提取并处理 remotePath（核心风险点 1）
从请求中提取完全由用户控制输入的 remotePath，并尝试 URL 解码，未进行任何安全校验，故攻击者可构造恶意 remotePath，例如路径穿越或绝对路径。

image-20251009223118229

校验仓库存在性与 SSRF
通过repositoryIds查询系统中是否存在对应的仓库，若不存在则抛出NoSuchRepositoryException异常。同时 createHttpClient 发起 HTTP 请求，并在后续返回 data。

黑客破解,黑客业务,黑客攻击,黑客技术,网络安全 黑客入侵接单 找黑客帮忙入侵 | 黑客在线接单-黑客业务

修复方法
Nexus Repository Manager 2 已于 2025 年 6 月停产，目前尚未收到任何安全补丁。Sonatype 不会发布针对此问题的修复程序。所以进行删除插件操作：

1.停止Nexus存储库

在进行任何更改之前，请停止 Nexus 服务：

<install_dir>/bin/nexus stop
或者，如果作为系统服务进行管理：

sudo systemctl stop nexus
找到插件目录
导航到 Nexus 安装中的插件存储库目录：

cd <nexus_install_dir>/nexus/WEB-INF/plugin-repository/
黑客破解,黑客业务,黑客攻击,黑客技术,网络安全 黑客入侵接单 找黑客帮忙入侵 | 黑客在线接单-黑客业务

行为分析
根据微步在线沙箱的详细行为记录，该样本的主要活动如下：

1. 高危持久化行为
沙箱检测到一个高危行为：写入 crontab 条目。

操作内容：样本通过系统调用 write 向 /etc/crontab 文件写入了一条定时任务。

具体条目：

0 * * * * root /usr/work/7f28b2791ad94a202eea5e4c91d47cdeadca4723723427af574519f8aedbf15e
目的：这是典型的持久化技术。该条目会指示系统在每小时的第0分钟以 root 用户身份执行该样本，确保即使系统重启或进程被杀死，木马也能自动重新运行，从而实现长期驻留。
黑客破解,黑客业务,黑客攻击,黑客技术,网络安全 黑客入侵接单 找黑客帮忙入侵 | 黑客在线接单-黑客业务

威胁情报关联
样本的行为与已知的威胁情报（IOC）高度匹配：

关联域名： xmr.crypto-pool.fr

情报判定：“恶意”

情报内容：“可疑”、“公共矿池”

这表明该样本试图连接到一个名为 xmr.crypto-pool.fr 的公共门罗币（XMR）矿池。这是挖矿木马的核心功能，用于将受感染主机的算力贡献给攻击者的钱包地址。

3. 系统敏感操作
样本执行了多项敏感的系统级操作，旨在隐藏自身并获取系统控制权：

修改文件权限：修改自身或相关文件的权限，可能为了防止被删除或便于执行。

重定向输出：将标准输出和错误输出重定向到 /dev/null，以此隐藏其运行时产生的日志和错误信息，避免引起管理员注意。
黑客破解,黑客业务,黑客攻击,黑客技术,网络安全 黑客入侵接单 找黑客帮忙入侵 | 黑客在线接单-黑客业务

https://github.com/volcengine/verlverl：火山引擎强化学习用于LLM

GitHub
GitHub - verl-project/verl: verl/HybridFlow: A Flexible and Efficient RL Post-Training Framework
verl/HybridFlow: A Flexible and Efficient RL Post-Training Framework - verl-project/verl

https://github.com/DayuanJiang/next-ai-draw-io这是一个基于 Next.js 的 Web 应用程序，它将 AI 功能与 draw.io 图表集成在一起。该应用程序允许您通过自然语言命令和 AI 辅助可视化来创建、修改和增强图表。

GitHub
GitHub - DayuanJiang/next-ai-draw-io: A next.js web application that integrates AI capabilities with draw.io diagrams. This app allows you to create, modify, and enhance diagrams through natural language commands and AI-assisted visualization.
A next.js web application that integrates AI capabilities with draw.io diagrams. This app allows you to create, modify, and enhance diagrams through natural language commands and AI-assisted visual...

https://github.com/openai/swarm
探索符合人体工程学的轻量级多智能体编排的教育框架。由 OpenAI 解决方案团队管理。

GitHub
GitHub - openai/swarm: Educational framework exploring ergonomic, lightweight multi-agent orchestration. Managed by OpenAI Solution team.
Educational framework exploring ergonomic, lightweight multi-agent orchestration. Managed by OpenAI Solution team. - openai/swarm

https://github.com/3b1b/manim
用于解释数学视频的动画引擎

GitHub
GitHub - 3b1b/manim: Animation engine for explanatory math videos
Animation engine for explanatory math videos. Contribute to 3b1b/manim development by creating

https://github.com/CyC2018/CS-Notes
📚 技术面试必备基础知识、Leetcode、计算机网络、计算机网络、系统设计

GitHub
GitHub - CyC2018/CS-Notes: :books: 技术面试必备基础知识、Leetcode、计算机操作系统、计算机网络、系统设计
:books: 技术面试必备基础知识、Leetcode、计算机操作系统、计算机网络、系统设计. Contribute to CyC2018/CS-Notes development by creating an account on GitHub.

https://github.com/VikParuchuri/surya
90 多种语言的 OCR、布局分析、阅读顺序、表格识别

GitHub
GitHub - datalab-to/surya: OCR, layout analysis, reading order, table recognition in 90+ languages
OCR, layout analysis, reading order, table recognition in 90+ languages - datalab-to/surya

https://github.com/cocos/cocos-engine
Cocos 借助免费、开源、跨平台的游戏引擎 Cocos Creator 简化了游戏的创建和分发。它使数百万开发人员能够创建高性能、引人入胜的 2D/3D 游戏和即时网络娱乐。

