Interop 2025 将围绕 19 个重点领域推进 Web 平台互操作性，其中 17 个为新领域，2 个延续自 2024 年。Interop 2024 最新稳定版浏览器的总体测试通过率已达 95%，2025 年重点包括 CSS Zoom、WebRTC、Storage Access API 以及移除 Mutation Events。
推荐理由：文章介绍浏览器厂商与平台实现者如何通过年度测试目标推进 Web 平台互操作性，并列出 2025 年的重点方向，可帮助开发者了解跨浏览器兼容工作的范围与进展。
PortSwigger Research介绍Unicode codepoint截断攻击如何将溢出值转换为指定ASCII字符，并说明JavaScript的fromCharCode()也存在类似溢出。
推荐理由：文章通过代码示例说明Unicode截断与fromCharCode溢出的利用方式，并介绍ActiveScan++检测、Hackvertor复现和Shazzer表更新，适合安全测试与防护分析参考。
PortSwigger Research介绍“cookie sandwich”技术：攻击者利用带引号的旧式Cookie及特殊解析规则，诱使部分服务器错误处理Cookie结构，从而可能暴露HttpOnly Cookie。文中以Apache Tomcat和Flask示例说明条件，并分析结合XSS、跟踪端点反射与CORS窃取PHPSESSID的实际过程。
推荐理由：文章通过解析差异和真实案例说明攻击链，适合安全测试人员检查 Cookie 解析、反射行为与跨域配置，降低误把 HttpOnly 视为绝对防护的风险。
PortSwigger Research 分析了现代 Cookie 解析器对 RFC2109 遗留语法的不同处理，展示了 $Version、引号编码、逗号分隔和重复 Cookie 请求头如何造成解析差异并绕过部分 WAF 检测。
推荐理由：文章通过对比常见框架对特殊 Cookie 语法的解析差异，演示如何借助 $Version、引号编码和重复请求头规避 WAF 检测，并给出关闭遗留支持、加强输入校验等防护建议，适合 Web 开发和安全测试人员参考。
Elastic Security 介绍其 SIEM 检测工程工具集，包括预置规则定制、告警抑制、手动规则运行、自动创建案件和 AI 辅助查询。官方提供覆盖 54 种数据源的 1,300 多条 SIEM 检测规则及 70 多个机器学习作业，并说明规则监控、MITRE ATT&CK 覆盖分析和 Detections as Code 方案。
PortSwigger Research分析了URL凭据部分在Chrome和Firefox中不可见但仍可影响页面脚本的行为差异。测试发现document.URL会保留凭据，而location不会；Firefox不编码凭据中的单引号，可用于DOM XSS，并可结合锚点username、password属性和DOM Clobbering控制对象。
推荐理由：文章通过浏览器行为差异说明URL凭据可隐藏载荷，并展示其在DOM XSS、锚点username/password控制及DOM Clobbering中的利用方式，适合安全研究与测试人员理解相关机制和限制。
Mozilla Builders 项目 Llamafile 发布 0.8.14，默认启用新的终端聊天界面，并继续推进更快的 OpenAI 兼容 API 服务 Llamafiler。
推荐理由：新版本同时更新默认聊天界面、推进兼容 API 服务并显著改善多类硬件上的提示评估速度，还扩展模型与语音转文字支持，便于评估本地 AI 工具更新。
Elastic 宣布 Support Assistant 已在 Support Hub 正式推出，面向所有拥有支持账户的客户和试用用户。该助手采用生成式 AI 与检索增强架构，依据 Elastic 博客、产品文档、知识库等回答问题；不访问部署健康信息或用户数据，但官方提醒核验回答准确性并谨慎处理敏感信息。
PortSwigger Research 介绍如何利用 encoded-word、Unicode 溢出、畸形 Punycode 及邮件路由语法造成的解析差异，绕过 GitHub、Zendesk 和 GitLab 的邮箱域名访问控制。
PortSwigger Research 提出可在真实网站落地的 Web 时序攻击，利用单包攻击降低网络抖动，并展示隐藏攻击面、盲注与反向代理错误配置的检测方法。研究在 30,000 个在线网站组成的测试平台上验证了相关技术，三类方法已可用于 Param Miner。
推荐理由：给出单包时序攻击的降噪方法、自动化工具和真实目标检测流程，可用于漏洞验证与安全测试，但需结合多种证据判断结果。
Puppeteer 从第 23 版开始正式支持 Firefox，可通过 WebDriver BiDi 使用同一套自动化接口测试 Chrome 和 Firefox，并支持日志捕获、设备模拟、网络拦截和预加载脚本。Firefox 中原有的实验性 CDP 支持计划于 2024 年底移除，部分 API 仍未受支持。
