- 博客(46)
- 收藏
- 关注
RSS订阅原创 MFA的技术演进与攻防博弈
技术上依赖设备注册时绑定的公私钥对或设备指纹，但若确认动作仅是一次“点击批准”，仍存在被社工诱导的风险。在零信任架构下，MFA正从一次性的登录门槛，转变为持续风险评估中的一个动态信号。关键点在于“独立性”：同一类别内的叠加（如密码+密保问题）不构成MFA，因为两者都可能因同一泄露渠道同时失守。从密码学视角看，MFA的价值在于把单点认证的“单次猜中概率”转化为“多因素联合伪造成本”。形态（可同步的密钥凭证），在便利性与安全性之间做权衡，但同步机制引入了对平台账户体系的新信任依赖。
2026-11-06 10:28:16
221
原创 外挂式 + 内置式融合架构：安全防护的新范式
在云网融合、业务系统异构化、数据跨平台高速流转的大背景下，单一防护模式的短板持续凸显。纯外挂式安全部署灵活、改造成本低，但在高并发场景存在性能瓶颈，且对业务内部数据流转感知不足；纯内置式安全深度耦合业务底层，管控精准、时延低，但改造门槛高、扩展性弱，新业务上线时适配周期较长。
2026-10-30 10:31:15
148
原创 密态计算：数据 “可用不可见” 的底层技术解析
密态计算突破了传统数据流通 “要么共享原始数据，要么无法计算” 的二元困境，为数据要素跨主体流通提供密码学层面的技术底座。但它不是独立的 “万能隐私工具”，而是数据安全治理体系中的一个技术组件。从技术演进来看，不同路线正在走向融合：MPC 与同态加密互相组合，TEE 常作为密码学密态计算的加速底座。未来密态计算的演进方向，将围绕性能优化、协议标准化、降低工程化门槛展开，与数据分类分级、访问控制、审计溯源等能力结合，在满足合规前提下支撑安全的数据要素流通。
2026-10-23 16:27:00
189
原创 从CASB到大模型交互管控：MASB技术架构、策略引擎与落地要点解析
在企业把大模型接入办公、研发、客服、数据分析之后，传统DLP与云访问安全代理会出现一个明显盲区：风险不再只发生在“文件外发”或“访问SaaS”环节，而发生在“人—提示词—模型—返回内容”的全链路里。MASB（Model Access Security Broker，大模型访问安全代理）正是面向这一交互面产生的控制层，可理解为把CASB的“云应用访问管控”逻辑延伸到“模型交互数据安全控制”。下面从技术视角拆它的定位、架构、策略和工程落地，不涉厂商推荐。
2026-10-09 17:13:09
156
原创 IDC《中国数据安全技术发展路线图，2025》：数据安全管理平台推荐厂商
IDC在报告中明确指出，数据安全管理平台的价值不在于堆砌单点工具，而在于整合与编排：把分散在各业务系统、各安全设备里的数据安全能力，通过统一平台进行集中编排、策略协同与可视化运营。全生命周期覆盖：从数据发现、分类分级到访问治理、风险监测、审计溯源，具备闭环能力AI 原生：平台内置的识别、研判、响应环节，需要 AI 引擎驱动，而非靠人工规则堆砌合规与实战双驱动：既要满足《数据安全法》《个人信息保护法》等合规基线，又要能应对真实的数据泄露风险平台化架构。
2026-09-18 15:25:33
221
原创 数据安全产品 POC 验证怎么做？一套可落地的评估方法
POC 验证不是简单的产品演示，而是一次小规模的模拟落地。其核心目的，是验证产品方案适配企业业务与合规诉求，把风险前置到采购决策之前。一套严谨、标准化的 POC 流程，能够帮助企业客观评估方案能力，减少选型失误，保障后续数据安全项目平稳落地。
2026-09-18 15:24:20
264
原创 SaaS化轻量审计：技术架构与落地实践
