Numen 独家 CVE-2024-36401 JDK 11-22 通杀内存马 原创 Numen cyber labs 2024-07-25 11:55 新加坡 Numen 独家 CVE-2024-36401 JDK 11-22 通杀内存马 前言 在看到 yzddMr6 师傅的 《 GeoServer property RCE注入内存马 》之后的第一反应是，在 JDK 15 之后不再默认包含 JS 引擎的解析包了，这也就意味着 JDK 15 之后无法按照这个思路去写内存马。这…

OFF-BY-ONE Conference在新加坡举行，我们有幸发表了题，介绍Linux kernel 漏洞挖掘Fuzz方面的一些技巧 原创 Numen labs 2024-07-03 14:15 新加坡 OFF-BY-ONE Conference在新加坡举行，我们有幸发表了题，介绍Linux kernel 漏洞挖掘Fuzz方面的一些技巧 0x00 背景 在2024年6月26日，OFF-BY-ONE Conference在新加坡举行，我们有幸发表了题目为“经典目标中被遗忘的宝…

[庆祝]Numen cyber 祝大家农历新春愉快，阖家欢乐，万事如意。[爆竹][烟花] 2024-02-09 11:46 新加坡 [庆祝]Numen cyber 祝大家农历新春愉快，阖家欢乐，万事如意。[爆竹][烟花] 恭祝新春 跳转微信打开

原创 richardo1o1 2026-07-23 23:41 江苏 正文 今天看到一个消息,如图所示: 后面看到有个读者也发了一篇文章给我看，大致意思是唱衰这个行业 其实我看到这个通告的第一反应是这个厂商要转到众测平台了，后面也从厂商内部人员处确认了这个消息 跳转微信打开

骨哥说事 2026-07-03 12:00 江苏 以下文章来源于：骨哥说事 骨哥说事 一个喜爱鼓捣的技术宅 声明： 文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由用户承担全部法律及连带责任，文章作者不承担任何法律及连带责任。 防走失： https://gugesay.com/ 不想错过任何消息？设置星标 ↓ ↓ ↓ 觉得内容太技术？可以先快速浏览我们的漏洞摘要。 阅读漏洞摘要 → https://nebusec.ai/buglist…

正文出问题的代码:if (url == null || ! 原创 h1 2026-07-02 12:00 江苏 正文出问题的代码:if (url == null || ! 正文 出问题的代码: if (url == null || !url.startsWith( "http" )) { logger.warn( "Not a valid URL to open:" + url); return ; } URL 校验这里有问题: !url.st…

举国团圆日，安全值守时。 360数字安全 以全天候安全能力， 守护每一家企业、每一个平台的中秋安稳。 恭祝广大客户与合作伙伴 中秋安康！ 360数字安全 2026-09-25 11:48 北京 举国团圆日，安全值守时。 360数字安全 以全天候安全能力， 守护每一家企业、每一个平台的中秋安稳。 恭祝广大客户与合作伙伴 中秋安康！ 跳转微信打开

首批6家获证企业之一 360数字安全 2026-09-23 17:21 北京 首批6家获证企业之一 9 月 22 日，中国信息安全测评中心正式颁发首批 "国家信息安全测评信息安全服务资质（人工智能安全类一级）"， 360集团凭借在AI安全领域的技术优势、全生命周期服务能力和实践成果，成为首批6家获证企业之一。 至此，360 已在安全工程、安全运营、安全开发、风险评估、数据安全、云计算安全、人工智能安全这7 个方向获得国家信息安全测评信息安全服务资质，均为已颁发…

走进城市安全大脑：一座“产、教、研”一体的数字安全基地 360数字安全 2026-09-23 17:21 北京 走进城市安全大脑：一座“产、教、研”一体的数字安全基地 近日，上汽集团网络安全应急响应团队走进 360 上海城市安全大脑，围绕网络安全实战能力建设、 AI 时代的安全攻防变化等话题，与 360 数字安全集团上海团队开展参观交流。来访团队通过现场参观、互动体验和案例研讨，了解 360 在漏洞治理、威胁研判、安全运营及 AI 安全领域的实践。 ‍ ‍ ‍ ‍ ‍ ‍ ‍…

我昨天才看到 Claude 这个课程，觉得还不错，下班时在地铁上看完了。今天早上起来，想想值得给朋友们分享，就总结了一个可执行的简化版。供大家参考。 吴鲁加 2026-09-09 07:57 新加坡 我昨天才看到 Claude 这个课程，觉得还不错，下班时在地铁上看完了。今天早上起来，想想值得给朋友们分享，就总结了一个可执行的简化版。供大家参考。 原文：The AI-Native SDLC Playbook · Claude Academy 我昨天才看到 Claude 这个课…

