随笔档案「2026年9月29日」：Langflow CVE-2026-33017 深度分析：AI 基... - 0xfisher

Langflow CVE-2026-33017 深度分析：AI 基础设施的"裸奔"时刻

摘要： 2026年7月2日 · 深度技术研究导语 2026年3月17日，GitHub Security Advisory 发布了 CVE-2026-33017——Langflow 的一个未授权远程代码执行漏洞，CVSS 3.1 满分 10.0。这个漏洞的存在令人震惊：一个拥有超过 14 万 GitHub 阅读全文

posted @ 2026-09-29 09:01 0xfisher 阅读(11) 评论(0) 推荐(0)

GLM 5.2 vs Claude：开源模型首次在漏洞检测上击败闭源巨头

摘要： 2026年7月2日 · 深度技术研究导语 2026年6月22日，知名代码安全公司 Semgrep 发布了一份引发行业地震的基准测试报告：《We have Mythos at Home: GLM 5.2 beats Claude in our Cyber Benchmarks》。报告显示，智谱 AI 阅读全文

posted @ 2026-09-29 09:01 0xfisher 阅读(6) 评论(0) 推荐(0)

Reverse + Crypto：逆向 RC4 加密程序还原 Flag

摘要：一道 Reverse 类题目，给出了一个 PE32+ x86-64 的 Windows 可执行文件。通过静态逆向分析，发现程序使用 RC4 加密用户输入并与硬编码密文比对。提取密钥和密文后，解密即可得到 flag。免责声明：本文仅为CTF网络安全竞赛技术分析，旨在帮助安全从业者提升逆向工程与密码分阅读全文

posted @ 2026-09-29 09:01 0xfisher 阅读(22) 评论(0) 推荐(0)

CTF 比赛环境搭建与手工解题实战指南

摘要：免责声明：本文档为CTF（Capture The Flag）网络安全竞赛技术学习资料，旨在帮助安全从业者系统提升各方向手工解题能力。文中涉及的所有技术方法、工具使用及攻击手法，仅适用于合法授权的CTF竞赛及安全测试场景。严禁用于任何未经授权的系统入侵、数据窃取或破坏行为。请严格遵守《中华人民共和国网阅读全文

posted @ 2026-09-29 09:01 0xfisher 阅读(48) 评论(0) 推荐(0)

Misc Encode 套娃题：五层编码嵌套完整拆解

摘要：一道典型的 CTF Misc 编码套娃题，密文经过 ROT13 → Hex → Base32 → Base64 → Base85 五层嵌套编码。本文记录从拿到密文到剥出 flag 的完整过程，以及每一层踩过的坑。免责声明：本文仅为CTF网络安全竞赛技术分析，旨在帮助安全从业者提升编码识别与逆向分析阅读全文

posted @ 2026-09-29 09:01 0xfisher 阅读(38) 评论(0) 推荐(0)

Claude Code 攻击面全景：当 AI 编程助手变成攻击入口

摘要： 2026年7月2日 · 深度技术研究导语 Claude Code 是 Anthropic 推出的 AI 编程助手 CLI 工具，能直接读写文件、执行命令、管理 MCP 服务器——这些强大的能力同时也构成了巨大的攻击面。2025 至 2026 年间，多家安全研究机构（Check Point、Cisc 阅读全文

posted @ 2026-09-29 09:01 0xfisher 阅读(9) 评论(0) 推荐(0)

AI 代码正在淹没开源：Godot 为什么对 AI 贡献说不

摘要： 6 月 30 日，Godot 基金会发布了一篇博文《Changes to our Contribution Policies》，宣布了一项在开源圈引发广泛讨论的决定：Godot 将禁止 AI 生成的代码贡献。AI agent 提交的 PR 会被自动封禁，用 AI 写了大量代码而不披露的，也一样。这阅读全文

posted @ 2026-09-29 09:01 0xfisher 阅读(7) 评论(0) 推荐(0)