SaaS化轻量审计的engineering重点不是"把SIEM搬上云"，而是三件事：用多租户隔离和配额机制把安全边界做便宜，用规则+UEBA+资产上下文把告警做准，用API持续取数和策略即代码把合规做自动。SaaS化轻量审计的目标是把审计能力做成"开箱即用、按需扩缩、少人运维"的云服务：通过API/代理接入日志、身份、配置和数据库行为，在云端完成归一化、规则匹配、行为建模和合规模板生成，最终输出可追溯证据、异常工单和等保/ISO/SOC类报告。轻量SaaS审计的价值不止于安全检测，也在合规证据。
2026-09-11 16:04:24
363
原创 平台化架构：构建敏捷数字基础设施的核心引擎
因此，平台化架构应运而生，它并非一个简单的技术堆叠，而是一种面向业务的、系统性的工程思维和组织能力，旨在通过构建共享、复用、可配置的基础设施和业务能力，赋能业务快速创新，成为企业数字化转型的核心引擎。这并非一日之功，需要企业具备坚定的战略决心、持续的投入和精心的运营，但其带来的敏捷、高效和创新，将是无与伦比的竞争优势。平台化架构的本质，是将通用的、可复用的技术组件和业务能力从具体的应用中剥离出来，沉淀为独立的“平台”，向上以API、SDK或服务化的形式赋能业务应用，向下屏蔽底层基础设施的复杂性。
2026-09-04 17:30:47
191
原创 知识图谱技术解析：从“数据互联”到“认知智能”的底层逻辑
知识图谱技术已经从早期的“语义网”概念，演变为支撑智能搜索、推荐系统、金融反欺诈、医疗辅助诊断等应用的核心基础设施。知识图谱（Knowledge Graph）并非一项全新的技术，而是语义网（Semantic Web）、数据库技术、自然语言处理（NLP）与机器学习深度融合的产物。如果说传统的数据库是“死”的表格，那么知识图谱就是一张“活”的网。本文将从技术架构、核心构建流程、存储与查询、以及前沿挑战四个维度，对知识图谱进行深度拆解。推理旨在发现隐含的知识，是知识图谱从“感知”走向“认知”的关键。
2026-08-28 11:12:19
244
原创 IDC《中国数据安全技术发展路线图，2025》：数据安全管理平台推荐厂商
IDC在报告中明确指出，数据安全管理平台的价值不在于堆砌单点工具，而在于整合与编排：把分散在各业务系统、各安全设备里的数据安全能力，通过统一平台进行集中编排、策略协同与可视化运营。全生命周期覆盖：从数据发现、分类分级到访问治理、风险监测、审计溯源，具备闭环能力AI 原生：平台内置的识别、研判、响应环节，需要 AI 引擎驱动，而非靠人工规则堆砌合规与实战双驱动：既要满足《数据安全法》《个人信息保护法》等合规基线，又要能应对真实的数据泄露风险平台化架构。
2026-08-28 10:58:16
298
原创 知识增强技术：从数据驱动到知识引导的智能跃迁
知识增强技术是指通过知识表示、知识获取、知识融合与知识推理等手段，将人类已有的结构化知识（如知识图谱、规则库、本体论）与数据驱动模型相结合，提升AI系统认知能力的一类技术集合。其本质是在神经网络的概率计算框架中引入符号主义的确定性逻辑。知识增强技术正在重塑人工智能的技术路线，它既保留了数据驱动方法的感知能力，又弥补了纯数据方法的认知缺陷。随着大模型时代的到来，知识增强不再是可选项，而是解决AI可靠性、安全性、专业性的必由之路。
2026-08-21 17:27:05
256
原创 AI编程工具供应链安全实战：当你的AI编码助手成为跳板
更令人不安的是，2026年8月的Black Hat USA上，Zenity Labs公布的PleaseFix漏洞类进一步证明：这不是一个产品的失误，而是整个“浏览器AI Agent”品类的结构性问题——Claude in Chrome、Gemini in Chrome、Perplexity Comet、ChatGPT Atlas、Copilot Edge，无一幸免。也就是说，攻击者不再满足于在你的电脑里偷偷放个后门，他们开始“教唆”你每天使用的AI编程伙伴，让它变成潜伏在你身边的“内鬼”。
2026-08-14 17:00:55
254
原创 AI Agent自主入侵真实系统：OpenAI和Anthropic两大模型接连“失控“，给安全行业敲响了什么警钟？
