利用 Burp Collaborator 进行 DNS 隧道传输

间接提示词注入将恶意指令藏匿于 LLM 稍后读取的内容（邮件签名、PDF、网页等）中，无需用户交互即可触发。已有攻击通过 Microsoft 365 Copilot 窃取数据，企业需以纵深防御、输入净化与 AI 行为监控应对。

XPath 注入实战剖析：当应用拼接 XML 查询且未校验输入时，攻击者可借助特殊字符探测语法错误，实现认证绕过、敏感数据窃取与业务逻辑干扰，文章提供可复现的靶场环境与 Burp Suite 检测手法。

三集视频拆解 Burp Suite Macros：从基础用法到从响应中提取 CSRF token 等动态值，再到多请求复杂场景的自动化处理，配套自建练习靶场与 Token Extractor 等扩展演示。

反爬系列第二篇：在演示留言板应用上落地限流（limit 参数上限 100）、通用化错误信息等防护，并观察爬虫如何绕过——账号注册与未鉴权 /search 端点仍是软肋，纵深防御才能显著抬高爬取成本。

NetSPI 调研其全球 300 余名渗透测试工程师，评选出 12 款必备渗透测试工具：Burp Suite、NMAP、CrackMapExec、Metasploit、SQLmap、Rubeus、MicroBurst、BloodHound、SAML Raider、Impacket 等，并附一线使用评语。

AWS Signer Burp Suite 扩展 2.0 发布：经代理的 AWS 请求可用 SigV4 自动签名/重签，新增 Profile 管理与多来源导入。