DeepSeek DSpark 深度解析：不换模型提速 85% 的 Engineering 智慧

摘要：导读： 2026 年 6 月 27 日，DeepSeek 联合北京大学发布了 DSpark——一个开源的大语言模型推理加速框架。它不是在模型架构上做文章，而是在推理引擎层面实现了"涡轮增压"：在不改变模型权重、不影响输出质量的前提下，将 DeepSeek-V4-Flash 的单用户生成速度提升了 6 阅读全文

posted @ 2026-09-29 09:01 0xfisher 阅读(11) 评论(0) 推荐(0)

Anthropic 双线布局解读：Claude Sonnet 5 与 Claude Science 的深层信号

摘要：导读： Anthropic 在 2026 年 6 月 30 日同步发布了两款产品：Claude Sonnet 5（面向通用 Agentic 任务的高性价比模型）和 Claude Science（面向科研工作流的垂直工作台）。这不是简单的产品更新，而是一次清晰的战略分野——"横向能力普及"与"纵向场景阅读全文

posted @ 2026-09-29 09:01 0xfisher 阅读(6) 评论(0) 推荐(0)

当 AI 浏览器学会"2+2=5"：BioShocking 漏洞背后的认知操控危机

摘要：导读：以色列安全公司 LayerX 近日披露了一种针对 AI 浏览器的新型攻击方式——BioShocking。攻击者只需让 AI 接受"2+2=5"这样的虚假前提，就能诱导其进入一种"认知妄想"状态，进而窃取用户密码、Cookie、私有代码等敏感信息。这个漏洞的可怕之处不在于技术复杂度，而在于它直阅读全文

posted @ 2026-09-29 09:01 0xfisher 阅读(8) 评论(0) 推荐(0)

Qwen 3.6 27B：本地部署大模型的"刚好够用"时间点

摘要： Hacker News 今天被一篇 Qwen 3.6 27B 的评测轰到 993 分、644 条评论。标题叫 "Qwen 3.6 27B is the sweet spot for local development"，社区情绪一面倒："这是我用过的第一个真正能打的本机模型。" 过去两年，本地跑 L 阅读全文

posted @ 2026-09-29 09:01 0xfisher 阅读(28) 评论(0) 推荐(0)

Claude Code "后门"事件安全取证深度分析——从Prompt隐写术到源码层的攻击面全景

摘要：一、导语：当开发者工具变成隐蔽通道在软件开发者的工具链中，AI编码助手正从"可选插件"演变为"核心基础设施"。Claude Code作为Anthropic推出的AI编程CLI工具，拥有对本地文件系统、Shell命令、Git仓库乃至凭证存储的广泛访问权限。开发者给予它的信任边界，远超传统IDE插件— 阅读全文

posted @ 2026-09-29 09:01 0xfisher 阅读(23) 评论(0) 推荐(0)

Claude"秘密追踪器"技术解析——Prompt Steganography与API端点检测的攻防博弈

摘要：一、导语：被Unicode字符背叛的信任 2026年7月初，AI安全领域爆发了一场关于"模型客户端遥测边界"的技术地震。Anthropic旗下的编程智能体产品 Claude Code 被逆向工程师发现内置了一套高度隐蔽的环境指纹采集系统。该系统在不通知用户、不写入更新日志的前提下，通过修改 syst 阅读全文

posted @ 2026-09-29 09:00 0xfisher 阅读(13) 评论(0) 推荐(0)

WG-Win-Check：一款 600KB 的 Windows 应急响应瑞士军刀

摘要：应急响应里最烦人的一件事：事态紧急的时候，你需要的不是重装系统，而是快速搞清楚机器上到底发生了什么。Sysinternals 套件很好，但一个个开窗口、手动排查效率太低。商业 EDR 的离线扫描器又往往又大又慢。 WG-Win-Check 刚好卡在这个痛点中间。 600KB，Win32 API，零依阅读全文

posted @ 2026-09-29 09:00 0xfisher 阅读(11) 评论(0) 推荐(0)