最近一时兴起，开始学画画。这其实是我多年来很眼馋的一个技能，却总也鼓不起勇气开始——会画画的朋友们，包括我闺女都告诉我，画画这事，画就是了，画多了就像了。 原创 wulujia 2026-09-04 22:13 新加坡 最近一时兴起，开始学画画。这其实是我多年来很眼馋的一个技能，却总也鼓不起勇气开始——会画画的朋友们，包括我闺女都告诉我，画画这事，画就是了，画多了就像了。 所以我开始了每天花一点点时间，画特别丑的画，并且时不时脸皮贼厚地往朋友圈发——我想掌握的是速写的能力，快…

今天下决心，把日常工作的电脑从 Mac 切换到了 Linux。 原创 wulujia 2026-09-02 21:01 新加坡 今天下决心，把日常工作的电脑从 Mac 切换到了 Linux。 想这么做其实已经有些日子了，手边也有几台设备分别装着 Debian（喜欢了很多年）、NixOS（去年接触到之后，非常喜欢这个发行版的理念），但始终觉得还是有些许不方便。这次的“临门一脚”，是 Omarchy 推动的。 我大概半年多前第一次用 Omarchy，那时觉得这个发行版带着作者 D…

失踪人口不定期回归了哈，不定期年更了哈~ 原创 高艹 2025-05-23 03:05 广东 失踪人口不定期回归了哈，不定期年更了哈~ 失踪人口不定期回归了哈，不定期年更哈~ 晚上在群里看到一个有意思的视频，值得bb几句。由于发布者是互联网某名人，就点进去看了一下，发现这事可有意思了。视频参见下图，建议先移步视频号看完 完整视频。 （这是图片，不可点击，哇哈哈） 假设读者已经看完相关视频，继续bb。简单来说，up主遇到了 地推级别 的扫码诈骗，并扭送对方到了派出所，这个扭送厉…

看图说话，我说你画画画，你画我猜猜猜。 原创 高艹 2023-03-24 16:30 广东 看图说话，我说你画画画，你画我猜猜猜。 先看图，再说话。 最近玩几个新发布的工具上头了，无论是看别人玩还是自己上手，都是真的太好玩了，太有意思了。 说问题，你认为AI把这个图画对了吗？先别着急回答，很可能答错哈。 如果不小心试图从目前AI框架的技术实现原理角度来理解这个结果，就会发现答案应该是画的没毛病！ 在目前这套AI框架的数据世界里面，“人”就是一直坚持不懈地这么教它的，教了好多年…

看图快速回答问题 原创 高艹 2022-04-15 14:26 看图快速回答问题 看图，请 快速 回答问题： 这是什么摩托车 ？ 俗话说开局一张图，剩下全靠编......高尔基说过，只有先把基调定好，才能确保不翻车~ 起因来自一个玩笑 ，龙某大师傅因为频繁访问443端口，于是被某防护系统警告。于是本人果断甩出一张图，想请这个系统判断一下，这是什么摩托车，不要求给出型号，猜出品牌即可。 难不？不难？ 其实，上面问题就是一个典型的特征计算过程，但是很不幸，计算过程中会遇到以下几个…

北京楼市正在复刻A股过去几年刚刚演绎完的一轮“漫长阴跌”，基于什么样的内在逻辑，普通人应该如何选择？ 原创 Li JieJie 2025-12-22 13:16 北京 北京楼市正在复刻A股过去几年刚刚演绎完的一轮“漫长阴跌”，基于什么样的内在逻辑，普通人应该如何选择？ 提示：笔者非专业人士， 请指正，谢谢 如果在2021年到2024年间，你曾经深度参与了A股投资，你可能会认同我的这个观点： 北京楼市正在复刻A股过去几年刚刚演绎完的一轮“漫长阴跌” 挤牙膏式的政策利好逐渐失灵，…

人生黄金十年不是一个绝对概念，每个人眼里，都有属于自己的黄金十年。你心中的高光时刻，是曾经的过去、此刻的现在，还是不远的未来？ 原创 李劼杰 2025-08-24 18:13 北京 人生黄金十年不是一个绝对概念，每个人眼里，都有属于自己的 黄金十年 。 你心中的高光时刻，是曾经的过去、此刻的现在，还是不远的未来？ 时间对每一个人是相对公平的，如果 未来10年便是你的黄金10年， 你想要如何度过？ 宏观环境恶化，年轻人选择躺平 过去4年，国内经济增长放缓，我们看到： 物价下行，…