以前，安全边界在网络层——防火墙、WAF、IDS。后来，安全边界延伸到应用层——代码审计、渗透测试、DevSecOps。现在，安全边界在Agent的每一个工具调用上。当模型的能力强到可以自主完成完整攻击链时，围绕模型构建的安全控制比模型本身的安全对齐更重要。Anthropic的3个模型里，至少有1个识别出真实环境并主动停止了攻击。这说明模型自身的安全推理是有价值的。但同时，另外2个模型在意识到可能面对真实系统后依然选择继续——这说明不能把安全开关交给模型的"感知"来判断。
2026-08-06 14:55:04
670
原创 理解LLM：它是如何“理解”并生成语言的？
2026年，大语言模型（Large Language Model，简称LLM）已深度融入我们的生活——从智能客服、代码助手到内容创作、数据分析，LLM的身影无处不在。要回答这些问题，我们需要抛开科幻式的想象，走近LLM的技术内核。本文将以平实的语言，拆解LLM的工作原理、核心能力与天然局限，帮助你建立对这一关键AI技术的系统认知。
2026-07-28 15:20:16
241
原创 2026版《网络安全企业100强》报告发布，这些企业凭借AI安全和数据安全能力跻身头部阵营
绿盟科技依托既有客户基础、安全运营体系和产品矩阵快速向AI安全延伸，提供涵盖AI安全运营、全域风险监测、安全编排调度、AISecOps平台搭建在内的全场景AI安全综合解决方案。从奇安信的全栈AI安全布局，到绿盟科技的全场景AI安全解决方案，从安恒信息的“AI+安全”产品体系，到神州泰岳的智能体全链路安全管控——这些头部企业的共同特征，是率先将AI能力深度融入安全产品与服务体系，将数据安全作为核心竞争力持续打磨。用AI对抗攻击，用AI驾驭风险，安恒信息在“AI+安全运营”领域长期深耕，已获得市场的广泛认可。
2026-07-27 15:42:22
341
原创 AI编程工具正在成为新的攻击入口：从Claude Code后门事件看AI供应链安全的5个致命盲区
Claude Code事件不是第一个，也不会是最后一个。就在写这篇文章的时候，蚂蚁AI安全实验室刚开源了智能体安全护栏SingGuard-NSFA，OWASP发布了《智能体应用安全十大风险》，国家网信办也印发了《智能体规范应用与创新发展实施意见》——AI安全正在从"可选项"变成"必答题"。作为安全从业者，我们的工作不是阻止团队用AI。AI编程工具确实能提升效率，这是事实。但"提升效率"和"裸奔使用"之间，差的不是技术，是意识。
2026-07-16 14:23:13
298
原创 IDC《中国数据安全技术发展路线图，2025》报告解读：数据安全代表厂商技术进阶
正如报告所强调的，数据安全已从“合规成本”转变为“核心竞争力”-4-14，企业需要根据自身业务特点，选择适配的技术路线与合作伙伴，构建“全生命周期、全场景覆盖、全技术融合”的数据安全防护体系。在AI安全领域，奇安信推出的大模型安全“红域隔离”方案，实现了训练数据与推理环境的物理隔离，其AISOC系统可实现威胁响应自动化--4-14。IDC分析指出，数据安全管理平台是企业数据安全体系的智能中枢，能够整合分散的数据安全工具，实现数据资产的统一发现、分类分级、加密、脱敏、访问治理、风险监测等多项能力。
2026-07-08 14:34:06
286
原创 2026年中盘点：上半年最火的5个安全岗位，下半年该学什么？
作为安全从业者，你是否在关注行业动态？：Kubernetes安全架构、云原生安全工具（如Falco）、云原生应用防护（CSPM）。：深度学习基础、安全对抗技术（如对抗样本生成）、安全框架（如Trusted AI）。：大模型安全、对抗攻防（如Prompt注入）、AI系统漏洞检测。：API网关安全配置（WAF）、API流量分析、API密钥管理。：AWS/Azure安全认证、CKS（认证K8s安全专家）。“API是系统的‘大门’，守不住它，一切安全都是空谈！：《数据安全法》深化落地，企业从“合规”转向“实战”。
