- 博客(93)
- 收藏
- 关注
RSS订阅原创 SRC-自定义AI 导致XSS
如下图，然后我们可以发布我们的AI产品，将链接发给别人使用，当其他人和我们创建的AI角色对话时，就会在每次对话的最后加载我们的xss代码执行。感觉AI安全有点意思，最近挖SRC时对AI对话、创建操作时留心了一下，分享我感觉蛮有意思的xss。在某平台创建个人AI时，我在提示词中加入了这样一段话。这样xss代码在每次对话的时候就会被触发执行。创建个人AI添加xss代码。
2025-10-10 09:15:00
445
原创 AI绕WAF - Chypass_pro2.0
导入插件后，先配置AI的APIkey，这里白天推荐使用qwen，不卡速度快，但是缺点是没有deepdeek的理解思维好，生成的payload有点乱，晚上建议使用deepdeek或者非高峰期，不然会很卡，交流几次后会GG，优点是提示词理解度高，生成的payload比较好。5、如果当前环境或者是当前payload生成效果不好，可以点击当前提示词，然后对默认提示词进行修改，然后选择保存提示词，保存后要点击清除全部记录，重新开始，这样的话后面的AI生成就会根据你新的提示词进行。大模型的API卡的问题。
2025-10-09 17:49:56
521
原创 对某塔的一次随缘
某塔资产安全漏洞分析摘要 本文披露了某塔系统存在的四个高危漏洞：1）通过添加.json后缀绕过白名单限制，获取heapdump中的数据库账号等敏感信息；2）Spring框架中的SSRF漏洞，可探测内网Eureka服务；3）未授权接口导致600多万合同数据及1万多员工信息泄露；4）API未授权上传漏洞。文章强调了对空白页、403错误等异常页面进行深度测试的重要性，建议安全人员重点关注边缘资产，通过细致的手工测试结合自动化工具发现潜在风险。同时提供了Spring敏感目录字典获取方式。
2025-09-17 09:15:00
486
3原创 基础31 - 简单审计发卡源码(后台)
本文披露了一个发卡系统存在的多个安全漏洞：1.多处文件上传漏洞，通过修改文件类型可绕过检测上传恶意文件；2.未授权访问漏洞，可直接下载所有卡密数据；3.CSRF漏洞，可伪造请求进行商品添加等操作；4.SQL注入漏洞，部分参数未严格过滤。文章详细说明了漏洞验证方法和利用过程，同时提醒读者这些漏洞仅用于学习测试，禁止用于非法用途。
2025-08-31 09:30:00
428
空空如也
空空如也
TA创建的收藏夹 TA关注的收藏夹
TA关注的人