本期有两个故事的开头如出一辙：一个没有人足够仔细盯着的文件共享系统。
在美国国防人力数据中心（Defense Manpower Data Center），外部人员连续数月都能访问这样一个系统。超过 3 million 人受到影响，其中部分记录将个人信息与军事职务关联在一起。随后，在本期技术研究中，我们拆解了另一个文件共享系统。在 ShareFile Storage Zone Controller 中，一个并未真正终止页面执行的登录重定向，再加上一个上传功能，就足以让攻击者实现远程代码执行。
系统不同，问题却相同。文件共享服务器看起来只是管道，但它紧挨着人们真正在意的数据，而且通常是刻意暴露在互联网上的。
因此，本期深度解析提出了一个显而易见的问题：一旦姓名和社会安全号码（SSN）与军事岗位关联在一起，这些 DMDC 记录究竟价值几何？一年的信用监控能否应对真正要紧的风险？此外，我们还会介绍 Have I Been Pwned 及其创建者 Troy Hunt，预告欧洲委员会的 Octopus Conference，并汇总本周新闻。
本期内容
🌡️ 威胁等级：升高
⚡ 新闻：三起将暴露的基础设施变成数据风险的事件
🔎 深度解析：3 million 条军方记录遭泄露，它们对拿走的人值多少？
🎣 这是钓鱼吗？
🔬 技术研究：登录页面把您重定向走了，同时也把管理面板发给了您
🛠️ 本周工具：Have I Been Pwned
👏 本周人物：Troy Hunt
📅 本周活动：Octopus Conference 2026
📚 本周书籍：Kingpin
😅 本周梗图
❓ 离开前的一个问题
让我们开始吧。
🌡️威胁等级
厨房，正在沸腾
⚡板块 01：新闻
求职者，打包带走
ShinyHunters 声称从 FBI 招聘门户窃取了 2 至 3 TB 数据
9 月 23 日，在 ShinyHunters 声称已入侵 fbijobs.gov 并窃取了员工和求职者数据之后，FBI 表示正在调查一起网络安全事件。
该组织称其掌握了 2 至 3 TB 的文件。作为证据，它向记者提供了约 5,000 条记录的样本：姓名、地址、电话号码、出生日期、社会安全号码和紧急联系人。部分条目还列出了外勤办公室，以及情报、安全和反间谍方面的工作。
记者能够核实样本中的部分内容，但无法核实整个数据集。FBI 尚未确认数据量，也未说明攻击者是如何入侵的。它表示，入侵点可能在其自身环境中，也可能在为该招聘门户提供支持的某个第三方那里。
为什么重要：单独一个 SSN 是身份盗用问题。而一个 SSN 加上外勤办公室、工作类型和一份家庭联系人名单，就是另一回事了。它会告诉别人该监视谁、冒充谁、向谁施压，以及该向谁发送一封高度定制的钓鱼邮件。
招聘系统也会透露其背后组织的大量信息。综合求职申请、推荐信、体检表和任职履历，就能推断出谁在哪里工作、哪些团队在招人，以及谁可能会收到一条敏感的内部消息。信用监控也许能发现金融欺诈，但对此无能为力。
入侵点不明本身就是一个警告。求职者数据通常会经过该机构、招聘平台以及多家承包商。如果需要花上几周时间才能弄清谁持有数据、谁运营这个应用、谁掌握日志，这种混乱就会拖慢整个响应过程。
应根据招聘和人力资源系统所持有的数据对其进行分级，而不是根据门户的名称。
网关，送上烤架
Citrix 修复两个已遭在野利用的 NetScaler 零日漏洞
9 月 27 日，Citrix 披露了 NetScaler ADC 和 Gateway 中的两个严重漏洞：CVE-2026-88771 和 CVE-2026-88772。两者评分均为 9.5，Citrix 表示已发现它们在未采取缓解措施的部署中遭到利用。
CVE-2026-88771 是一个输入验证缺陷，可让未经身份验证的攻击者在设备上执行命令。CVE-2026-88772 是一个内存溢出漏洞，在启用 DTLS 时可导致远程代码执行或拒绝服务。