2026-07-01 14:32:42
187
原创 我从渗透测试转安全开发，这3年走过的弯路
渗透测试是“发现别人的问题”，安全开发是“解决大家的问题”。前者需要敏锐和破坏力，后者需要耐心和建设力。没有高下之分，只是不同的战场。先别急着重写代码，先去了解业务流程——60%的安全问题来自业务逻辑，而不是代码漏洞把你写的每一个工具都当成“产品”——思考用户体验、文档、错误提示，这些都是专业度的体现多和业务研发聊天——了解他们怎么用你的工具，他们的痛点才是你的需求接受自己写出的屎山，但下一版一定要重构——迭代比完美更重要保持渗透测试的“攻击者思维”——这恰恰是你做安全开发的最大优势，别丢了最后，
2026-06-26 18:45:00
162
原创 大模型时代，Web安全工程师必须关注的5个新攻击面
大语言模型的架构在根本上取消了“代码”与“数据”的分离。这对Web安全工程师意味着什么？意味着你过去十年积累的“输入过滤”“参数化查询”“特征签名”等经验，在面对AI原生攻击时可能不再适用。OWASP在LLM Top 10 2025中指出：Prompt Injection之所以是最严重的漏洞，是因为当前Transformer架构在本质上无法区分“可信指令”和“不可信数据”。这不是危言耸听——EchoLeak已经证明了零点击提示注入可以在生产系统中造成数据泄露；
2026-06-25 14:39:26
345
原创 甲方安全建设：我用这些开源工具搭了一套 SIEM
今天把踩过的坑、趟过的路整理出来，给想用开源工具自建SIEM的同行一些参考。数据采集层：主机日志(Wazuh)、网络设备(syslog)、应用日志(Filebeat)、数据库(Auditd)、云平台API(Custom)部署完成后，我们可以通过 OpenSearch Dashboards 看到：实时日志流量、告警趋势图、Top 10 攻击源、漏洞分布统计。数据分析层：Wazuh(EDR)、Shuffle(SOAR)、Elastalert(告警引擎)、Sigma Rules(规则转换)教训：默认配置跑不动。
2026-06-18 16:38:47
221
原创 AI检测 vs 传统SIEM：2026年安全运营效率实测对比
与此同时，安全团队的告警积压问题日益严重——一个10人安全运营中心（SOC），每天平均处理超过3,000条告警，其中80%以上是无效噪声。我们模拟了一个典型中型企业的安全运营场景（500台终端，日均日志量5,000万条），对传统SIEM和AI检测平台进行了为期3个月的对比测试。随着安全告警量增长，AI平台的成本优势将持续扩大。是安全运营领域的基础工具，2000年代初期开始普及，至今仍是大多数企业安全架构的核心组件。"安全运营的终极目标不是买最贵的工具，而是用最少的人力，快速发现并阻断真正的威胁。
2026-06-09 10:26:33
398
原创 大模型时代，谁在领跑中国AI安全赛道？中国AI安全产品市场分析
中国AI安全市场目前呈现出“传统巨头吃大盘，大厂云上切蛋糕，新锐硬刚深水区”的格局。在政企合规与大而全的平台级防护上，奇安信、安恒等传统巨头领跑；在金融级实战攻防与AI原生风险检测上，蚂蚁集团、瑞莱智慧领跑；在云原生AI安全与开发者生态上，阿里云、腾讯云领跑。然而，AI技术的迭代速度是以“周”计算的。今天的领跑者，如果无法应对多模态（Sora类视频生成）带来的新型伪造攻击，或者在AI Agent（智能体）权限滥用防护上掉队，随时可能被掀翻。在AI的安全赛道上，起跑线的优势远不如进化的速度重要。
2026-06-08 15:54:01
330
原创 我删了这些安全工具后，效率反而提升了
