- 博客(47)
- 收藏
- 关注
RSS订阅原创 绕过网页禁止 Ctrl+V WriteUp
只会复制 DOM 属性，，替换原元素就彻底清除 paste/drop 拦截。也可以不解除拦截，JS 直接给输入框赋值 + 手动派发input事件，绕开 paste 事件本身。本平台环境：编辑器 id=codeEditor，textarea，匿名 paste 监听，还收集按键日志；。空日志不影响 AI 率，但是代码文本 AI 特征高就会判高 AI 率。
2026-11-11 16:04:55
20
原创 网络工程师day1
应用数据 → 传输层加 TCP/UDP 头部 → 网络层加 IP 头部 → 链路层加 MAC 头部 + FCS 校验 → 比特流。一句话区分： OSI 是理论标准；TCP/IP 是现实互联网在用的模型。比特 → 拆帧 → 拆 IP 包 → 拆 TCP 段 → 上层应用数据。
2026-11-11 10:32:10
34
原创 网络硬件设施学习
位置：机房局端设备，PON 网络的头端二层为主作用：分光的总头，一根光纤下带多个分光器、几十上百台 ONU上联：到 BRAS 或者 SR；下联：PON 口接分光器主流：GPON、10G PON（XGS-PON）、50G PON。
2026-11-09 15:25:30
306
原创 通信网络层级
OLT、分光器、ONU / 光猫（FTTH），PON（GPON/10G PON/50G PON） 无线：基站 DU、SPN/PTN（5G 承载）OLT：局端设备，汇聚多个分光下的光猫，上联到 SR/BRAS光猫 ONU：用户侧，光电转换；光猫下面再接用户自己的局域网（LAN）城域配套传输：本地 OTN，给大客户做硬隔离精品专线（OTN 专线，二层透传）
2026-11-09 14:43:57
295
原创 bugku 花点流量听听歌wp
给出流量包，类型为 USB HID 键盘流量，要求解析出 flag。提示：支持 usbhid 类型键盘流量解析，在线工具解析得到一串文字，但这不是 flag，题目存在退格删除陷阱。
2026-11-06 16:15:25
170
原创 网络连接状况排查
看当前 TCP 连接 → 只能拿到对端 IP+PID，原生不显示域名：IP 反向查域名，成功率低，不要依赖：抓 DNS 报文，最靠谱，直接看到程序请求的域名：HTTPS 下看 SNI 域名（握手阶段明文）
2026-11-06 10:28:02
326
原创 bugku newphp wp
源码解析：");write()→ 替换成字面字符串\0\0\0read()：字面串\0\0\0→ 还原回二进制\0*\0User 只有两个 public 属性 username、passwords:【u的长度】:"【u内容】";s:【p的长度】:"【p内容】";：对象 User，2 个属性：字符串，长度 8，属性名叫 usernames:N:"xxxx"：字符串，N 是值的长度，后面是值;是分隔符、{}包裹属性列表。
2026-11-05 09:46:56
305
原创 bugku login1的wp
创建admin+空格的用户（数据库存下带空格的名字）；登录输入不带空格的admin，MySQL 比较时认为两者相同，用这个新账号的密码登录，就能过验证。
2026-11-03 09:06:29
175
原创 bugku 蹭网先解开密码wp
是 802.11 无线抓包，考点：WPA2 握手包字典爆破。先使用 Wireshark 筛选查看 Beacon 帧（AP 广播帧），找到所有 WiFi 名称；再用 aircrack-ng 配合 crunch 生成手机号规则字典爆破握手包。，选中带有 WPA 握手包的 D-Link_DIR-600A 进行爆破。观察题目密码规则：11 位手机号，前缀固定。补充过滤器：如果想看 PMKID，可以用。，后 4 位为 0000~9999。一共生成 10000 条密码。提示输入目标序号：输入。
2026-11-02 14:43:10
139
原创 bugku 查查她是谁wp
对应表头：编号｜姓名｜部门｜职位｜电话｜邮箱 6 列全部可以回显，任选一列放置 flag 即可，这里选择第 2 列（姓名列，方便观察）。一开始误以为页面无回显，直接写了 SQL 时间盲注脚本，效率低、不稳定；或者直接是采用python脚本：直接运行python sqliteblind.py。联合注入，只有 union 无法回显时，才使用布尔 / 时间盲注。传入单引号，页面 SQL 语法异常，判断参数。拓展：如果不知道表名，SQLite 可以使用。CTF 常规套路，flag 存放于。直接拼接进 SQL，为。