Citrix 要求客户立即更新。CISA 将这两个漏洞加入了其已知被利用漏洞（KEV）目录，并更进一步建议：在打补丁之前先检查入侵迹象，并保留取证证据。
为什么重要：NetScaler 位于外部用户和内部应用之间。它负责终结连接、代理远程访问，并且视配置而定，还会处理登录、会话状态、证书以及深入内部网络的流量。在这台设备上执行代码，会让攻击者处于一个高度受信任的位置。
这就是为什么打补丁并不意味着结束。更新堵住了漏洞，但不会清除此前已经进入的人，也不会作废他们可能已经拿到的会话、凭据或密钥。
如果您有一台面向互联网的易受攻击 NetScaler，请将其视为一起可能的安全事件。打上补丁、终止活动会话、轮换它能触及的所有密钥、检查配置和文件系统的变更，并将其活动与保存在该设备无法触及之处的日志进行比对。
“打补丁了吗？”是个简单的问题。真正有用的问题是：在您打补丁之前，这台设备都在做什么。
僵尸网络，加点新花样
一个僵尸网络正在其控制的主机上部署 AI 智能体
9 月 30 日，新加坡网络安全局（CSA）就 CARBONATO 发出警告。该攻击活动针对的是将 Remote API 暴露在互联网上且未启用身份验证的 Docker 主机，通常位于 TCP 2375 端口。
一旦找到这样的主机，该僵尸网络就会利用 Docker 自身的 API 启动一个特权容器，从而访问主机的文件系统、进程和网络。它会建立远程访问、添加多层持久化机制，并每五分钟扫描一次邻近网络，寻找更多暴露的 Docker 守护进程。
它还会安装开源智能体框架 Hermes Agent。攻击者几乎没有改动框架本身，只是把它的 persona 文件换成了一组指令，让它通过 Telegram 接收任务、执行命令并收集凭据。
为什么重要：操控僵尸网络的并不是 Hermes。入侵、持久化和传播仍然由普通脚本完成。智能体是在主机被控制之后才部署的，它让操作者能够灵活决定在每台机器上下一步做什么。
这正是值得关注之处。这里没有人打造自主恶意软件。他们只是拿来一个现成的智能体框架，把它嫁接到一条标准的入侵链上，并改了一个简短的文本文件。这比定制恶意软件容易复制得多。
这些指令还把 AI API 密钥列在了窃取清单的首位，排在 SSH 凭据、访问令牌和数据库之前。被盗的密钥可以为攻击者自己的自动化买单，让他们用上更好的模型，或者为进入企业内部 AI 服务打开一条通道。
封禁 Hermes 并不是答案，因为有很多人在合法使用它。应该关注它周围的迹象：未经身份验证的 Docker API、无人启动的特权容器、无法解释的 Telegram 流量、被修改的 persona 文件，以及让已删除容器重新出现的持久化机制。
🔎板块 02：深度解析
百万条军方记录遭泄露，它们对拿走的人值多少？
记录，论斤称卖
2026 年 7 月 16 日，美国国防人力数据中心（Defense Manpower Data Center，DMDC）在其一个文件共享系统中发现了一个漏洞。该机构修复了系统，使其重新上线，并寄出了通知信。所有受影响者都获得了一年的信用监控和身份恢复服务。
从纸面上看，这是一次标准的泄露响应：修复缺陷，通知相关人员，监控欺诈行为。
然而，这些信件中包含一个细节，让人很难就此翻篇。每一位受影响者的社会安全号码都遭到了泄露，此外还至少泄露了另一项信息。这可能是姓名、出生日期、联系方式、性别、种族，或者军事人事信息，包括职业专长。
所以问题在于，这仅仅是一次大规模个人数据泄露，还是有人拿走了一份可用于识别和锁定军事人员的有用名单。我们目前还无法回答这个问题。但我们可以看看这些数据是什么、类似的数据过去是如何被利用的，以及当前的响应是否针对了正确的风险。
我们知道什么，又不知道什么