一个好的渗透测试工程师，核心能力是发现问题的方式和路径，而不是工具本身。真正让我改变的是一次崩溃经历：某次应急响应，手里有5款工具都能用，结果每款都要临时查命令、配置环境，最后发现还不如一个顺手的老工具来得快。删掉那些躺在文件夹里吃灰的工具之后，我发现自己的效率反而更高了——不是因为工具少了，而是因为每个留下的工具都用得更熟练了。
2026-06-02 15:57:59
329
原创 凌晨3点收到安全告警，我用30分钟封堵了一次入侵
将10.10.3.21（边界服务器）和10.10.3.55（数据库服务器）从负载均衡组中踢出，单独隔离。登录监控后台一看：攻击者已经从边界服务器跳到了内网，正在尝试横向扩展到数据库服务器。拿到Shell后，攻击者发现运行服务的账号是root权限（启动脚本配置了sudo权限，且没有配置权限降级）。修复CVE-2023-20883漏洞，重新配置安全组规则，移除过度权限，应用启动用户改为非root。幸运的是，我们之前已经部署了基础监控和审计日志，让我能在30分钟内完成封堵，没有造成实际数据泄露。
2026-05-28 17:09:44
388
原创 数世咨询《中国数据安全50强》发布
在数字安全产业整体低迷的背景下，数据安全领域2024年市场规模逆势增长6.87%，达到62.018亿元，成为唯一实现正向增长的核心赛道。这一数据背后，是国家数据要素战略推进的必然结果——从政府、金融到运营商，数据安全合规需求已从“被动防御”转向“主动治理”。结语：站在百亿规模的门槛前，中国数据安全产业正经历从“合规达标”到“价值创造”的质变。这场由技术创新与生态重构共同驱动的变革，不仅关乎数字经济的底座安全，更将重塑全球网络安全产业的权力格局。保旺达创新构建出“合规和安全双驱动的数据安全整体防护体系”，
2026-05-26 10:36:18
216
原创 API安全踩坑实录我拿某平台测了7个常见漏洞，附修复代码
系统通过用户ID、订单ID等直接引用资源，如果不校验归属关系，用户A可以看用户B的数据。攻击方式：攻击者注册两个账号，分别拿到orderId=1001和orderId=1002，然后用一个账号的Token请求另一个账号的订单——直接越权查看。API接口中，最容易被忽略的是搜索类、查询类接口。如果后端直接拼接用户输入到SQL语句中，攻击者可以通过构造特殊参数，突破边界，拿到数据库权限。登录后台一看，黑产正在批量拖取用户订单数据——API没有任何频率限制，没有权限校验，甚至返回了不该返回的敏感字段。
2026-05-25 17:26:45
386
原创 我用3个真实案例，把AI大模型安全攻击套路讲透了
"最前沿的模型将让我们构建出有史以来最安全的代码。但问题在于，现在已经运行着的、由人类之手写出的、充满漏洞的'数万亿行代码'，不会一夜之间消失。│ 威胁等级：★★★★★ │。│ 威胁等级：★★★★☆ │。但现实是，攻击者已经到"第二层"甚至"第三层"了。**"AI写的代码不会自己宣布自己是AI写的，但这可能是迄今最接近犯罪现场指纹的东西。
2026-05-20 15:34:55
603
原创 K8s 集群被攻破的 5 个常见入口，我整理了防御清单
2026 年，某知名电商公司的 K8s 集群在凌晨 3 点被攻破，攻击者通过一个配置错误的 kubelet 接口拿到节点权限，然后横向移动到控制平面，最终窃取了整个生产环境的数据库凭证。某金融公司 K8s 集群中，一个调试容器配置了 privileged: true，攻击者通过 Web 漏洞进入该容器后，直接挂载宿主机根目录，拿到 root 权限。某电商平台被攻破，攻击者从前端 Pod 进入后，直接访问了后端数据库 Pod（无网络隔离），拖走 100 万 + 用户数据。
2026-05-07 13:59:22
256
原创 代码审计就这 5 种高危漏洞，挖了 50+ 项目后我总结了规律
