混淆零日漏洞（CVE-2025-10585），CVSS 3.1评分8.8分。该高危漏洞允许攻击者通过复杂内存破坏技术实现远程代码执行，并绕过Chrome的沙箱保护机制。受影响产品包括所有低于140.0.7339.185版本的Chrome浏览器及基于Chromium的浏览器（如Edge、Brave、Opera等）。Google已发布紧急补丁修复该漏洞。... 2025-9-22 03:58:33 | 阅读: 7 | 收藏 | FreeBuf网络安全行业门户 - www.freebuf.com 安全 漏洞 chrome 攻击 浏览器

深析可信华泰市场战略 或为网安销售市场破局新思路 网络安全上市公司半年报显示普遍亏损，现金流紧张。市场需求端客户预算收紧、采购要求提高；行业内部销售费用和人力成本高企。可信华泰通过与华为鲲鹏、昇腾合作，聚焦核心安全技术，采用“被集成”模式拓展市场，精准满足高安全需求行业客户的核心需求。... 2025-9-22 03:44:42 | 阅读: 6 | 收藏 | FreeBuf网络安全行业门户 - www.freebuf.com 可信 安全 华泰 网络