DMDC 并不是一个无足轻重的部门。它负责为国防部身份证件持有人提供身份验证服务，并持有超过 60 million 人的记录：现役军人、退伍军人、文职人员、承包商及其家属。如果您曾经持有军人身份证件，您的记录几乎肯定在那里。
这次泄露影响了其中超过 3 million 人：约 2.76 million 名在世者和 294,000 名已故者。
根据通知，一“小部分未经授权的用户”从 2025 年 10 月起直到 2026 年 7 月发现该缺陷，一直能够访问这台服务器，时间长达约九个月。服务器上的个人信息未经加密。这些信件的落款日期为 9 月 18 日，距发现漏洞约九周。
关于这九个月里发生了什么，我们所知甚少。国防部尚未说明入侵者是谁、他们访问了多少数据，或者受影响者之间是否有任何共同点。它也没有说出这个文件共享系统的名称。它表示，目前没有迹象表明任何人的信息遭到滥用。
能够访问并不意味着每条记录都被下载了，数据中包含军事信息也不能证明这是间谍活动。把这称为一次情报行动，会超出现有证据。但把它当作普通的身份盗用来处理，可能同样是过早下结论。
九个月未被察觉，时间太长了
作为参照，Mandiant 的 M-Trends 2026 报告显示，全球驻留时间（即从入侵发生到被发现的时间）的中位数为 14 天。大多数攻击者会在几周内被发现，或者用勒索软件主动暴露自己。
那些停留得更久的，往往是不想被注意到的人。在同一份报告中，间谍活动案例和朝鲜 IT 工作者行动的驻留时间中位数为 122 天。而 DMDC 的这次访问持续时间约为其两倍。
这并不能告诉我们是谁在里面。很多长期入侵都源于监控薄弱，而一个悄无声息的入侵者也不一定是国家行为者。但它确实排除了“大张旗鼓、抢了就跑”这一版本。没有人公开数据，也没有人索要赎金。不管是谁拥有访问权限，要么没拿走多少，要么在将近一年的时间里拿走了数据却没有引起注意。
这也说明了监控方面的问题。一台存有数百万人未加密 SSN 的服务器，向外部人员敞开了九个月才被发现。不管最终查明是谁在里面，这都是一个问题。
文件共享系统屡屡出现在此类泄露事件中
我们不知道 DMDC 使用的是哪款产品。但在过去五年里，文件共享和文件传输系统一直是最稳定的攻击目标之一。
仅 Cl0p 一个组织，就在 2020 年和 2021 年攻击了 Accellion FTA，在 2023 年初攻击了 GoAnywhere，同年晚些时候攻击了 MOVEit，并在 2024 年攻击了 Cleo。仅 MOVEit 攻击活动就波及了超过 2,600 家组织，泄露了数千万人的数据，其中许多是通过政府机构及其承包商泄露的。
这些系统的存在就是为了在组织之间传输批量数据，因此它们往往保存着攻击者想要的文件：导出数据、报告和满是记录的电子表格，而且这些文件留存的时间常常比任何人预想的都要长。为了方便合作伙伴使用，它们通常可从互联网访问。而且它们得到的关注往往少于核心系统，因为人们把它们看作管道，而不是数据库。
对安全团队来说，要点在于：持有个人数据的文件共享系统，应当像数据来源的那个数据库一样对待，采用同样的监控和同样的数据保留规则。
这些记录究竟值多少钱？
那么，这样一个数据集究竟能给攻击者带来什么？
2023 年，杜克大学的研究人员从数据经纪商那里购买了美国军人的数据。他们拿到了姓名、家庭住址、净资产、宗教信仰、健康状况和子女信息，价格为每人 $0.12 至 $0.32。一些经纪商表示，购买量更大时，价格可以降到每条记录一美分。还有几家几乎没有核查买家的身份。
所以，一份军事人员名单本身就已经可以便宜且合法地获取。如果有人在一个 DoD 系统里潜伏了九个月，让这番功夫值得的绝不是一份姓名名单。