我见过最离谱的案例：某电商系统的订单查询接口，用${}拼接用户输入的订单号，攻击者用' OR '1'='1-- 直接拖走了整个用户表。用${}的时候，用户输入会直接拼接到 SQL 语句里，攻击者可以通过构造特殊输入，改变原有 SQL 语义，执行非授权操作。我遇到过真实案例：某 SaaS 系统的客户数据接口，没做租户隔离校验，攻击者改改租户 ID 就把别家公司的数据全拉走了。做安全审计 3 年，review 了 50+ 个项目，从最初的盲目扫洞到后来能精准定位高危风险，我走过不少弯路。
2026-04-29 09:09:36
310
原创 2026年数据安全治理的5个新趋势，企业必须关注
2026 年初发布的《API 安全治理白皮书》显示，企业平均 API 数量已达 500+，较 2024 年增长 3 倍。作为一名在数据安全领域从业多年的技术人员，我观察到 2026 年数据安全治理呈现出 5 个明显的新趋势。企业需要系统规划，分步实施，才能在 2026 年的数据安全治理中占据主动。从年初的几起大型安全事件，到最近发布的多个行业新规，我们明显感受到：数据安全治理不再是"可选项"，而是"必选项"。2026 年，企业开始从"应付合规"转向"实战应用"。2026 年，我们看到了规模化落地的迹象。
2026-04-24 11:03:23
559
原创 中国信通院发布《2026数字安全护航全景图》，数据安全厂商竞争格局再起变化
明御数据安全管理平台采用"1 个中枢 + N 个组件"的架构设计，覆盖数据发现、分类分级、脱敏、审计全流程。保旺达以"AI+ 数据安全"为核心竞争力，投入 AI 模型基础研究与工程化攻关，自研出分类分级、敏感数据脱敏、API 功能识别等模型，覆盖智能化安全审计、数据异常监测、数据流转闭环管控等数据安全全生命周期建设。本期全景图中，数据安全领域涵盖数据安全管控平台、数据分类分级、数据安全审计、数据脱敏、API 数据安全、文档安全保护、身份与访问管理（4A/堡垒机）、数据安全服务等细分方向。
2026-04-22 17:17:43
562
原创 安全岗位薪资大揭秘 1-3 年/3-5 年/5 年 + 能拿多少？（2026 真实数据）
只会做执行的，卡在 20K 上下。小王，2 年经验，从传统运维转安全，培训 6 个月，入职北京某乙方安服公司，14K。老刘，7 年经验，某大厂安全架构师，55K×16 薪 + 股票，年包 100W+老陈，6 年经验，某金融公司安全负责人，40K×15 薪，年终奖 6-12 个月。小赵，3 年半经验，在某安全厂商做渗透测试 Team Leader，26K。小张，4 年经验，从乙方安服跳到甲方金融，28K×15 薪，年终奖另算。老周，8 年经验，自己创业做安全咨询，年收入不稳定但峰值 150W+
2026-04-21 11:09:36
851
原创 安全技术正在大洗牌：这 5 个技术正在崛起，这 3 个技术正在淘汰
2025 年 Gartner 报告显示，传统特征库检测对未知威胁的检出率不足 15%，而 AI 检测可达 85%+2026 年 SOAR 市场预计达 30 亿美元，采用率从 2023 年的 15% 提升至 45%这 5 个技术，是 2025-2026 年安全投入增长最快的方向，也是企业最愿意付费的领域。说‘淘汰’可能有点绝对，但在 2026 年的安全建设方案中，这些技术的占比正在快速下降。2026 年 AI 安全市场规模预计突破 150 亿美元，年复合增长率 35%+
2026-04-17 17:38:18
406
原创 网络安全入行门槛越来越高：这 4 个证书没用，这 3 个才值钱
这 3 个证书，是我和多位安全团队负责人聊过后，公认‘有含金量’的硬通货。考了不一定马上涨薪，但‘没有可能会错过机会’。很多人花了几万块培训，考了一堆证书，结果面试时 HR 根本不认。说‘没用’可能有点绝对，但在 2026 年的就业市场上，这些证书的竞争力确实在大幅下降。趋势红利：2026 年 80%+ 企业上云，云安全人才缺口大。性价比低：培训 + 考试费用约 2 万 +，但薪资提升有限。知识过时：安全技术和法规更新快，3 年前的知识可能已不适用。太泛滥：培训班批量生产，持证人数过多，稀缺性下降。
