网络安全

在 Alpine 的 OpenSSH 上复现 CVE-2026-123158：musl 的 crypt 在口令超过 256 字节时返回星号，与口令字段为星号的账号相等，认证被误判为通过。实测 257 到 1024 字节的口令可在同一连接内绕过认证，并与已修复的 9.7p1-r6 做对照。

在 Redis 8.6.2 上复现 CVE-2026-23631：慢脚本超时后钩子进入事件循环，主从全量同步把仍在执行的 Lua 引擎释放，形成释放后使用。先用 gdb 抓到同一 lua_State 被二次释放的调用链，再用公开利用链取得 redis 用户命令执行与反弹 shell，并与修复版本 8.6.6 做对照。

记录在 PostgreSQL 18.4 上从公开 PoC 走到自建利用链的研究过程。从分配器方法表的来源讲起，依次建立观测手段、筛选写原语、解决地址漂移、在块头约束下改用复位回调，最终取得反弹 shell。

CVE-2026-14669 是 PostgreSQL to_char 处理时区缩写时的堆溢出。结果缓冲区按格式化串长度分配，每个格式字符 12 字节，而 TZ 项把会话时区缩写直接 strcpy 进去且不校验长度。会话时区是普通用户可改的参数，因此任意可登录账号都能让后端越界写，公开利用已在小版本上打通到命令执行。

CVE-2026-111497 是 Node.js 内置 Brotli 解码器中的堆越界写。解码器将无效的块切换状态误判为输入不足，继续向 8 字节暂存区追加数据，溢出后覆盖相邻字段。本文从端口扫描与业务探测入手，确认目标会将攻击者可控的 Brotli 流送入解码器，随后定位崩溃点并完成远程命令执行。

CVE-2026-109618 与 CVE-2026-109619 都发生在 PHP 请求启动阶段，利用 session.upload_progress 的默认开启，用 memory_limit 触发的 OOM bailout 跳过清理，把悬空指针留给同一个 worker 的下一个请求，最后用伪造的 zend_array 把 pDestructor 指向 zif_system 执行命令。

CVE-2024-2961 是 glibc iconv() 转换 ISO-2022-CN-EXT 时最多越界写 4 字节的堆溢出，CVSS 7.3。PHP 应用只要存在任意文件读取，攻击者就能用 php://filter 串接 convert.iconv 把越界写投放到 ZendMM 的空闲链表上，控制下一次分配的位置，再覆盖 zend_mm_heap 的函数钩子执行命令。本文在 Vulhub 的 php/CVE-2024-2961 靶场（PHP 8.3.4 + glibc 2.36）完成从指纹识别、过滤器逐项验证到 webshell 落地的完整复现。

React Server Components 传输协议（Flight）反序列化引入的未授权远程代码执行漏洞，CVSS 10.0，影响 React 19.0.0、19.1.0、19.1.1、19.2.0 与使用 App Router 的 Next.js 15.x、16.x。本文在 Vulhub 环境中完成从指纹识别、原型链污染验证到命令回显的完整复现，并拆解 Flight 协议对象恢复机制中的利用链条。

OpenSSL 的 BN_mod_sqrt() 函数在模数为合数时会陷入无限循环，解析包含畸形椭圆曲线参数的证书即可触发，造成拒绝服务，CVSS 7.5，影响 OpenSSL 1.0.2、1.1.1、3.0 三个分支。本文在 Vulhub 环境中复现两个场景：诱使客户端解析恶意证书，以及主动攻击开启客户端证书校验的 Nginx 服务。

ownCloud GraphAPI 插件把第三方库中的调试文件 GetPhpInfo.php 部署到生产环境，未授权攻击者借助 Apache PathInfo 特性在路径末尾附加静态后缀，绕过 URL 重写规则触发 phpinfo() 输出，泄露包含管理员凭据的服务器环境变量。CVSS 10.0，graphapi 0.2.x／0.3.x 受影响，ownCloud Server 10.13.3 以下均预装受影响版本。本文基于 Vulhub 靶场复现完整利用过程。

Debian/Ubuntu 打包 Redis 时改为动态链接系统 Lua 库，未正确清除 Lua 的 package 变量，攻击者可通过 eval 命令执行 Lua 脚本，用 package.loadlib 加载系统 liblua 并导出被禁用的 os 模块，实现沙箱逃逸与远程代码执行。CVSS 10.0，影响 Debian buster/bullseye 与 Ubuntu 20.04/21.10 的 apt 安装版 Redis。本文基于 Vulhub 靶场复现并获取 root 权限反弹 Shell。

Ubuntu 内核自带的补丁允许普通用户挂载 OverlayFS，但同步扩展属性时未校验 security.capability 的写入来源，普通用户可在用户命名空间内给文件写入全部特权的能力位并持久化到磁盘，执行后获得 root 权限。CVSS 7.8，影响 Ubuntu 20.10、20.04 LTS、18.04 LTS 等版本的内核。本文基于 Vulhub 靶场复现并拆解利用链。

sudo 在 sudoedit 模式下处理以反斜杠结尾的参数时发生堆缓冲区溢出，攻击者通过精确的堆布局覆盖 NSS 库加载路径，让以 root 身份运行的 sudo 加载恶意共享库，本地普通用户直接获得 root 权限。CVSS 7.8，影响 sudo 1.7.7-1.7.10p9、1.8.2-1.8.31p2、1.9.0-1.9.5p1。本文基于 Vulhub 靶场复现并拆解堆溢出与库劫持的利用链。

polkit 的 pkexec 是 SUID root 程序，处理参数数量为 0 的调用时越界读写环境变量，把解析结果写回越界位置，攻击者借此注入 GCONV_PATH 环境变量，诱导 glibc 加载当前目录下的恶意 gconv 模块，普通用户直接获得 root 权限。CVSS 7.8，2009 年 pkexec 首次发布以来的所有版本均受影响。本文基于 Vulhub 靶场复现并拆解利用链。