其价值在于经纪商无法可靠出售的两样东西。第一是社会安全号码，这次泄露的每条记录都包含它，而它既能为欺诈打开大门，也能用于令人信服的冒充。第二是准确性。经纪商的数据是抓取和推断出来的，经常出错。而 DMDC 的记录是国防部自己关于您是谁、做什么工作的记录。当它列出职业专长时，那可不是根据某人的 LinkedIn 资料做出的猜测。
再把这些与联系方式结合起来，您就得到了接近一份目标档案的东西：这个人是谁、做什么、如何联系到他，以及足以让您在联系时显得可信的个人细节。
并非每条记录都包含这么多背景信息。国防部表示，数据因人而异，但没有说明有多少条记录包含职业信息。这个数字非常关键。几百条带有工作信息的记录，与几百万条的情况截然不同。但只要是对的人群，即便规模很小也可能很有价值。
这类数据就是这样被利用的
以个人化、定制化的方式接近军人，并不是一种理论假设。已有多个记录详尽的案例。
2018 年，以色列军方揭露了一项被其称为Operation Broken Heart（“心碎行动”）的活动。哈马斯特工利用 Facebook 和 WhatsApp 上的虚假资料接近士兵，诱使他们安装约会和世界杯应用。这些应用其实是间谍软件，能够拍照、录下对话、复制文件并追踪位置。约有 100 名士兵安装了它们。
再看美国本土，2026 年 6 月，美国司法部和 FBI 关停了 13 个网站，据称这些网站由涉嫌的中国特工运营。这些网站伪装成咨询公司，通过普通的求职平台招募美国政府和军队的现任及前任雇员，尤其是持有安全许可的人员。它们使用了盗用的身份和 AI 生成的照片，并诱使应聘者有偿分享“内部”信息。
这两个案例都不涉及类似这次的数据泄露。但两者使用了同样的方法：找到处于合适岗位的人，然后用一条契合其处境的消息接触他们。这种方法最难的部分是知道该接触谁。一个将姓名和联系方式与军事职业关联起来的数据集，会让这一部分容易得多。
现在设想一条看似来自人事部门或福利机构的消息。它提到了您的专业，并引用您 SSN 的后四位“用于验证”。它骗不了所有人，但能骗到的人会远远多于一封泛泛的钓鱼邮件，而且发件人无需猜测您是谁。
无人看顾的 294,000 人
这次泄露中有一个数字得到的关注远少于它应得的：那 294,000 名已故者。
信用监控只有在有人阅读警报时才有用。而对于已经去世的人，往往没有人会去看。他们的 SSN 可能仍能通过基本核验，以他们的名义实施的欺诈可能要持续很长时间才会被人察觉。这正是已故者身份成为欺诈者热门工具的原因：要么直接使用，要么与编造的信息混合，构建一个新的“合成”身份。
还有另一个角度。已故军人的记录仍然描述着一段真实的职业经历和真实的家庭成员，这使其可用于针对在世亲属的诈骗，比如虚假的遗属抚恤金服务。
有关这些记录的信件大概会寄给家属，而他们可能并没有意识到，需要采取行动的正是他们自己。
这些数据不会过期
被盗的银行卡可以注销，泄露的密码可以更改。个人履历则不同。
您的出生日期不会改变，您的 SSN 几乎也肯定不会变。您的兵役经历、专业和工作关系，在泄露数据的系统修复多年之后依然有用。漏洞存在了九个月，但数据可能在几十年里都保持可用。
也没有人需要立刻使用它。这类记录日后可以与经纪商数据、公开资料和更早的泄露数据进行比对，每多一个来源，画像就更清晰一分。杜克大学的研究表明，补上这一层信息有多么便宜。一份来自官方记录、经过验证的 SSN 和职业信息，再结合经纪商提供的家庭住址和家庭成员信息，其价值远高于其中任何一项。
OPM 给我们的教训，以及这一比较的边界
2015 年美国人事管理局（OPM）的泄露事件是显而易见的参照。该事件影响了约 21.5 million 人，泄露了安全许可调查档案——这是政府所持有的最敏感的人事数据之一。一份众议院监督委员会报告后来指出，该事件危及美国国家安全“长达一代人以上”。
DMDC 事件还没有达到那个级别。没有公开证据表明安全许可档案或背景调查资料牵涉其中，也没有人将这次入侵归因于外国政府、犯罪团伙或内部人员。