GitHub
GitHub - cocos/cocos-engine: Cocos simplifies game creation and distribution with Cocos Creator, a free, open-source, cross-platform game engine. Empowering millions of developers to create high-performance, engaging 2D/3D games and instant web entertainment.
Cocos simplifies game creation and distribution with Cocos Creator, a free, open-source, cross-platform game engine. Empowering millions of developers to create high-performance, engaging 2D/3D gam...

https://github.com/CyC2018/CS-Notes
📚 技术面试必备基础知识、Leetcode、计算机网络、计算机网络、系统设计
https://github.com/Mbed-TLS/mbedtls
开源、可移植、易于使用、可读且灵活的 TLS 库以及 PSA 加密 API 的参考实现。发布间隔各不相同，通常间隔约 3 - 6 个月。

CodeBuilder
我们分析了Gamaredon组织使用的不同恶意模块变体，这些模块会将恶意宏或远程模板注入到已存在于受感染系统中的文档中。由于文档通常会在同事之间共享，因此这是一种在组织网络内横向移动的非常有效的方法。此外，由于这些宏会在打开文档时运行，因此这也是一种在系统中持久存在的有效方式，因为某些文档很可能会被多次打开。

这些宏注入模块还具备篡改 Microsoft Office 宏安全设置的功能。因此，受影响的用户在打开文档时，往往浑然不知自己的工作站再次遭到入侵。我们发现该模块已用两种不同的语言实现：C# 和 VBScript。

黑客破解,黑客业务,黑客攻击,黑客技术,网络安全 黑客入侵接单 找黑客帮忙入侵 | 黑客在线接单-黑客业务

我们在PassiveNeuron攻击活动中使用的两种定制植入程序——Neursite和NeuralExecutor——此前从未在任何网络攻击中出现过。我们必须寻找线索，以找出PassiveNeuron背后的攻击者。

早在 2024 年我们开始调查 PassiveNeuron 时，我们就发现了一个非常明显的线索：
在我们于 2024 年观察到的 NeuralExecutor 样本代码中，所有函数名称都被替换为以“Супер обфускатор”（俄语，意为“超级混淆器”）为前缀的字符串。然而，值得注意的是，该字符串是攻击者在使用 ConfuserEx 混淆器时故意添加的。对于故意插入恶意软件的字符串，在溯源过程中应谨慎评估。这是因为威胁行为者可能会插入他们并不熟悉的语言的字符串，以制造假象，从而迷惑研究人员和事件响应人员，并诱使他们在尝试溯源威胁时做出错误的判断。因此，我们并未将 2024 年出现的“Супер обфускатор”字符串视为重要的证据。

黑客破解,黑客业务,黑客攻击,黑客技术,网络安全 黑客入侵接单 找黑客帮忙入侵 | 黑客在线接单-黑客业务

https://github.com/VikParuchuri/surya
90 多种语言的 OCR、布局分析、阅读顺序、表格识别

GitHub
GitHub - datalab-to/surya: OCR, layout analysis, reading order, table recognition in 90+ languages
OCR, layout analysis, reading order, table recognition in 90+ languages - datalab-to/surya

https://github.com/cocos/cocos-engine
Cocos 借助免费、开源、跨平台的游戏引擎 Cocos Creator 简化了游戏的创建和分发。它使数百万开发人员能够创建高性能、引人入胜的 2D/3D 游戏和即时网络娱乐。

GitHub
GitHub - cocos/cocos-engine: Cocos simplifies game creation and distribution with Cocos Creator, a free, open-source, cross-platform game engine. Empowering millions of developers to create high-performance, engaging 2D/3D games and instant web entertainment.
Cocos simplifies game creation and distribution with Cocos Creator, a free, open-source, cross-platform game engine. Empowering millions of developers to create high-performance, engaging 2D/3D gam...

https://github.com/Mbed-TLS/mbedtls
开源、可移植、易于使用、可读且灵活的 TLS 库以及 PSA 加密 API 的参考实现。发布间隔各不相同，通常间隔约 3 - 6 个月。

GitHub
GitHub - Mbed-TLS/mbedtls: An open source, portable, easy to use, readable and flexible TLS library, and reference implementation of the PSA Cryptography API. Releases are on a varying cadence, typically around 3 - 6 months between releases.
An open source, portable, easy to use, readable and flexible TLS library, and reference implementation of the PSA Cryptography API. Releases are on a varying cadence, typically around 3 - 6 months ...

https://github.com/krahets/hello-algo
《Hello算法》：动画图解、一键运行的数据结构与算法教程。支持Python, Java, C++, C, C#, JS, Go, Swift, Rust, Ruby, Kotlin, TS, Dart代码。简体版和繁体版本同步更新，英文版正在进行中

GitHub
GitHub - krahets/hello-algo: 《Hello 算法》：动画图解、一键运行的数据结构与算法教程。支持简中、繁中、English、日本語，提供 Python, Java, C++, C, C#, JS, Go, Swift, Rust, Ruby, Kotlin, TS, Dart 等代码实现
《Hello 算法》：动画图解、一键运行的数据结构与算法教程。支持简中、繁中、English、日本語，提供 Python, Java, C++, C, C#, JS, Go, Swift, Rust, Ruby, Kotlin, TS, Dart 等代码实现 - krahets/hello-algo