黑白之道 · 号外

导语：Hackers-Arise 的 AirCorridor 撰文介绍了 AdaptixC2——一个 GitHub 上完全开源的红队 C2 框架，被视为 Cobalt Strike 的免费替代品。本文完整翻译并保留全部实操步骤，覆盖服务端构...

导语：devZero Security 在 GitHub 开源了 redStackPRO，把红队攻击基础设施和 AD 靶场画在同一张画布上，拖拽出拓扑后自动导出可运行的 Terraform 与 Ansible，用户在本机用自有云凭证一键部署...

导语：Citrix 在 9 月 27 日公开披露 NetScaler ADC 与 Gateway 的双重零日 CVE-2026-88771 与 CVE-2026-88772，研究员称之为 "PitScaler"。攻击者用畸形 DTLS 包打...

导语：Next.js 16.2.0至16.3.5版本爆严重RCE漏洞。攻击者利用ImageResponse的SVG注入，配合libxml2原生解析器的内存损坏，可实现一键Getshell。官方CVSS评分9.5，POC已在GitHub公开。...

导语：苹果紧急发布了一个安全更新，修复一个已经被黑客利用的安全漏洞。如果你是 iPhone 11 或更新机型的用户，请尽快更新系统。一句话总结 iPhone 用户，赶紧更新系统。苹果在 9 月 28 日发布了 iOS 26.7.1 紧急...

导语：JSONP（JSON with Padding，JSON填充）是个上古跨域方案。它利用 <script> 标签不受同源策略限制的特性，把 JSON 数据塞进一个回调函数里"搬"到别的域名去读。这个机制天生没有安全设计，只要...

导语：2026 年 9 月 28 日，AI 安全研究机构 pwn.ai 发表技术长文《Inside the Sandbox: How pwn Escaped Google kvmCTF (Before the Watershed)》，公开记...

导语：zonduu 投稿的 Meta 2026 年 5 月台湾 live hacking event 实战记录。从一段前端 JavaScript 里的硬编码 API key 起手，串起两次路径穿越与一次不安全的 pickle 反序列化，最终...

导语：2026年9月20日，哈尔滨工程大学数学科学学院发布通报，对20名本科生及研究生使用VPN访问境外网络的行为给予警告处分。作为"国防七子"之一，该校的网络安全管理历来严格，此次事件不仅暴露了学生群体对境外学术资源的真实需求，也引发了对...

导语：最近 X（推特）上流传一套把 AI 羊毛榨干的玩法：先用 5 块钱在闲鱼买到 18 个月的 Gemini 会员，再用会员身份注册近期爆火的 AI 产品 Muse，最高可拿到 300 亿 Token；最后借助开源工具 muse2api，...