从被坑到真相：Multi-Prime RSA 入门与 0CTF 2016 rsa-2 完整折腾实录

摘要：一道看似简单实则暗藏杀机的 RSA 题。我从"n 不是两个素数乘积"开始掉坑，一路挣扎到"gcd(e, φ(n)) ≠ 1"才发现标准解密路被堵死，最后又在 flag 前缀上踩了最后一个坑……本文记录全过程，力求让纯小白也能看懂。 00 前言：我为什么被坑了拿到这道题的时候，我看了一眼提示： Ti 阅读全文

posted @ 2026-09-29 09:00 0xfisher 阅读(11) 评论(0) 推荐(0)

Splunk CVE-2026-20253 分析：PoC 发布 6 天即被野外打穿

摘要： FreeBuf 上有一条新闻：Splunk sidecar 组件的一个漏洞，PoC 公开仅 6 天就被野外利用打穿。更讽刺的是，这个端点的认证校验完全是缺失的——不是实现有 bug，是压根没写。当一个在企业内网广泛部署的日志平台，其 sidecar 组件暴露一个「谁都能写文件」的端点，结果可想而知阅读全文

posted @ 2026-09-29 09:00 0xfisher 阅读(4) 评论(0) 推荐(0)

从零实现 C2 框架（一）：原理、功能与红队视角

摘要： C2（Command and Control）框架是红队基础设施的核心。它不只是发命令收结果这么简单——通信隐蔽性、会话管理、任务编排和抗检测能力，每一层都有大量工程细节。这篇文章从原理出发，拆解 C2 框架的核心模块和设计取舍。下一篇会动手写一个最小化的 HTTP beacon，把注册、心跳、任阅读全文

posted @ 2026-09-29 09:00 0xfisher 阅读(7) 评论(0) 推荐(0)

AI 基础设施安全：从 Ollama 裸奔到 RAG 投毒

摘要：这周 FreeBuf 上两篇文章让我印象很深：一篇讲 Ollama 公网暴露实录，API 全裸、配置全露、两分钟被扫；另一篇讲 RAG 安全审计，LangChain 向量库投毒和检索劫持的全路径检测。两篇其实说的是同一件事——AI 基础设施的安全意识，远远没跟上部署速度。 Ollama：装完即忘的阅读全文

posted @ 2026-09-29 09:00 0xfisher 阅读(6) 评论(0) 推荐(0)

IBM发布全球首款亚纳米芯片：0.7nm「纳米堆叠」架构详解

摘要： 2026年6月25日，IBM在VLSI 2026会议上扔出了一颗重磅炸弹：全球首款亚1纳米芯片技术，节点标注为0.7nm（7埃）。上一回芯片行业这么大动静，还是2021年IBM发布2nm样片的时候。五年过去，晶体管密度翻倍，物理尺度逼近硅原子的极限。现在的"几纳米"已经不代表晶体管的实际物理尺寸了阅读全文

posted @ 2026-09-29 09:00 0xfisher 阅读(8) 评论(0) 推荐(0)

Claude Code DNS TXT提示注入攻击技术分析

摘要：一、概述 2026年6月25日，Mozilla零日调查网络（0DIN）研究员Andre Hall与Miller Engelbrecht发布了一项概念验证攻击：通过DNS TXT记录向Claude Code等AI编程助手投递载荷，在仓库中不含任何恶意代码的情况下建立反向Shell。该攻击与2025年6 阅读全文

posted @ 2026-09-29 09:00 0xfisher 阅读(8) 评论(0) 推荐(0)

从GNOME到KDE到MATE：一个Linux桌面爱好者的返璞归真

摘要：作为一个 Linux 桌面爱好者，折腾桌面环境大概是仅次于写代码的第二大爱好。最近我又把电脑桌面翻了个底朝天，走了一圈 GNOME → KDE Plasma → MATE 的轮回。记录一下心路历程，给同样在坑边徘徊的朋友一点参考。 GNOME — 优雅但叛逆一开始用的是 GNOME。说实话，GNO 阅读全文

posted @ 2026-09-29 09:00 0xfisher 阅读(5) 评论(0) 推荐(0)

导航

公告

2026年9月29日