Confluence 的多个 .action 页面将用户输入的 queryString 参数直接嵌入 WebWork 标签属性渲染，OGNL 引擎对回显内容进行二次解析，攻击者通过单引号拼接绕过纯文本处理，注入 OGNL 表达式调用 Java ScriptEngine 执行任意命令，匿名用户即可触发。CVSS 9.8，影响 6.13.23 之前的全部版本及 7.4.11、7.11.6、7.12.5 之前的各分支。本文基于 Vulhub 靶场复现并逐层拆解 Payload。

GitLab 处理用户上传图片时调用 ExifTool 解析元数据，ExifTool 的 DjVu 解析模块存在 Perl 代码注入，攻击者上传伪装成 JPEG 的恶意 DjVu 文件即可在服务器上执行任意命令；上传接口无需登录，仅需登录页公开的 CSRF 令牌。CVSS 10.0，影响 GitLab 11.9 起至 13.8.8、13.9.6、13.10.3 之前的版本。本文基于 Vulhub 靶场复现并拆解注入原理。

Spring Framework 的参数绑定机制允许通过 class.module.classLoader 路径访问 JDK 9+ 新增的 Module 对象，绕过原有黑名单，篡改 Tomcat 的 AccessLogValve 日志配置，将访问日志写入 Web 目录并命名为 .jsp 文件，生成持久化 Webshell。CVSS 9.8，影响 Spring Framework < 5.3.18 / < 5.2.20 且运行于 JDK 9+ 与 Tomcat 的场景。本文基于 Vulhub 靶场复现并拆解利用链。

Spring Cloud Gateway 的 Actuator 端点未授权暴露时，攻击者可通过 POST 请求动态添加路由，在过滤器参数中嵌入恶意 SpEL 表达式，网关刷新配置时解析执行该表达式，实现未授权远程代码执行。CVSS 10.0，影响 Spring Cloud Gateway 3.1.x < 3.1.1、3.0.x < 3.0.7。本文基于 Vulhub 靶场复现并拆解利用链。

Log4j2 对日志消息中的 ${} 语法解析过于宽松，支持 JNDI 协议表达式且不限制远程类加载，攻击者通过任何会被记录的输入（URL 参数、请求头等）传入 ${jndi:ldap://...}，即可诱导服务器从远程加载恶意 Java 类执行。CVSS 10.0，影响 Log4j2 2.0-beta9 至 2.14.1，即社区所称 Log4Shell。本文基于 Vulhub 靶场复现并拆解利用链。

CVE-2020-14882 利用二次 URL 编码的路径遍历绕过管理控制台权限检查，实现未授权访问；CVE-2020-14883 在控制台的处理句柄参数中注入 OGNL 表达式触发代码执行。两者组合即可从未授权直达任意命令执行。CVSS 9.8 / 7.2，影响 WebLogic 10.3.6 至 14.1.1 全部版本线。本文基于 Vulhub 靶场复现三种利用方式。

Tomcat 默认开启的 AJP 协议连接器未对请求属性做来源校验，攻击者可通过 AJP 端口构造包含属性，读取 Web 应用目录下的任意文件，配合文件上传可实现远程代码执行。CVSS 9.8，影响 Tomcat 6.x、7.x < 7.0.100、8.x < 8.5.51、9.x < 9.0.31。本文基于 Vulhub 靶场复现文件读取并分析 AJP 协议缺陷。

Struts2 标签库的 id 属性会对属性值进行二次 OGNL 解析，当属性值引用了攻击者可控的输入时，攻击者可构造恶意 OGNL 表达式绕过沙箱执行任意代码。CVSS 9.8，影响 Struts2 2.0.0-2.5.20。本文基于 Vulhub 靶场复现并拆解沙箱绕过与命令执行的利用链。

VulnHub 靶机 HackInOS 的通关记录：arp-scan 定位靶机后，经 wpscan 与 dirsearch 发现 WordPress 5.0.3 与可疑的 upload.php 上传接口，伪造 GIF 文件头绕过 getimagesize 检查上传一句话木马，爆破 MD5 随机文件名触发反弹 Shell；从容器内 MySQL 的非标准表 host_ssh_cred 获取宿主机 SSH 凭据，最终利用 docker 组成员身份挂载宿主机根目录完成 Docker 逃逸获取 root。

VulnHub 靶机 Super-Mario-Host 的通关记录：从 arp-scan 内网探测定位靶机，经 nmap 端口扫描与 dirb 目录扫描发现 VirtualHost 配置文件，绑定域名后找到 command.php 用户枚举接口，用 cewl 生成的自定义字典爆破出 luigi 的 SSH 密码，受限 Shell 中经 awk 逃逸，最后利用 Linux 3.13.0 内核的 OverlayFS 提权漏洞（EDB-37292）拿到 root 与 flag。