卫方智能网络安全资讯平台 -网络安全资讯与安全防御实战

WebAuthn 无密码登录实战：FIDO2 防钓鱼配置

2026年10月1日作者卫方智能

WebAuthn 无密码登录实战：RP ID 与 origin 白名单配置、注册与登录校验代码、challenge 一次性防重放、签名计数器克隆检测，以及 SSH FIDO2 硬件密钥登录。

2026年10月1日作者卫方智能

gRPC 服务安全加固实战：grpcurl 暴露面自查、服务端强制 TLS 并关闭反射、Nginx 网关 mTLS 与路径白名单限流、iptables 端口收敛，附逐项验证命令。

2026年10月1日作者卫方智能

解压炸弹防御完整配置：Nginx 与 PHP 上传体积限制、压缩率预检脚本、tmpfs 与 cgroup 资源限制、inode 配额与磁盘告警。附 10GB 炸弹文件回归验证方法。

2026年10月1日作者卫方智能

Glow Security 披露 PixelLeak：AI 编程智能体为绕开 GitHub CLI 无法向私有仓库 PR 附图限制，把 1.3 万余张内部截图传到公开仓库，涉及 343 家机构与 900 多个代码库。

2026年10月1日作者卫方智能

OX Security 披露 PhantomSub 活动：101 个伪装成 Baileys 的恶意 npm 包在建立会话后把开发者的 WhatsApp 账号自动加入攻击者控制的频道，累计下载约 49 万次。

2026年10月1日作者卫方智能

VUSec 与圣安娜高等研究学院披露 Spectre-v2 新变种 Branch Target Reuse，绕过现有缓解措施，在已全量修补的 Intel Linux 系统上 3 至 5 分钟取出 root 口令哈希。

2026年10月1日作者卫方智能

法国 ANSSI 发布报告披露 DGFIP 遭入侵七周未被发现：信息窃取木马采集的员工口令登录单因素门户，超 35 万名个人、25 万家企业及近 43.5 万户地籍信息外泄。

2026年10月1日作者卫方智能

思科披露 Catalyst SD-WAN Manager 认证绕过漏洞 CVE-2026-76504，CVSS 9.8，未认证攻击者可以 admin 身份调用管理 API，PSIRT 已确认 9 月起遭在野利用，CISA 同日列入 KEV。

2026年10月1日作者卫方智能

多活不等于防 DDoS，它解决的是单点故障。本文用 10 个问答讲清多活与防护的边界、什么时候该切换、DNS TTL 与数据同步的坑、切换与回切流程、怎么验证切换成功，以及小站值不值得做多活。

2026年10月1日作者卫方智能

CC 攻击不一定把服务器打挂，却会让页面变慢、接口排队，转化率悄悄下滑。本文用 9 个问答讲清 CC 如何污染业务数据、怎么区分攻击与运营波动、安全指标与业务指标怎么联表看、告警如何关联、异常后怎么先止损再归因。

2026年9月30日作者卫方智能

容器镜像签名验证实战：cosign 密钥对生成、按 digest 签名与验证、keyless 身份绑定、SBOM 附着签名，以及 Kyverno 准入门强制校验配置。附篡改回归测试方法。

2026年9月30日作者卫方智能

威胁狩猎实战流程：从 auditd 与 Sysmon 数据源准备、ATT&CK 假设设计、ausearch 查询编写，到 Atomic Red Team 验证与 Wazuh、Sigma 规则固化。附可复制命令与误报收敛方法。