2026-11-01 10:04:13
223
原创 云端 API
所有主流厂商基本兼容 OpenAI接口，支持stream流式、Function Call、多模态，差异集中在上下文、价格、中文、合规、长文档、代码能力聚合 API（硅基流动、OpenRouter）：统一一套接口，同时切换上面多家模型，适合快速对比测评；缺点是多一层中转、SLA 由聚合平台负责。
2026-10-30 11:45:29
287
原创 信息安全工程师
重点考察 PDCERF 模型（准备、检测、抑制、根除、恢复、跟踪）在安全事件处置中的应用，以及等级保护 2.0（等保 2.0）的定级、备案、建设整改、测评和监督检查五个规定动作。- 分类：包过滤防火墙（网络层，速度快，粗粒度，不能识别应用层）、状态检测防火墙、应用代理防火墙（应用层，最安全，性能差）、下一代NGFW（入侵防御、URL过滤、病毒查杀）| 科目名称 | 考试时间 | 题型题量 | 满分/及格线 | 核心考察内容 | | :— | :— | :— | :— :— | |只保证完整性，不能加密；
2026-10-22 11:00:22
68
原创 CTF Web LFI 文件包含解题整理
踩坑点：Hackbar 自定义 Cookie 头会和浏览器原生 Cookie 冲突，经常失效，这就是你之前一直看到乱码的根源！在 Hackbar Encoding 直接编码，把文件名转 base64 放到 filename 参数。作用：把 php 文件源码 base64 输出，拿到源码看后端逻辑、密钥、判断条件。看到URL里面有编码解码的成分可以多多尝试用index.php源码加密代替。页面会根据参数加载文件，大概率文件包含。
2026-09-28 16:12:15
158
原创 URL编码 常见编码文本 图片隐写加解密
URL只能使用 ASCII 字母、数字、部分符号，中文、空格、&、=、#、中文、特殊字符无法直接放在网址里，URL 编码就是把不安全字符转为 %十六进制 格式，避免乱码、参数被截断、解析错误。· 字符集：大小写字母 A-Z,a-z、数字 0-9、+ /，末尾常有 = 填充（1 个或 2 个，无 = 也可能是末尾刚好对齐）只有两种字符组成，一般 a/b、A/B、0/1 交替排布，长度通常是 5 的倍数。例：..-. .-.. .- --. 分割符 / 用来分隔字母、单词。
2026-08-05 14:49:07
156
原创 安全网络渗透
工具：BurpSuite、AWVS、Xray、Nuclei、Sqlmap。严禁：篡改数据、删除文件、拖库、发起拒绝服务攻击、骚扰正常业务。蓝方全程持续值守，贯穿红方全部攻击周期，分为。
2026-07-23 10:00:42
220
原创 等保测试知识
1.概念？什么是网络安全等级保护（等保），依据《网络安全法》《网络安全等级保护条例》，国内所有非涉密网络、信息系统强制落实安全分级、备案、测评、整改。。2.核心法规标准3. 五个安全等级（定级核心）前 6 类为，后 4 类为，测评时技术 + 管理双维度打分。
2026-07-19 20:52:22
198
原创 计算机协议
OSI七层模型：应用、表示、会话、传输（TCP\UDP）、网络（OSPF、IP、ICMP、ARP）、数据链路、物理。通信模式：HTTP 单向（客户端主动），WebSocket 双向（任意一方可发消息）。TCP\IP四层模型：应用（OSI的前三个）、传输、网络、网络接口（OSI的后两个）,冒泡，选择，插入这三者的时间复杂度和空间复杂度都是一样的，O(n2),O(1);TCP是可靠，面向连接的，双向的，速度比较慢；邮件协议：SMTP（发送），POP3（接受）UDP是不可靠，面向无连接，单向的，
2026-07-19 20:13:22
183
原创 大数据开发
业务需求→指标体系设计→数据 ETL 清洗→图表选型→看板搭建→联动下钻。：数据清洗去重、缺失值 / 异常值处理、格式标准化、字段关联、指标计算；：将处理后的数据导入数据仓库、数仓分层表，供后续分析、可视化使用。：实时数据、指标预警、多维度下钻、简洁直观，辅助业务决策。：从业务数据库、日志、文件等多数据源采集原始数据；实用性：贴合业务需求，支撑决策，不做无意义美化；是围绕业务目标，梳理出的一套可量化数据指标。可读性：配色清晰、标签完整，便于快速读取；交互性：支持筛选、下钻，多维度查看数据。
