识别静态存储的支付卡数据——超越关键词搜索

发布 dataLoc 概念验证工具：无需依赖关键词，直接连库用模式匹配、Luhn 校验与置信度打分在 MSSQL 中定位可能的支付卡数据，支持按库/表/列定向扫描，适合 DBA、审计与渗透测试场景。

MSSQL 链接服务器凭据以可逆加密方式存储，拥有 sysadmin 权限的攻击者可借助公开的 PowerShell 脚本恢复明文密码。文章同时从防御角度提示：不必要的数据库链接、过高权限及使用 SQL 身份验证而非集成身份验证都会带来额外风险。

ADPathFinder 将 SharpHound 与 MSSQLHound、ConfigManBearPig 等 OpenGraph 采集器数据统一进 BloodHound CE 图谱，自动映射跨越 AD、ADCS、MSSQL 与 SCCM 的提权路径，并可为破解出的口令关联组成员身份、委派等风险上下文。

一次内网渗透全记录：经 Apache NiFi 拿到 root 并提取凭据，从 NIS 服务器恢复口令哈希破解出特权 IT 账户，在 Duo Auth Proxy 配置中捕获解密 MFA 流量，最终将 DA 的 MSSQL 服务账户中继至 xp_cmdshell 创建新域管并执行 DCSync。

Agent of Influence 播客邀请 PCI 安全标准委员会的 John Markh，回顾 PCI DSS 及设备、HSM、点对点加密等标准的演进，并探讨移动支付、云与 IoT 等新兴支付技术的安全标准建设。

HIPAA、PCI-DSS、NERC-CIP 等合规框架能证明你合规，却不能保证你安全。文章主张从勾框式合规思维转向基于风险的行动框架，对互联网暴露资产开展持续监测与评估。