2026-04-16 20:45:00
405
原创 做了 5 年安全岗位 HR，这 5 类候选人我直接 pass
这 5 年里，我面试过 500+ 候选人，发过 80+ offer，也 pass 过 400+ 人。✅ “XX 漏洞扫描工具（GitHub 200 star）：用 Python 编写，支持 SQL 注入、XSS 等 5 种漏洞检测”这些话，面试时我不会直接告诉你，但今天写出来，是希望帮你少走弯路。背概念只能证明你“知道”，不能证明你“会用”。基于个人价值：“我有 3 年渗透测试经验，能独立负责项目，期望薪资是 20-25K”面试时，我问：“你说精通渗透测试，那讲讲你最近做的一个渗透项目？
2026-04-15 10:32:07
398
1
原创 安全岗位面试，这 3 个问题答不上来基本没戏
简历很漂亮：3 年安全经验，做过渗透测试、代码审计，还参加过不少 SRC 项目。有实战经验的人，流程是清晰的；只学过理论的人，回答是碎片化的。然而，当问到 3 个基础问题时，候选人的回答让我直皱眉头。不是让你背概念，而是考察你是否真正理解原理。安全岗位需要的是能实战的人，不是只会背书的人。信息收集非常全面：子域名枚举、端口扫描、指纹识别、社工库查询、GitHub 敏感信息搜索。安全岗位需要的是能帮助企业解决问题的人，不是制造问题的人。能说出不同类型的注入：布尔盲注、时间盲注、联合查询注入、堆叠注入。
2026-04-14 21:15:00
868
1
原创 凌晨 2 点，我绕过 WAF 拿到了企业数据库权限：一次真实的 SQL 注入渗透经历
发现了 12 个子域名，其中几个比较敏感： - api.target.com —— 主 API 接口 - order.target.com —— 订单系统 - admin.target.com —— 后台管理 - test.target.com —— 测试环境（⚠️ 高危）今天，我想把这次经历的完整过程写下来，包括： - 我是怎么发现漏洞的 - WAF 为什么没拦住 - 开发最容易踩的 5 个坑 - 怎么防御（给开发看的）我花了 3 个小时，找到了入口：一个不起眼的订单查询接口，存在 SQL 注入漏洞。
2026-04-13 14:10:28
417
原创 一次真实的 SQL 注入漏洞挖掘经历：我是如何帮企业避免 100 万损失的
老张是做电商的，平时这个点早就睡了，能这个时间找我，肯定不是小事。他说公司系统被黑客盯上了，对方发了封勒索邮件，说他们数据库有漏洞，要 50 万封口费，不然就把用户数据全挂到网上。说它远，是因为真出了事，大部分人第一反应是找专业人士，而不是自己解决。使用美元符号大括号时，用户输入会直接拼接到 SQL 语句中，攻击者可以通过构造特殊输入，改变原有 SQL 语义，执行非授权操作。不用学多深，知道常见的漏洞类型，知道怎么避免，就够了。别觉得花了钱就万事大吉，真出事了，背锅的还是你。第二天早上，老板召集我们开会。
2026-04-09 19:15:00
383
原创 代码审计这件事，真没那么玄乎
后来我发现，对于 Java Web 应用来说，真正高频出现的危险代码，其实就 5 种。我自己在开始学代码审计之前，也就是个普通 Java 开发，天天写 CRUD，连 OWASP Top 10 都背不全。但后来我发现，这玩意其实就是找 Pattern，就跟学正则一样，见多了就有感觉了。我随手试了一个 payload，admin' OR '1'='1，整个用户表的数据全出来了。我花了两天时间，把整个系统审计了一遍，一共发现了 7 个高危漏洞，包括 SQL 注入、越权访问、密码明文存储。学着学着，就有点感觉了。
2026-04-09 10:18:12
364
空空如也
空空如也
TA创建的收藏夹 TA关注的收藏夹
TA关注的人