各位 Buffer 周末好，以下是本周「FreeBuf周报」，我们总结推荐了本周的热点资讯、一周好文，保证大家不错过本周的每一个重点！

热点资讯

1. “人肉开盒”再调查：网络灰产隐秘升级，记者买到自己的秘密

“开盒”，即利用非法手段获得并公开曝光他人隐私数据与信息。随着网络暴力的升级，“开盒”逐渐从信息曝光演变为“人肉搜索＋系统性暴力”的结合体。有受访者坦言，几乎没有什么办法制止，“只能等言论自然平息”。

2. Windows文件管理器漏洞可导致网络欺骗攻击，PoC已发布

Windows文件管理器漏洞CVE-2025-24071可导致攻击者通过解压文件窃取NTLM哈希，无需用户交互，PoC已发布。

3. ChatGPT SSRF漏洞迅速成为热门攻击向量（含PoC视频）

威胁行为者利用ChatGPT的SSRF漏洞（CVE-2024-27564）针对美国金融和政府机构发起攻击，一周内超过1万次尝试，凸显中等漏洞的潜在危险性。

4. 谷歌以320亿美元收购Wiz，加速AI时代云安全与多云战略

谷歌以320亿美元收购Wiz，加速AI时代云安全与多云战略，提升网络安全能力，抵御新兴威胁，推动多云普及，保护全球客户数据安全。

5. Linux内核越界写入漏洞导致权限提升

Linux内核存在近20年的严重漏洞（CVE-2025-0927），允许本地用户获取root权限，影响多版本系统。Ubuntu已发布修复程序，管理员需立即更新。

6. CISA 警告 NAKIVO 备份漏洞可能被利用进行攻击，PoC 发布

CISA 就NAKIVO 备份和复制解决方案中的一个严重漏洞发出了紧急警告。该漏洞被标记为 CVE-2024-48248，允许未经身份验证的攻击者从运行该软件易受攻击版本的系统中读取任意文件。

7. 砍掉传统产品，押注AI/数据赋能安全：知名头部安全厂商宣布新战略

美国终端安全头部厂商SentinelOne首席执行官Tomer Weingarten日前表示，公司正将资源倾斜至AI驱动的安全和分析技术等高速增长领域，以满足对其数据业务（如SIEM解决方案）产品的强劲需求。

8. Cloudflare 提升防御能力，应对未来量子安全威胁

Cloudflare 近日宣布，其零信任网络访问（Zero Trust Network Access，ZTNA）解决方案已全面支持后量子密码学（Post-Quantum Cryptography），为企业提供端到端的量子安全连接。

9. 2028年中国网络安全市场规模将超170亿美元，五年复合增长率9.2%

IDC预测，中国网络安全市场规模从2023年的110亿美元增长至2028年的171亿美元，五年复合增长率为9.2%。

10. 上下文合规攻击成功突破多数主流AI模型

一种名为上下文合规攻击（Context Compliance Attack，CCA）的新方法，出乎意料地简单，却能够绕过大多数主流AI系统的安全防护。

一周好文共读

1. 不会有人2025了还不会反弹shell吧？让你的反弹shell从0到1！

本文从服务器开始讲，讲如何搭建服务器反弹shell，为什么要搭建服务器，下载反弹shell的命令，如何避免踩坑，什么是正向反向连接，如何通过python、java进行连接，数据包反弹shell用什么命令，Linux和Windows差别。【阅读全文】

2. 本地部署deepseek风险？部署工具ollama任意文件读取漏洞超详细分析

近日，DeepSeek 爆火，大部分用户都选择使用 Ollama 在本地搭建 DeepSeek 以使用高效、便捷的 AI 模型。然而，随着 Ollama 在本地大规模应用，其安全性问题也逐渐引起关注。鉴于此，本文深入研究 Ollama 相关的潜在漏洞，探讨其在本地部署环境下可能面临的安全风险。 【阅读原文】

3. API安全|深度解析与AI赋能攻防实践

现代Web应用广泛采用前后端分离架构（如Tomcat+Nginx），API作为核心通信桥梁，其安全性直接影响整体系统的防护能力，也因此成为攻击者重点目标。常见攻击包括未授权访问、数据泄露和注入攻击，而随着AI技术的发展，API攻防对抗已进入智能化新阶段。 【阅读原文】