让我用一个简单案例，介绍LLM推理能力的进化。 原创 Li JieJie 2025-08-20 12:13 北京 让我用一个简单案例，介绍LLM推理能力的进化。LLM在越来越多的任务中，表现出了典型的自我反思，它主动评估结果，尝试改进方法， 优化 策略，并最终得到用户所需的结果，越来越显示出解决复杂问题的 " 思路 "和能力。 安装爱奇艺PC客户端的设备 运营同事发送给安全机器人一个常见任务，甚至并不包含任何动作： 安装爱奇艺PC客户端的设备 LLM 规划 任…

2022年安全架构总结以及2023安全方向展望。 原创 ThreatSource 2022-12-27 00:01 浙江 2022年安全架构总结以及2023安全方向展望。 概述 2022年已经走完，这一年是"变化"较大的一年，不管是疫情的变化、安全圈的变化、还是我个人的"变化"，这些变化背后我还是体会到了很多“规律”性的不断迭代的洞察点。今年我给整个安全行业的关键词是"进化Evolution"，今年的2022总结和2023安全方…

混合办公（Hybrid Work）安全的三年技术落地趋势推演。"端到端零信任"大的版图。 原创 ThreatSource 2022-04-01 07:11 混合办公（Hybrid Work）安全的三年技术落地趋势推演。"端到端零信任"大的版图。 更新背景 为什么更新本篇？ “黎明将至”，本篇文章的封面真切的体现了笔者现在的真实心情。笔者在去年选择从发展如日中天的云安全，快速“切换赛道”来到了“广义办公安全”（混合办公），经过这段时间的落地和打磨，笔者觉得端、网、云协同办公时代…

对2021年的安全架构、安全攻防、安全技术总结和对2022年安全的展望。 原创 ThreatSource 2022-01-01 16:25 对2021年的安全架构、安全攻防、安全技术总结和对2022年安全的展望。 更新背景 为什么更新本篇？ 笔者定这个选题还是特别兴奋的。因为过去的2021年发生了众多重大安全事件。笔者这一年也成长的非常迅速，这一年也学习到了非常多的优秀的安全解决方案、攻击手法、安全架构方面的内容。所以笔者想借着三天假期时间，把笔者这一年自身成长的东西也分享给…

Salesforce 把界面交给 Claude，保留数据、业务规则和执行能力。“无头 SaaS”可能加深客户依赖、改善 CRM 数据，也让双方的合作埋下未来平台竞争的伏笔。 四楼南侧东 2026-09-02 23:14 北京 Salesforce 把界面交给 Claude，保留数据、业务规则和执行能力。“无头 SaaS”可能加深客户依赖、改善 CRM 数据，也让双方的合作埋下未来平台竞争的伏笔。 作者：Saanya Ojha 时间：2026 年 08 月 29 日 原文： h…

上千个 Agent 在数日内形成分工、规则和授权关系。OpenAI - Hugging Face 事件最终技术报告揭示的深层风险，是命令权向同伴网络漂移，而人类没有及时行使停止权。 四楼南侧东 2026-09-01 17:43 北京 上千个 Agent 在数日内形成分工、规则和授权关系。OpenAI - Hugging Face 事件最终技术报告揭示的深层风险，是命令权向同伴网络漂移，而人类没有及时行使停止权。 过去一个多月，我围绕 OpenAI 的 AI Agent 入侵 …

逐份检查18家网络安全上市公司2026年半年报后发现，AI收入和订单已在少数公司出现，但定义混杂、披露不一，尚未形成行业共同的第二增长曲线。 四楼南侧东 2026-08-29 21:37 北京 逐份检查18家网络安全上市公司2026年半年报后发现，AI收入和订单已在少数公司出现，但定义混杂、披露不一，尚未形成行业共同的第二增长曲线。 2026年半年报里，网络安全上市公司的AI叙事出现了一个值得注意的变化：少数公司开始披露可以量化的收入、订单或增速。天融信披露AI赋能安全业务直…

导语 无法躺平的人生 - 来到这世上就没想着活着离开，愿大家都被温柔以待，爱你所爱，行你所行；听从内心，无问西东 ken商业洞察 2021-08-07 00:44 导语 无法躺平的人生 - 来到这世上就没想着活着离开，愿大家都被温柔以待，爱你所爱，行你所行；听从内心，无问西东 | 导语 无法躺平的人生 - 来到这世上就没想着活着离开，愿大家都被温柔以待，爱你所爱，行你所行；听从内心，无问西东 在km内网篇的基础上，再把离职当天做了啥，感受给复利人们汇报汇报 上篇-腾讯内网KM…