OPM 事件带来的有用教训要简单得多：一次泄露的严重程度，取决于这些记录揭示了其中的人的哪些信息。姓名和 SSN 是一类问题。与军事职务关联的姓名和 SSN 是另一类问题，而响应措施应当同时应对这两类问题。
响应措施与风险相匹配吗？
一年的信用监控可以发现某些金融滥用行为。但对于有针对性的钓鱼攻击、令人信服的冒充，或有人悄悄为某位军人建立档案，它起不了多大作用。
美国政府问责局早已指出，身份监控服务存在实际局限，而且尚不清楚它们在多大程度上能减少身份盗用。监控只能告诉您发生了什么，并不能阻止它发生。在 OPM 泄露事件之后，受影响者最终获得了十年的保障服务。
这并不意味着一年在这里就必然太短。公开通知可能并未涵盖国防部正在做的所有事情，而正确的响应取决于调查人员的发现。但我们所能看到的措施主要围绕金融欺诈设计，而且是被动的：它们只是等着出事。
如果您收到了这样的信件，以下几个免费步骤比单纯的监控更有效：
冻结您的信用：在 Equifax、Experian 和 TransUnion 办理。这是免费的，可以阻止他人以您的名义开设新账户。FTC 介绍了具体做法。
申请 IRS 的 Identity Protection PIN（身份保护 PIN）。它可以阻止他人用您的 SSN 提交纳税申报。
对任何有关您的兵役、福利或记录的意外联系保持警惕，尤其是当对方知道您的个人细节时。挂断电话，然后拨打您自己查到的号码回电。
如果信件涉及的是一位已故家庭成员，请通知三大信用机构，要求他们在档案上做标记，以防有人以其名义获得新的信贷。
后两条恰恰是官方响应最薄弱的地方。工作信息可能已经泄露的人，需要的是针对利用其职务进行接触的具体警告，而不仅仅是一个信用监控代码。
安全团队应从中汲取什么
仅靠统计记录数量不足以判断一次泄露。在决定响应措施之前，值得问一问：
哪些字段同时出现，有人能利用这种组合做什么？
其中哪些是永远无法更改的？
这些数据是否准确到足以让诈骗更可信？
是否有某些群体（例如身处敏感岗位的人或已故者）比其他群体暴露得更严重？
所提供的保护措施是否与数据可能的实际用途相匹配？
而在泄露发生之前：
了解哪些面向互联网的系统持有个人数据，包括那些没人会当作数据库看待的文件共享和传输工具。
传输完成后，不要把批量导出的数据留在共享系统中。
像监控源数据库一样密切监控对这些系统的访问。九个月未被发现的访问，既是补丁管理的失败，也同样是监控的失败。
我们仍需查明的事
迄今为止，没有任何已确认的信息指向间谍活动。
我们确实知道的是：未经授权的用户访问国防部的一个系统长达约九个月，超过 3 million 人受到影响，部分记录将社会安全号码与军事岗位关联在一起。
其余信息仍然缺失。我们不知道谁进去了、他们查看了哪些记录、拿走了什么，或者他们打算用这些数据做什么。
最终这可能被证明只是一次规模非常大的个人数据泄露，作为身份盗用问题来处理也算合理。也可能调查人员会发现，让它变得有价值的，正是这些身份与军事职务之间的关联——而这恰恰是数据经纪商无法以 12 美分卖给您的东西。
缺陷已经修复。更难的是弄清在任何人察觉之前有什么离开了系统，以及一年的信用监控能否真正保护人们免受最要紧的风险。
🎣板块 03：这是钓鱼吗？
职位邀约，合您口味
一位招聘人员给您发来邮件，介绍一个与您背景完全匹配的职位。公司是真实存在的，职位也合情合理，邮件措辞得体、态度友好。对方只需要您确认几项信息，并打开附件中的职位描述。
这是钓鱼吗？
🎣 是
✅ 不是
🔬板块 04：技术研究
登录页面把您重定向走了，同时也把管理面板发给了您
管理后台，作为配菜
在未登录的情况下向文件共享服务器请求其管理页面，它会把您重定向到登录界面。这在意料之中。但仔细查看响应本身，您会发现完整的管理面板也在里面——一万多个字符，就躺在重定向下方的响应体中。
