命令执行是渗透里最值钱的一环，也是最容易被一个糙过滤器挡住的环节。这篇文章不讲思路讲结果——下面每一条 payload 都在真实机器上跑过，命令输出原样贴出，跑...

2026 年 11 月 13 日，InfoQ 中文报了一条消息，黄仁勋辞去英伟达 CEO 职务。消息出来之后，我刷到的讨论基本分成两派，一派在感慨一个时代的结束...

先说我看到的事实。2026年11月13日，安全客公开报道了百度词元所这件事，标题里那句「重新定义AI生意」，把话说得很满。

CVE-2026-106146，CVSS 3.1 给了 8.6，HIGH。我先看的是向量，AV:N、AC:L、PR:N、UI:N，这四个分量连起来的意思是，一个...

零信任端点安全正在从安全圈的热词，变成企业 IT 运维必须交付的实际能力。 当混合办公、业务上云和海量异构终端成为常态，“一次认证、长期放行”的传统模式已无法阻...

设备在线、链路绿灯、CPU 正常——这类监控能保证"网络活着"，回答不了"网络为什么慢、带宽被谁占、资源什么时候不够"。企业网络的故障形态已经从"设备坏了"转向...

“页面要用 SharedArrayBuffer，浏览器却提示 crossOriginIsolated 为 false。”这通常不是 API 问题，而是 COOP...

在一些单位的网络安全建设中，日志审计几乎已经成为基础配置。防火墙、交换机、服务器、数据库、业务系统各自产生日志，通过采集平台统一汇总、归档和分析。随着网络规模扩...

先说结论，这个漏洞不需要你写错任何业务代码。只要你的服务端用 happy-dom 解析过一段来自用户的 HTML，攻击者就能让服务器替他向内网发请求。

勒索软件已从早期单一病毒演变为有组织攻击：加密核心业务数据、停摆生产系统、索要赎金。现代勒索普遍采用无文件攻击、内存加密、变种打包等手段绕过传统特征库，防护思路...

CVSS 3.1 基础分 9.9，向量 AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H。我先把每个分量翻译成现实条件，你看完就知道这个分...

Zip Slip 不是新东西。2018 年 Snyk 披露的时候，一批 Java 生态的项目集体中招，核心就一句话，压缩包里的文件名是攻击者可控的，程序拿它去拼...

摘要：EDR威胁猎捕是安全团队基于假设主动检索终端遥测数据、发现绕过自动检测的潜伏威胁的防御实践，以“假设—检索—研判—处置”闭环把安全运营从被动等告警转为主动...

“加了 CSP 还是被 XSS 打穿”是前端安全里常见的困惑。很多站点只写了 default-src 'self'，却在页面里大量使用内联脚本；为了让它跑起来，...

先把最容易被误读的一点说清楚。Gemini 4 Carbon 对外公布的价格是 Fable 5.2 的四分之一，这个数字来自官方定价页，不是第三方折算。但四分之...

一家金融服务公司发现：自家的客服 Agent 已经悄悄泄露内部定价数据整整三周。取证的结果很反直觉——没有缓冲区溢出，没有 SQL 注入，没有任何传统意义上的漏...

今天 InfoQ 推了一门课，标题是 Agent 从 Demo 到生产还差几步，四周实战。我看到这个标题的第一反应是，四周够不够。