执经衡门 2026-08-20 18:46 浙江 来自支付宝技术部 以模治模：支付宝 Agent 安全漏洞智能化检测实践 跳转微信打开

无病呻吟 执经衡门 2026-08-05 21:11 浙江 无病呻吟 我们这个世界的天道到底是什么？ 困扰了很久，最近终于有所悟，可能就是这十个字。 跳转微信打开

2026-02-02 00:35 浙江 1863年5月，石达开带领太平军被清军追击至大渡河边的安顺场，因为种种原因未能及时渡河、被聚歼于此。当地一名叫做宋大顺的年轻人见证了全过程。 1935年5月 ，毛泽东带领红军被国军追击至大渡河边的安顺场，在当地九十高龄老秀才宋大顺的强烈警示下，迅速改变了作战方案，飞夺泸定桥、跳出包围圈。 《陈云文选》和 《党史博采》中对这段历史的相似记录，不得不让人感叹自助者天助、冥冥之中一切自有安排。 阅读原文 跳转微信打开

个人对K8s的安全做个随笔总结 原创 lion_00 2023-08-22 10:58 北京 个人对K8s的安全做个随笔总结 Kubernetes，简称K8s，相信看这篇文章的朋友，应该都不会太陌生，最近正好研究了一下这个东西，根据网上和自己的一些研究，简单对这个东西的安全性以及可能存在的安全问题，进行个总结。 一 K8s 架构 整体的架构如下图所示， K8s 整体可以分为控制节点（Master）与工作节点（Node)两部分。Master 节点又包括如下组件： api ser…

如果说之前的NeuVector是从宏观上看容器的安全，那么Falco便是从容器，主机的角度出发 原创 Lion 2023-07-28 19:42 北京 如果说之前的NeuVector是从宏观上看容器的安全，那么Falco便是从容器，主机的角度出发 一 Faclo 介绍 在云原生应用和容器化环境中，安全性成为了一个至关重要的关注点。随着容器技术的普及和应用的快速发展，容器环境中的安全挑战也日益增加。为了保护应用程序和数据免受潜在威胁，开发者和运维团队需要有效的安全工具和机制。 …

Lion 2023-01-21 18:59 北京 祝大家新年快乐。新的一年，希望大家继续交流安全技术，一起进步🎉。 ​ 阅读原文 跳转微信打开

谢邀。时代即将大变，大家准备好没有 原创 lake2 2026-09-05 10:15 四川 谢邀。时代即将大变，大家准备好没有 不管是近期 OpenAI、 Anthropic、Meta、Moonshot 的Agent失控的案例，还是在工作中的实践和见闻（我在讲《 AI辅助安全工作的一些思考 》时也提到过）以及与业界大佬的交流，还是SRC的一些实际案例，都无一不显示 AI Agent 初步 具备了自主渗透能力，并且将在不久的将来全面改变网络安全行业 。 但是当前AI Agen…

失踪人口回归，履新之后首次参会分享 原创 lake2 2026-08-08 18:45 广东 失踪人口回归，履新之后首次参会分享 自上次被 ChatGPT惊艳到 以来，又过去了4年。4年了，AI的发展已经日新月异，Agent、MCP、Skills、Harness等新东西层出不穷应接不暇，从聊天到执行，过去做不到、想不到、不敢做的事情，AI已经可以做且做得很好了（此处省略AI挖漏洞案例100+）。 在今年6月入职新公司后，我惊奇地发现， 团队小伙伴基本都是人手使用AI辅助SDL…

​OPPO安第斯AI安全实验室招聘大模型泛安全评测工程师，工作地点：深圳前海。 lake2 2024-03-15 12:59 广东 ​OPPO安第斯AI安全实验室招聘大模型泛安全评测工程师，工作地点：深圳前海。 代友发帖，OPPO安第斯AI安全实验室招聘，详情如下： 大模型泛安全评测工程师 岗位职责： 1、构建并持续优化大模型评测体系，确保其适应不断变化的技术环境和业务需求； 2、负责对大模型及相关业务进行安全评测； 3、与内部团队合作，提供消减模型风险的指导和建议； 4、跟…