2026-05-22 18:31:39
52
原创 网络安全内容
我曾对 Web 项目进行过代码审计，发现过未过滤的用户输入导致的 SQL 注入风险，并给出了预编译、输入过滤的修复建议。：SQL Server 身份验证与 Windows 身份验证、角色权限、审计日志、透明数据加密（TDE）原理：诱导用户在已登录状态下，访问攻击者构造的恶意请求，以用户身份执行操作（如改密码、转账）。防御：使用预编译语句、严格输入过滤、数据库权限最小化、WAF 防护。：用户权限管理、角色、审计、数据加密、视图与存储过程权限控制。：SQL 注入、XSS、文件上传、越权等，验证漏洞可利用性。
2026-05-11 17:34:49
296
原创 常见容器分类
我了解 K8s 容器编排的基础概念，比如 Pod、Deployment、Service，会用基础的 kubectl 命令查看资源状态、排查容器启动和运行中的常见问题，也接触过云平台上的容器运维场景。常见问题：500（代码 / 配置错误）、404（路径 / 部署问题）、503（服务不可用）、启动失败（端口占用、JDK 版本不兼容、配置错误）Linux 是企业服务器的主流操作系统，几乎所有应用、数据库、容器都跑在 Linux 上，是运维的 “地基”。
2026-04-28 15:53:42
387
原创 linux常见命令、运维大模型基础知识
DevOps：是一套研发运维全流程理念，核心是打破开发、测试、运维团队壁垒，消除流程隔阂，通过工具链实现代码提交、构建、测试、上线、迭代全链路自动化，提升软件交付效率。定义：DevOps = Development（开发）+ Operations（运维），它不是单一软件、不是岗位，而是一套文化理念、工作流程、工具体系，核心是拆掉开发与运维之间的部门墙，打通软件从写代码、测试、上线、运行、监控、迭代的全流程，实现更快、更稳、更高质量的软件交付。用户访问时，不走远路回源站，从离自己最近的节点拿资源，速度飞快。
2026-04-24 13:51:42
369
原创 安全攻击知识
Linux 安全核心：严控权限、禁用 root 远程登录、密钥登录、防火墙防护、定期日志排查、漏洞修补。定义攻击者主动介入、篡改、破坏、伪造网络传输的数据、身份、服务，会改变原始信息，攻击行为可被检测发现。Web 漏洞、服务器 / 系统未打补丁、文件上传、远程代码执行，拿到服务器权限，直接拷贝数据库文件。不读取具体内容，只分析数据包频率、大小、通信双方、连接时间，推导通信规律、重要业务、双方身份。攻击者只窃听、截获、收集信息，不修改、不干扰、不破坏原始数据与正常通信，只是秘密获取信息。
2026-04-23 12:11:57
254
原创 java基础知识
字节流：InputStream OutputStream 处理所有文件（图片、视频、文本）byte(1 字节)、short(2)、int(4)、long(8)3）父类private属性：可以继承，但不能直接访问。捕获异常时：小（子类）异常在前；父类引用可以指向子类对象，子类引用不能指向父类对象；类加载过程：加载→链接 (验证、准备、解析)→初始化。1）Java只能单继承，一个子类只能有一个直接父类。catch 异常：子类在前，父类在后（最重要陷阱）方法重写：子类重写父类方法（@Override）
2026-04-22 19:10:46
321
原创 安全服务技能
答案SQL 注入：攻击者在用户可控输入点插入恶意 SQL 语句，后端数据库直接执行，造成数据泄露、脱库、服务器控制的 Web 高危漏洞。寻找网站可控输入参数（URL、表单、POST 数据）构造恶意 SQL payload 注入提交后端未过滤直接拼接执行 SQL实现数据查询、脱库、删表、写入权限等危害防御方案：数据库参数化预编译（最核心）前端 + 后端输入过滤、特殊字符转义部署 WAFWeb 应用防火墙关闭数据库高危权限、最小权限账号运行关闭不必要数据库存储过程、函数答案。
2026-04-22 00:09:45
347
原创 TCP/UDP传输协议
适合：网页、邮件、文件、登录、所有需要稳定的协议；适合：视频、直播、语音、游戏、广播；TCP：面向连接、可靠传输、慢一点、要握手、不丢包。UDP：无连接、不可靠、速度快、不重连、容易丢包。
2026-04-21 00:02:29
33
原创 计算机协议SSL，TLS