这就是 watchTowr 在 Progress ShareFile Storage Zone Controller 中发现的一条预身份验证远程代码执行链的起点，编号为 CVE-2026-2699 和 CVE-2026-2701。ShareFile 出自 Progress，与 MOVEit 是同一家厂商。漏洞披露时，约有 30,000 台此类控制器可从公共互联网访问。
它与本期的深度解析相呼应：深度解析讲的是美国国防人力数据中心的一个文件共享系统，它让外部人员进出了九个月。在这里，我们来看这类服务器如何交出这种访问权限，以及为什么这条链中的第一个漏洞既容易犯、又容易被忽视。
Storage Zone Controller 是什么
ShareFile 是一款 SaaS 产品，但并不是每个人都希望自己的文件存放在厂商的云中。Storage Zone Controller 是本地部署的组件，让组织能够把文件保存在自己的基础设施上（本地磁盘、SMB 共享、SharePoint、S3 或 Azure），同时仍然使用 ShareFile 托管的管理界面。
因此，从设计上看，它是这样一台设备：
位于网络边缘，可被访问，以便 SaaS 端和用户与之通信。
可以直接访问文件实际存放的位置。
运行在 IIS 上。在 5.x 分支中，它使用的是经典的 ASP.NET。
这正是攻击者喜欢的那类系统：它在互联网上，离大量数据很近，而且得到的关注往往少于周围的系统。
漏洞一：没有终止执行的重定向
管理配置页面上的身份验证检查做了显而易见的事：如果您未经身份验证，它就调用重定向，把您送到登录页面。
问题出在调用方式上。在 ASP.NET 中，Response.Redirect(url, false) 会把重定向加入队列，但告诉框架不要结束请求。重定向标头被发送出去，然后页面的其余部分继续运行：它被渲染出来，HTML 被写入同一个响应中。
这是一类已知且有名称的漏洞——重定向后执行（Execution After Redirect），有时简称 EAR。开发人员的心智模型是“重定向，所以停止”。而代码发送了重定向，然后继续往下执行。
利用它同样简单。服务器返回一个指向登录页面的 302，响应体中却包含整个管理面板。忽略重定向，读取响应体，您看到的就是一个本不应在没有凭据的情况下访问到的界面。
这就是 CVE-2026-2699，评分 9.8。它不需要密码、不需要令牌，也不需要账户。
管理面板才是真正的战利品
未经身份验证访问配置页面本身就很糟糕。而让它演变成完全沦陷的，是该页面允许您更改的内容。
存储区配置控制着诸如存储库位置以及与该存储区绑定的口令等内容。有两个细节把“我能看到设置”变成了“我控制了这台设备”：
当攻击者编辑这些字段时，界面会替他们重新填充口令字段。他们无需知道现有的密钥，就能让更改生效。
检查新存储位置的例程只验证服务器能否在那里写入并删除一个测试文件。它并不限制“那里”是哪里。正如 watchTowr 所说，您可以把存储位置指向应用能够写入的任何地方，验证依然会通过。
应用能够写入的任何地方也包括 Web 根目录，而这正是两个漏洞的衔接点。如果您能更改服务器存放上传文件的位置，而它又接受一个同时用来提供网页的目录，那么您上传的文件最终就会和它的代码放在一起。
漏洞二：先上传，再解压，放进服务器会执行的文件夹
控制器有一个上传端点，这正是文件共享设备的本职工作。它还有一个选项，可以在上传的压缩包到达时将其解压。
解压时保留了压缩包内的文件扩展名。因此，一个包含 .aspx 文件的压缩包被解压出来后仍是 .aspx 文件，而不是一个被重命名、无法执行的数据块。
把这些环节按顺序排好，结果就水到渠成：
利用漏洞一，无需登录即可进入管理面板。
将存储位置指向 Web 根目录下的一个目录，验证会放行。