推荐理由：明确版本门槛、跨浏览器协议和配置方式，并说明现有 CDP 支持将在 2024 年底移除，有助于团队安排 Firefox 自动化测试迁移与兼容性工作。
PortSwigger Research展示如何利用PDF表单字段与widget annotations的渲染差异，生成在不同查看器中显示不同金额的混合PDF。概念验证基于org.apache.pdfbox Java库：Safari和MacOS Preview显示£399，Google Chrome、Firefox及Google Drive预览显示£999，相关代码已公开在GitHub。
推荐理由：提供可复现的PDF构建代码与跨查看器对照，能帮助安全团队验证文档审批及AI读取中的呈现差异风险。
Mozilla 宣布已在生产环境运行多种用于 IPC 的快照模糊测试目标，以发现和修复 IPC 层中的潜在问题。该方法源自 2021 年实验原型，后来发展为开源工具 Nyx，旨在解决 IPC 接口依赖完整浏览器且错误使用会触发重启所带来的测试延迟。
推荐理由：文章说明 Mozilla 已将基于快照回滚的 IPC 模糊测试投入生产，介绍其应对浏览器重启延迟与隔离测试困难的技术路径，并披露已发现和修复多项潜在问题，对安全测试实践有参考价值。
PortSwigger Research 更新 XSS 速查表，纳入多种新的跨站脚本攻击向量。新增内容包括仅适用于 Safari 音视频标签的 onwebkitplaybacktargetavailabilitychanged 事件。
Mozilla 正在 Firefox Nightly 内置 PDF 编辑器中试验用完全本地的端侧 AI 模型自动生成图片替代文本，推理引擎已作为新的 ml 组件合入。
推荐理由：文章披露Firefox本地图像转文本实验的模型、推理架构、缓存与训练代码，并明确当前范围和后续计划，对无障碍技术研究与浏览器端侧AI实现有参考价值。
Elastic InfoSec 团队使用 Tines 自动执行 SIEM 告警初查，通过查询可信设备、网络区域和第三方系统来判断是否关闭告警，并将未自动关闭的告警升级给分析人员。
推荐理由：详述如何结合 Elastic Security、Elasticsearch 查询、Signals API 与 Tines 自动化 SIEM 告警初查，并给出标签路由、可信 IP 核验和 Slack 升级方案；同时指出已关闭告警可能被已知良好 IP 绕过的局限。
Burp Suite可通过称为bambas的代码片段创建自定义列，用于在HTTP请求与响应表格中提取和分析关键信息。文章展示了来源页面、Web服务器、HTTP版本、IP归属、GraphQL操作、Cookie、CSP等列的编写方法，并介绍了按请求参数数量和响应中“HTTP_”出现次数排序以辅助测试优先级判断。
推荐理由：通过可定制的HTTP请求与响应列，帮助安全测试人员集中查看来源、范围、GraphQL操作、令牌、CSP等信息，并按参数数量或响应特征排序请求。
研究展示了如何将TRACE与HTTP去同步、响应拼接和Web缓存投毒结合，构造可被缓存的任意响应。方法依赖后端响应TRACE请求；若代理禁用该方法，请求走私仍可能把TRACE消息直接送达后端，但可利用范围受缓存、反射点等条件限制。
推荐理由：给出了TRACE响应参与响应拼接、缓存投毒与响应拆分的请求构造，适合安全测试人员验证高风险配置及利用前提。
PortSwigger Research公布2023年十大Web黑客技术榜单，从68项社区提名中选出15项候选，再由专家评审确定前十名。入选研究涉及EPP、Web Cookie、HTTP Desync、请求拆分、解析器差异、SMTP Smuggling、.NET反序列化及Web竞态条件等方向。
推荐理由：汇总并排序年度Web安全研究，覆盖请求走私、解析器差异、反序列化、竞态条件等攻击面，适合安全测试人员用于确定优先阅读方向。
PortSwigger Research演示了Java Unicode转义如何让Bambda中的字符串提前结束，并使Runtime.getRuntime().exec("open -a calculator")等代码被执行。Bambda允许使用Java代码过滤Burp项目，因此来自不可信来源的Bambda应先验证再使用。
GNOME 46 发布日程已经上线，计划于2024年3月20日推出稳定版。稳定版前将依次发布1月6日的alpha版、2月10日的beta版和3月2日的RC版，2月10日还将冻结UI、功能及API/ABI；GNOME 46.1计划于4月20日发布。
Linux IRC 客户端 Polari 发布 v45，采用最新版 libadwaita，并支持 GNOME 45 核心应用中的全高侧边栏。Polari 基于 GTK4 和 libadwaita 构建，专注于服务器连接、频道查找与用户聊天等基础功能，也适合移动端和较小屏幕使用，可通过 Flathub 获取。