TLS（Transport Layer Security，传输层安全），IETF 基于SSL 3.0标准化而来（TLS 1.0 = SSL 3.1），修复 SSL 所有漏洞、算法升级、规范统一，现代互联网唯一在用的传输层安全协议，日常统称仍叫 SSL/TLS。替代明文Telnet；DTLS：数据报 TLS，基于 UDP的 TLS，用于视频、语音、游戏、QUIC 底层，解决 UDP 无连接无法用原生 TLS 问题。握手协议（Handshake）：最核心，协商版本、加密套件、交换密钥、证书认证、生成会话密钥。
2026-04-21 00:02:12
454
原创 信息网络安全
分为网络防火墙、主机防火墙按照预设规则，过滤进出网络数据包，阻断非法端口、恶意访问，隔离内外网。机密性、完整性、可用性；同时包含网络安全、主机安全、应用安全、数据安全、容器云安全、管理安全。不依靠技术，依靠人性弱点：钓鱼邮件、钓鱼链接、短信诈骗、信息骗取、伪装身份套取账号密码。定期扫描系统、Web、容器漏洞，打补丁、关闭无用端口、卸载多余组件、修改弱口令。常见类型：SYN 洪水、UDP 洪水、ICMP 洪水、HTTP CC 攻击。容器逃逸、特权容器滥用、镜像恶意后门、内核漏洞提权、容器间横向渗透。
2026-04-20 10:54:25
416
1
原创 虚拟化技术
KVM 虚拟机属于硬件级虚拟化，拥有独立操作系统内核，硬件资源完全隔离，隔离性强，安全性更高，但资源占用大、启动较慢。Linux Containers，原生 Linux 容器Docker 的底层祖宗技术，纯系统容器，没有镜像、分层、仓库这些便捷功能，纯粹做进程隔离。AWS 开源，微虚拟机专为云原生无服务器、函数计算设计，启动125ms 内，资源极小，隔离性接近 KVM，性能接近容器。基于 LXC 的增强版容器，偏系统容器，不是应用容器。KVM：造完整电脑，独立系统，隔离强、笨重、慢，用来开云主机、服务器。
2026-04-20 10:35:13
445
原创 主流安全领域
针对阿里云、腾讯云、华为云等云计算环境云主机安全、容器安全、Docker、K8s 安全、云原生安全、租户隔离、云平台权限安全、API 安全。数据加密、脱敏、备份、防泄露、防篡改、数据分级分类、隐私保护、个人信息安全。防止系统被攻击导致停产、事故、瘫痪。路由器、交换机、防火墙、VPN、专线、内网外网、运营商网络防护，防网络攻击、链路劫持、流量劫持。安卓、iOS APP 反编译、脱壳、篡改、抓包、权限滥用、APP 漏洞、支付安全。制度安全、人员权限、内部泄密、安全审计、安全合规、等保测评、安全管理体系。
2026-04-18 12:33:31
313
原创 数据安全
措施：存储加密、数据库加密、访问控制（RBAC/ABAC）、备份容灾。《个人信息保护法》：强调收集、存储、使用、共享、销毁各环节合规。措施：TLS/SSL、IPsec、VPN、安全传输协议。措施：数据脱敏、动态脱敏、水印、操作审计、最小权限。措施：安全擦除、覆写、消磁、物理粉碎、审计销毁记录。风险：内部泄露、越权访问、数据滥用、临时文件泄露。措施：安全协议、合同约束、跨境安全评估、数据脱敏。风险：明文存储、越权访问、介质失窃、备份不安全。安全目标：防滥用、防越权、防泄露、可审计。
2026-04-17 21:35:44
141
原创 分布式数据库
数据存储格式：Text/ORC/Parquet（ORC、Parquet 列式存储，性能高）map、flatMap、filter、reduceByKey、groupByKey 等。count、collect、reduce、foreach、save 等。例：map、filter、flatMap、groupBy、join。例：count、collect、save、take、foreach。MySQL 分库分表（Sharding-JDBC、MyCat）支持：DDL、DML、join、group by、窗口函数等。
2026-04-14 14:26:31
406
原创 软件测试知识
用例编写需要包括：用例 ID、模块、标题、前置条件、步骤、输入数据、预期结果、实际结果、优先级。应届生掌握点：会用 Postman 发送接口请求、查看响应、设置环境变量、编写简单的接口用例、做接口自动化（Collection）。掌握点：了解 Selenium 的原理，会写简单的自动化脚本（比如登录、点击按钮），知道元素定位方法（ID、XPath、CSS）。核心作用：开源压测工具，同时支持接口功能测试、性能测试、压力测试，支持 HTTP、TCP、JDBC 等多种协议。
2026-04-07 14:47:31
464
空空如也
空空如也
TA创建的收藏夹 TA关注的收藏夹
TA关注的人