令牌窃取 on 办公AI智能小助手 https://blog.qife122.com/tags/%E4%BB%A4%E7%89%8C%E7%AA%83%E5%8F%96/ Recent content in 令牌窃取 on 办公AI智能小助手 Hugo zh-cn qife Sat, 10 Jan 2026 08:31:02 +0800 深入剖析postMessage安全风险：微软生态中的令牌窃取与跨站脚本漏洞 https://blog.qife122.com/p/%E6%B7%B1%E5%85%A5%E5%89%96%E6%9E%90postmessage%E5%AE%89%E5%85%A8%E9%A3%8E%E9%99%A9%E5%BE%AE%E8%BD%AF%E7%94%9F%E6%80%81%E4%B8%AD%E7%9A%84%E4%BB%A4%E7%89%8C%E7%AA%83%E5%8F%96%E4%B8%8E%E8%B7%A8%E7%AB%99%E8%84%9A%E6%9C%AC%E6%BC%8F%E6%B4%9E/ Sat, 10 Jan 2026 08:31:02 +0800 https://blog.qife122.com/p/%E6%B7%B1%E5%85%A5%E5%89%96%E6%9E%90postmessage%E5%AE%89%E5%85%A8%E9%A3%8E%E9%99%A9%E5%BE%AE%E8%BD%AF%E7%94%9F%E6%80%81%E4%B8%AD%E7%9A%84%E4%BB%A4%E7%89%8C%E7%AA%83%E5%8F%96%E4%B8%8E%E8%B7%A8%E7%AB%99%E8%84%9A%E6%9C%AC%E6%BC%8F%E6%B4%9E/ <p>postMessaged and Compromised</p> <pre><code> MSRC </code></pre> <p>/</p> <pre><code> By Jhilakshi Sharma </code></pre> <p>/</p> <pre><code> August 25, 2025 </code></pre> <p>在微软，保护生态系统不仅仅意味着修复漏洞——它还意味着主动追捕变体类攻击、识别系统性弱点，并在攻击者有机会之前跨团队协作保护客户。本篇博客重点介绍了这样一项工作：深入探究微软服务中配置不当的postMessage处理程序所带来的风险，以及MSRC如何与工程团队合作来缓解这些风险。</p> Salesloft Drift供应链攻击分析：OAuth令牌窃取与横向渗透 https://blog.qife122.com/p/salesloft-drift%E4%BE%9B%E5%BA%94%E9%93%BE%E6%94%BB%E5%87%BB%E5%88%86%E6%9E%90oauth%E4%BB%A4%E7%89%8C%E7%AA%83%E5%8F%96%E4%B8%8E%E6%A8%AA%E5%90%91%E6%B8%97%E9%80%8F/ Sat, 01 Nov 2025 13:03:46 +0800 https://blog.qife122.com/p/salesloft-drift%E4%BE%9B%E5%BA%94%E9%93%BE%E6%94%BB%E5%87%BB%E5%88%86%E6%9E%90oauth%E4%BB%A4%E7%89%8C%E7%AA%83%E5%8F%96%E4%B8%8E%E6%A8%AA%E5%90%91%E6%B8%97%E9%80%8F/ <h2 id="攻击描述">攻击描述</h2> <p>威胁组织UNC6395利用Salesloft Drift集成（一款与Salesforce等平台连接的SaaS AI聊天机器人工具）窃取OAuth和刷新令牌。这些令牌使攻击者能够绕过正常认证控制，无需直接入侵Salesforce账户即可访问目标环境。</p> 从GCP云函数窃取访问令牌的技术分析 https://blog.qife122.com/p/%E4%BB%8Egcp%E4%BA%91%E5%87%BD%E6%95%B0%E7%AA%83%E5%8F%96%E8%AE%BF%E9%97%AE%E4%BB%A4%E7%89%8C%E7%9A%84%E6%8A%80%E6%9C%AF%E5%88%86%E6%9E%90/ Sun, 05 Oct 2025 12:34:55 +0800 https://blog.qife122.com/p/%E4%BB%8Egcp%E4%BA%91%E5%87%BD%E6%95%B0%E7%AA%83%E5%8F%96%E8%AE%BF%E9%97%AE%E4%BB%A4%E7%89%8C%E7%9A%84%E6%8A%80%E6%9C%AF%E5%88%86%E6%9E%90/ <h1 id="从gcp云函数窃取访问令牌">从GCP云函数窃取访问令牌</h1> <p>在身份和访问管理（IAM）中，策略是一组定义访问控制的规则，通过指定谁可以对哪些资源执行什么操作来管理权限。这些策略帮助管理员在环境中有效管理权限。</p>