Directory TryHackMe WalkThrough
三句話摘要
、 等）完成分析。
重點整理
重點- 1
等）完成分析。
- 2
等你提供正確的影片逐字稿！
關鍵時刻
Pipeline v2帶時間戳的重點，會在逐字稿層級分析上線後產生。目前請先透過原始影片觀看。
事實查核
Pipeline v2說法查證是下一次管線升級的一部分。KeyFrame 只會顯示它真正能驗證的內容。
更多「Web2 安全」的內容
編輯精選
8 minRisky Bulletin: Russia starts blocking DoH and DoT
Risky Business
- 國家級網路管制層級提升：俄羅斯主動封鎖加密 DNS 協定對抗審查工具，中國加速淘汰 Windows 系統並遷移自主 Linux 發行版，各國正透過技術與法律手段強化網路主權與信息控制能力。
- 詐騙犯罪走向精密化與自動化：從冒充警察的聲音詐騙（竊取 7.2 百萬美元）、AI 語音代理自動化破解 iPhone 啟用鎖、到跨越數百網站的投資詐騙（詐騙 7400 萬美元），犯罪組織正利用自動化工具與 AI 技術大幅降低成本並擴大規模。
- AI 惡意軟體威脅實際上被嚴重誇大：405 個整合 AI 的惡意軟體樣本中僅 12 個於真實感染被偵測，其餘來自測試環境，證明當前 AI 惡意軟體仍停留於實驗階段，尚未構成主流威脅。
5 minSANS Stormcast Wednesday, August 26th, 2026: Obfuscating SSRF; Paint and Photos AI Watermarks; FTP Banner C2;
SANS Stormcast
- SSRF 攻擊者已進化出高級繞過手段，不直接使用元數據服務 IP（169.254.169.254），而改用專門域名服務將請求轉址，支援點或破折號分隔 IP，甚至可自部署 DNS 伺服器進行 DNS 重綁定攻擊，使傳統簡易過濾機制失效。
- 本地 AI 模型並非完全隱私：微軟 Paint 雖在本地執行生成邏輯，但安全檢查需上傳提示文字至遠程伺服器，返回時圖像內嵌不易移除的伺服器 GUID 隱形浮水印，可見浮水印（Copilot 圖標）則易被移除。
- 傳統 FTP 協議被新型惡意軟體重新利用為命令控制通道，透過 FTP banner 傳遞指令於連接埠 21，防守者應視任何出站 FTP 流量為異常信號。
7 minSANS Stormcast Tuesday, August 25th, 2026: DOUBLECUP PNG; WebAudio Fingerprinting; Expired Domains; Android; Car
SANS Stormcast
- PNG 容器攻擊的簡易性設計：Double Cup 不依賴複雜的 Exif 或隱寫技術，只用 PNG 副檔名和檔頭來偽裝，核心是利用 findstr 指令的常見可用性讓執行變得無需額外工具。
- Web Audio API 的隱密指紋識別：音訊於增益零的無聲狀態下播放，使用者完全無感，但錄製波形足以建立裝置特徵，在瀏覽器原生功能層面難以區分是反詐欺還是過度追蹤。
- 域名過期引發的串聯漏洞：DMARC 報告端點使用過期域名是常見疏漏，允許攻擊者透過簡單的域名註冊取得他人的 SPF/DKIM 錯誤報告，進而收集目標系統配置情報。