PHPCMS 9.6.3后台任意文件写入getshell
本博客所有文章除特别声明外，均采用 CC BY-NC-SA 4.0 许可协议。转载请注明来源 Cr4at0r's Blog！
相关推荐
2022-10-27
Cobalt Strike <=4.7 RCE漏洞复现-反制攻击者PC
2026-10-07
AI 基础设施安全：云、容器与 GPU 逃逸
前几篇的攻击落在模型、Agent、RAG 或供应链上。这篇要写的是更底层的场景：攻击者根本不碰模型，直接从基础设施的配置错误拿走整个环境。 一个 SSRF 拿到云账号凭证、一条 IAM 链提权到管理员、一个 Pod 里的 ServiceAccount Token 直接调 K8s API，最后从 GPU 容器逃逸到宿主机。每一步用的都是已有的功能或默认配置，不是漏洞利用。 AI 系统特别容易命中这些问题，原因是它天然把三类高危组件绑在一起：有出站 HTTP 请求能力（URL 抓取、插件调用）、跑在云上且需要 IAM 角色访问存储和模型 API、部署在 K8s 里并挂载 GPU。三者叠加后，攻击面不是加法，是乘法。 一、从 SSRF 到云凭证AI 服务几乎都有出站 HTTP 能力：Agent 的 web_fetch 工具、RAG 的 URL 入库、Webhook 回调、OpenAPI 插件的远端 schema 加载。攻击者把这些功能的 URL 参数指向云元数据端点，就能拿到当前实例的 IAM 临时凭证。 云厂商的元数据端点 云厂商 端点 版本 鉴权要求 AWS http:/...
2026-10-08
AI 目标威胁建模：某 Agent 靶场实践
这是一次某 Agent 靶场实践的复盘。靶场代号 AgentRange-01，模拟的是一个金融场景里的「智能财富助理」：用户通过聊天入口查产品、看行情、读研究报告，Agent 背后接了 RAG、工具调用、风控和内部服务。靶场不是真实客户项目，所有域名、IP、模型名和产品名都只存在于隔离环境里。 这次实践给出的条件很有限：没有完整架构图，没有代码仓库，只有对外聊天入口、一个 UAT 入口、少量脱敏情报和一份演练授权。目标是回答三个问题：这个 Agent 系统里有哪些边界？哪些边界能被组合成攻击路径？如果要修，控制点应该放在哪里？ 所以这篇不写「先了解业务、再识别资产、最后评估风险」这种空转流程，而是把威胁建模拆成可执行动作：把零散情报压成架构图，用低频探测确认防护，把攻击面映射成候选路径，再决定先测哪里、停在哪里、怎么写报告。 0. 靶场背景1. 业务设定AgentRange-01 模拟一家金融机构对外提供的财富助理 Agent。用户可以问基金净值、查看资产配置建议、检索研究报告。系统对外只暴露一个自然语言入口，但内部按企业 AI 应用常见方式拆成多个组件： 12345678910...
2026-09-21
MCP暴露面的安全问题：从发现到利用
MCP（Model Context Protocol）是 Anthropic 在 2024 年底推出的开放协议，目标是让 LLM 能以标准化方式连接外部工具、数据库和服务。一年内已有数千个 MCP Server 实现，覆盖从数据库查询到 Kubernetes 操作的各类能力。 但 MCP 的设计起点是「方便接入」，不是「安全部署」。规范没有强制认证，工具列表是公开的能力清单，资源 URI 直接暴露内部路径——这些设计选择让 MCP Server 的暴露面比传统 HTTP API 大得多。 这篇文章把 MCP 的暴露面拆开：先看协议设计带来了哪些天然的攻击面，然后走一条完整的攻击链，最后给出具体的修复建议。 MCP 协议是什么MCP 基于 JSON-RPC 2.0，定义了 Client 与 Server 之间的通信方式。Server 暴露三类能力： Tools：LLM 可调用的函数，如 run_sql_query、deploy_to_k8s、send_email Resources：可读取的数据，如文件内容、数据库记录 Prompts：预定义的提示词模板 传输层经历了三代演进，...
2026-09-21
AI系统信息收集：从HTTP头到模型行为的侦察方法
AI 系统的暴露面大致分散在四个地方：HTTP 响应头、源码仓库、前端 JS、以及它和用户对话时的行为。这篇文章按这四个位置把可探测的信息逐条拆开——每条给完整报文或命令，然后说明这个信息后续怎么被用。 传统渗透里靠端口扫描和服务指纹就能摸清目标，但对现代 AI 应用这套方法收效有限——从外网看通常只有一个 443 端口，没有错误页，也没有可区分的服务特征。但暴露面不等于端口——AI 系统的情报大多不在网络层，而在响应头的自定义字段、前端 JS 配置、git 仓库里的提示词和 RAG 配置，以及模型回答问题的行为特征里。 侦察分被动和主动两个阶段。 一、被动侦察四个切入点被动侦察的定义：只看公开可见的东西，不发任何针对性请求。目标的日志里不会有针对你的记录。 1. HTTP 响应头开发团队常在网关或应用层加自定义调试头： 12345678910GET / HTTP/1.1Host: target.comHTTP/1.1 200 OKServer: nginx/1.24.0X-App-Version: 2.3.1X-Model-Provider: openaiX-Model-Nam...
2026-10-13
AI 红队不是传统渗透：安全人必须先重建的 6 个认知
最近学了一段时间的AI安全，我觉得传统红队经验能迁移到 AI 安全，但不能原样照搬。可以继续用侦察、攻击面枚举、权限提升、横向移动、证据链和报告表达这些思维方式，可是目标系统已经变了。 AI 红队不是「拿一堆越狱提示词去问模型」。那是测试里的一个片段，不是红队。真正的 AI 红队要回答的是：一个企业把模型、数据、工具、身份和业务流程接在一起之后，攻击者能不能让系统做出业务不希望它做的事？ 这篇是新版 AI 红队路线的起点，我把 AI-RTA 课件里的基础概念重组成更适合国内安全从业者的版本。它不讲数学推导，也不给可直接复用的攻击命令，重点是把六个常见误解掰开： AI 红队测的是系统，不只是模型； 攻击面不在端口列表里，而在数据流和权限图里； 基础设施、数据、模型、应用四类向量要串起来看； 输出不确定，证据链必须重新定义； 授权范围不只是“能不能访问某个 URL”； MITRE ATLAS 和 OWASP 是沟通地图，不是照抄剧本。 一、认知一：AI 红队测的是系统，不只是模型很多人把 AI 红队理解成“测试模型会不会被越狱”。这个理解太窄了。 模型当然重要，但在企业环境里，...