tcsecXD-优快云博客

原创投毒预警-keyv库

2026年8月4日（UTC），攻击者入侵了keyv库的维护者GitHub账户。

2026-08-05 14:21:04 415

原创投毒预警官方 npm 账号失陷导致 32 个包遭投毒通过 easy-day-js 下载远程有效载荷

一名攻击者接管了一名 Mastra 维护者的账号，并利用该账号对项目进行了大规模篡改。在短短 27 分钟内，他们重新发布了整个 @mastra 目录下的所有包。他们并没有动 Mastra 自身的代码，而是在每个包中都修改了一行代码，添加了一个指向名为 easy-day-js 的伪造组件的隐藏链接——该组件是针对广泛使用的工具 dayjs 的仿冒品。Mastra 是一个开源工具包，软件开发者利用它来构建 AI 应用和智能体（agents）。

2026-06-17 16:40:13 406

原创组件投毒预警：atool npm 维护者账户被接管，317个包遭凭证蠕虫攻击

近日，npm 生态爆发一起高危供应链投毒事件。公开情报显示，npm 账户于2026 年 5 月 19 日被攻击者劫持，随后在短短22 分钟内，以自动化方式集中发布了317 个软件包中的 637 个恶意版本，呈现出明显的批量化、蠕虫化攻击特征。此次受影响的软件包覆盖面极广，既包括前端开发中的高频基础依赖，也包括大量企业常用的数据可视化与图分析组件。（每月下载量约420 万（每月下载量约380 万（每月下载量约220 万timeago.js（每月下载量约115 万以及数百个@antv/作用域下的软件包。

2026-05-20 11:17:44 401

原创核心 npm 库 `node-ipc` 遭遇供应链投毒，针对开发者实施大规模凭据窃取

2026年5月14日 22:25，周下载量逾82万次的 Node.js 进程间通信库node-ipc突发严重供应链攻击。攻击者利用共同维护者账户atiertant) 在数分钟内连续发布了9.1.6、9.2.3 和 12.0.1三个恶意版本。由于该维护者此前从未有过发布记录，初步研判为账户失陷（Account Takeover）。受感染版本均植入了一个高度混淆、大小约 80KB 的恶意载荷。该载荷一旦被应用加载，将立即在后台静默搜集并外传超过90 类AWS、Azure、GCP、阿里云凭证；

2026-05-18 11:15:03 413

原创 axios-1.14.1-supply-chain-attack-CN

2026 年 3 月 31 日，发生了一起针对 JavaScript 生态核心组件的高级供应链攻击事件。攻击者通过劫持 Axios 首席维护者的 npm 账户，以合法身份向官方 npm 注册表推送了两个被植入恶意代码的版本：axios@1.14.1与 axios@0.30.4。Axios 是目前 npm 下载量最高的 HTTP 客户端库之一，每周下载次数超过，被广泛应用于 React、Vue、Angular 等前端框架，以及 Express、NestJS、Koa 等 Node.js 后端项目。

2026-03-31 15:33:09 608

原创重磅发布丨安全玻璃盒RASP护网版本，以攻防驱动安全

安全玻璃盒全新打造的护道RASP-攻防对抗版，能够在攻防对抗的事前、事中、事后三个阶段分别为蓝队（防守方）进行多种安全能力辅助。

2024-07-01 16:47:37 1224

原创 MySQL注入绕过

本文主要结合本人绕过最近某rasp和一些waf的经验，分享绕过waf的思路，MySQL测试版本（8.0.31）。

2023-03-24 16:40:26 674

原创 Tcsec安全研究院|fastjson漏洞分析

fastjson 是一个 Java 库，可用于将 Java 对象转换为其 JSON 表示形式。

2023-02-14 16:12:56 2268

原创 Tcsec安全研究院|postgreSQL与Mysql利用的一些差异

postgreSQL与Mysql利用的一些差异

2022-11-17 10:15:31 398

转载安全玻璃盒|《数字金融软件供应链安全解决方案》

《数字金融软件供应链安全解决方案》基于DevSecOps理念和配套安全产品，以准入安全、安全开发一体化、全流程自动化、合规化、准出安全为主要建设模块，实现软件供应链全链路的多维、全面安全保障。通过对业务和场景进行梳理，对供应商和引入的开源或非开源项目进行筛选，并将在建或运营的项目纳入系统的监控范围，建设动态的、可持续性的安全体系(技术、管理、运维)，保障金融企业数字应用的机密性、完整性、可用性，确保业务在安全的环境下稳定运行。

2022-09-13 17:13:22 294

原创安全特辑|《安全软件工厂白皮书》知识分享

安全软件工厂

2022-07-01 11:35:46 998

原创 IAST技术知识-Java环境Agent部署知识干货分享

本期【千方百计】主题：Java环境Agent部署知识分享。欢迎在评论区发言、讨论、分享有关IAST的热知识哦！也欢迎广大“路人甲”小伙伴对【甲乙磁场】活动提出问题和建议！我们肥肠希望与【甲乙磁场】的关注者之间触发安全磁力哦！贴贴~...

2022-06-10 15:56:13 696 1

转载安全玻璃盒|获国际权威认可，成为IDC Innovators 中国DevSecOps技术创新者

引言日前，全球领先的IT咨询机构IDC（International Data Corporation）发布《IDC Innovators: 中国DevSecOps技术，2022》（Doc # CHC47745422）。IDC基于对DevSecOps生态链中各厂商的分析，从公司规模、产品技术，到行业和客户，生态系统建设以及未来发展战略等方面对该领域的新兴公司进行了考察，最终，【安全玻璃盒】孝道科技以自主研发国内首个“All in one三合一”交互式应用安全检测和开源成分安全分析与免疫防御一体化平台，实现D

2022-05-31 14:37:56 217

tcsecXD的博客