上传一个包含 ASPX 文件的压缩包，并让服务器就地解压。
解压出的文件落在 IIS 会执行的位置，然后请求它。
一个服务器在收到请求时就会执行的 ASPX 文件，就是以 Web 应用身份运行的服务器端代码。这就是远程代码执行，也就是 CVE-2026-2701，评分 9.1。上传路径确实涉及存储区的签名密钥，但到了这一步，攻击者已经控制了派生该密钥的口令，因此这项检查形同虚设。
我们描述的是这条链的运作方式，而不是公布操作步骤。关键在于这个模式：一个保留文件扩展名的功能，被指向一个同时提供代码的目录。
为什么文件共享服务器总是出这种事
watchTowr 在其分析文章中说得很好：眯着眼看一下 CISA 的已知被利用漏洞目录，您可能会以为它几乎全是由文件传输产品组成的。MOVEit、GoAnywhere、Accellion、Cleo，现在又加上了 ShareFile。
这并非运气不好，而是由这些系统的设计用途决定的：
这些系统的存在就是为了接收来自外部的文件。上传和解压并不是后来硬加上的边缘功能，它们就是产品本身。
它们必须可被访问。合作伙伴和远程用户需要访问它们，所以它们默认就暴露在互联网上。
它们紧挨着数据。一个可以直接访问文件存储的网关，会把一次 RCE 变成对其背后一切的访问权限。
它们被当作设备看待。人们会给自己认为重要的系统打补丁。而文件传输设备往往要等到进了 KEV 目录才会被列入这份名单。
我们不知道入侵者是如何进入 DMDC 系统的。但这条链表明，所需的条件可以少得惊人：一个没有终止页面执行的重定向，加上一个保留了文件扩展名的解压操作。
从中可以学到什么
重定向后执行是一类真正的漏洞，而不是代码风格上的小毛病。代码中有重定向，并不能保证代码已经停止执行。在 ASP.NET 中，Response.Redirect(url, true) 会结束请求；而 false 版本会继续执行，需要显式的 return。凡是以重定向结束的身份验证检查，都要确认之后不会渲染任何敏感内容。测试方法是：忽略重定向，读取响应体。
“我能在这里写入吗？”不等于“我应该在这里写入吗？”通过写入测试文件来验证存储路径，检查的是权限，而不是安全性。上传和解压的目标位置需要一份允许列表，而且这份列表永远不能解析到由 Web 提供服务或可执行的目录。
永远不要信任从压缩包中解压出来的扩展名。解压时把攻击者选定的扩展名原样保留到一个可访问的文件夹中，正是许多上传功能演变成 RCE 的途径。请将上传文件存放在 Web 根目录之外，并通过设置文件类型的代码来提供它们，而不是让服务器执行落到那里的任何内容。
清楚您的文件传输系统在哪里。如果您运行的是 5.x 分支的 ShareFile Storage Zone Controller，修复版本是 5.12.4（或迁移到受支持的 6.x 版本）。更广泛地说，一台无人负责的文件传输设备，最有可能在补丁发布时被遗漏。
🛠️板块 05：本周工具
Have I Been Pwned
泄露事件，记在账单上
每当一起大规模泄露事件登上新闻，大多数人的第一个问题都很简单：我的电子邮件地址有没有出现在某次我从未听说过的泄露中？
Have I Been Pwned 回答的正是这个问题。输入一个地址，它就会告诉您该地址出现在哪些已知泄露事件中，以及每次泄露了什么：密码、电话号码、出生日期等等。
因此，在泄露事件见诸新闻后，它是一种快速的自查手段，也会提醒您：某个早已忘记的旧密码，可能仍在守护着一个您在意的账户。
从您自己的地址开始。在 HIBP 首页输入一个电子邮件地址。如果结果显示它出现在某次泄露中，请查看泄露了哪些内容。更改所有在别处重复使用过的密码，尽可能开启多因素身份验证，并警惕那些借助该次泄露中的细节来让自己显得可信的消息。您还可以订阅通知，当您的地址出现在新的泄露事件中时，HIBP 会给您发送电子邮件。