上海or北京 等你来！ 吃瓜群众 2023-03-01 15:08 北京 上海or北京 等你来！ 入侵对抗工程师/专家 岗位职责： 负责美团安全攻防能力建设，包括但不限于日志/漏洞/后门分析及逆向，安全事件响应调查，安全检测策略和模型的开发设计，安全评估/渗透测试。 岗位要求： 1.2年以上工作经验，熟悉网络安全攻防技术和工具，熟悉常见的Web/系统安全漏洞及原理； 2.有丰富的应急响应，事件调查经验，熟悉各类安全日志（如Web访问，操作系统，安全设备等日志)； 3.熟悉Li…

如何从从扫描器萌新，成长为入侵检测的“青年”油条？ 原创 Fr1d4y 2022-08-26 15:13 北京 如何从从扫描器萌新，成长为入侵检测的“青年”油条？ 总结毕业后的六年经历，从扫描器萌新，到入侵检测的“青年”油条，希望能对各位有一些参考价值。 一、扫描器 18年的夏天，我毕业刚满两年。每个工作日都沉浸在代码里，在扫描器的世界里挥斥方遒，poc数量和漏洞成果都越积越多，工作充实但内心的空洞却越来越大。 在机械化重复的工作间隙里，我一直在思考几个问题。 我是怎么走上这…

”我还活着“系列 Fr1day 2019-04-19 14:32 ”我还活着“系列 囤货，首发于跳跳糖。 原文链接： https://tttang.com/archive/4/ 0x01 概述 OSQuery 是一款由 facebook 开源的，面向 OSX 和 Linux 的监控与分析工具。OSQuery 允许使用 SQL 的方式来获取系统的相关信息，比如正在运行的进程，已加载的内核模块，已打开的网络连接，硬件事件等等。 OSQuery 拥有较高的社区活跃度，目前在 Git…

去年猫猫托梦的两颗土豆。 原创 zcgonvh 2022-12-09 12:08 北京 去年猫猫托梦的两颗土豆。 去年猫猫托梦带来的洞，两个EXP原理一样，只有服务不同，所以存在一些微小的差别。 漏洞原理是 McpManagement/PrinterNotify 这两个服务通过 svchost 托管，并公开了自己的DCOM对象。svchost有个特性，在 注册表 ( https://www.geoffchappell.com/studies/windows/win32/ser…

Advanced Windows Task Scheduler Playbook - Part.3 from RPC to lateral movement 原创 zcgonvh 2022-09-28 06:30 北京 Advanced Windows Task Scheduler Playbook - Part.3 from RPC to lateral movement Advanced Windows Task Scheduler Playbook - Part.3 f…

Advanced Windows Task Scheduler Playbook - Part.2 from COM to UAC bypass and get SYSTEM dirtectly 原创 zcgonvh 2022-06-20 09:57 北京 Advanced Windows Task Scheduler Playbook - Part.2 from COM to UAC bypass and get SYSTEM dirtectly Advanced Wind…

Hsin Tsao 2024-03-31 22:39 上海 JRASP十分重视自身安全性的建设，采用了多种方式提高RASP自身的安全防护能力，包括： 策略配置加密； RASP自身代码与业务隔离； 安全策略模块磁盘加密、运行时解密； Agent与Daemon的socket通讯加密； 作为开源项目，如果熟悉JRASP的初始化和关闭流程，将存在一类重要的绕过方式： 调用RASP的关闭或者卸载开关。 具体可以参考下面的文章： RASP的安全攻防研究实践 https://www.cnb…

热加载与卸载已经成为RASP的标配，而涉及到插件或者脚本的卸载问题，却少有技术文档提及， 主要原因是RASP开 原创 Hsin Tsao 2024-03-23 18:51 上海 热加载与卸载已经成为RASP的标配，而涉及到插件或者脚本的卸载问题，却少有技术文档提及， 主要原因是RASP开 热加载与卸载已经成为RASP的标配，而涉及到插件或者脚本的卸载问题，却少有技术文档提及， 主要原因是RASP开发人员更多的偏向安全，即使是经验丰富的Java工程师，遇到内存泄露问题，也会感到…

在宿主机上启动一个tomcat docker镜像启动jrasp守护进程daemon自动发现Java进程，包括 Hsin Tsao 2023-11-25 19:58 上海 在宿主机上启动一个tomcat docker镜像启动jrasp守护进程daemon自动发现Java进程，包括 在宿主机上启动一个 tomcat docker 镜像 启动 jrasp 守护进程 daemon 自动发现 Java 进程 ， 包括容器中 Java 进程 容器中 Java 进程 pid 为 1 ，宿主…