它也适用于整个域名。这不仅仅是一个面向个人消费者的工具。组织可以验证自己对某个域名的控制权，然后在 HIBP 的仪表板上监控整个域名，查看该域名下有哪些地址出现在已知泄露事件中。对安全团队来说，这是在事件响应期间找出谁可能需要重置密码或接收钓鱼警告的一种方式。它还能揭示那些使用时间远比任何人意识到的都要长的旧地址和被遗忘的账户。
了解它不能告诉您什么。HIBP 只知道那些已经浮出水面并被导入其中的泄露事件，因此它并不是一张涵盖所有暴露情况的完整地图。它搜索的是电子邮件地址，而不是社会安全号码，所以结果干净并不意味着您的个人数据是安全的。例如，深度解析中提到的 DMDC 记录在这里根本不会出现。它也无法告诉您，此刻收件箱里的某条消息是否属于一场正在进行的钓鱼攻击。请把命中结果当作起点：检查受影响的账户，替换所有重复使用的密码，并对任何向您复述您个人细节的内容保持怀疑。
👏板块 06：本周人物
Troy Hunt
面包屑守护者
本周我们要介绍的是 Troy Hunt，他是一位澳大利亚 Web 安全研究员，也是 Have I Been Pwned 的创建者。
Hunt 于 2013 年推出了这项服务，作为一种简单的方式，让人们检查自己的电子邮件地址是否出现在数据泄露中。如今，Mozilla Monitor 就建立在它的数据之上，多国政府也用它来监控自己的域名。
他真正的贡献在于，让泄露信息变成了人们可以据此采取行动的东西。Have I Been Pwned 不像几天就被淡忘的新闻标题，它让任何人都能检查自己的暴露情况，并在有新事件加入时收到提醒。
这对本期深度解析这样的故事尤为重要——在那里，暴露的数据在漏洞修补很久之后依然有用。感谢他让泄露信息更易于理解、更便于采取行动，Troy Hunt 当选本周人物。
📅板块 07：本周活动
Octopus，在法国上桌
Octopus Conference 2026 汇聚了从事网络犯罪相关工作的政策制定者、执法机构、研究人员、民间社会团体和技术专业人员。
该会议由欧洲委员会主办，今年恰逢《布达佩斯网络犯罪公约》签署 25 周年。议程涵盖 AI 与网络犯罪、虚假信息、借助网络实施的跨国犯罪，以及调查人员在处理电子证据时所需的保障措施。
像 DMDC 这样的泄露事件发生后，很多事情并不是技术问题：由谁调查、谁来担责、证据如何跨境流转，以及人们的数据之后会怎样。这些正是本次会议所围绕的问题。
📍 法国斯特拉斯堡 Palais de l’Europe 📅 2026 年 10 月 14-16 日
📚板块 08：本周书籍
Kingpin，在后厨
本期反复追问被盗个人数据的价值。Kingpin 则从交易的另一端给出了答案。
Kingpin: How One Hacker Took Over the Billion-Dollar Cybercrime Underground（作者 Kevin Poulsen）讲述了 Max Butler 的故事：他不只是窃取银行卡号和身份信息，还接管了交易这些数据的市场。Poulsen 追溯了一条被盗记录如何从被入侵的系统流入一个由论坛、卖家和套现团伙组成的真实犯罪经济体——而这正是泄露通知从不描述的部分。
早在 ShinyHunters 和如今的数据勒索团伙出现之前，模式就已经是这样：入侵、拿走数据、让市场把它变成钱。ShinyHunters 如今经营的正是同一门生意的另一个版本。
想了解被盗身份数据为何能多年保值，Kingpin 是一个很好的起点。
😅板块 09：本周梗图
如果您所在组织的一台文件服务器悄无声息地暴露了九个月，在通知信寄到之前，您的监控系统中会有任何东西提醒您吗？
本期就到这里。检查您的文件服务器，冻结您的信用，我们下期再见。
The Breach Brief，Ostorlab 团队