threettiger的博客

我的采集链覆盖 7 个平台,唯独头条单篇数据是黑洞。这次拆开创作后台接口族:12 个接口零签名,curl_cffi 伪装 Chrome 指纹直连,6 篇图文全量入库,每天 07:10 自动进看板。

服务器被博彩黑产挂马、root 沦陷近三个月。完整应急响应报告:恶意代码链分析、入侵时间线取证、12 条处置、11 个攻击 IP 反扫、fofa 指纹狩猎出 1090 个黑产节点、5 封滥用举报,全程可复现,站长可照做。

服务器被入侵处置完第三天,我用恶意软件自研服务的一段 404 响应做指纹,在 fofa 上全网搜索,挖出同一黑产团伙 1090 台服务器:按 C 段批量采购、随机 .top 域名、91% 集中在三家机房。附指纹狩猎四步法和批量举报实战记录。

网站被挂赌博页跳转,刷新又恢复正常。我和 AI 军师顺着一段加密代码挖出真相:服务器85天前已沦陷,nginx 被植入搜索劫持代码,系统里藏着 UID 0 隐形后门。本文是完整的 AI 应急响应处理方案:排查、处置、十条自查清单。

微信、钉钉、印象笔记、便签、待办,五条数据链路全部汇入我的本地知识库:只读快照、水位线增量、一个分类器管所有渠道,163 份公文归档 0 分歧,索引 671 条 255 万字。AI 解密攻防系列收官,交总图。

Todo清单的本地库是 SQLCipher 加密,密钥却是开发文档里没换的示例默认值。我解包源码拿钥匙、借应用自带 Electron 跑脚本,890 条任务全量导出,并逆向 v3.11.2 渲染层把每日清单直接写进 App。

OPPO 便签数据在云端,请求响应全程加密。我没碰协议,用 CDP 连进它的内嵌页面,调页面自己的 API 拿解密后的数据,实测导出 106 条便签、234 个附件;反调试等长替换绕过、webpack 占位符注入、手写附件三件套合成,全程可复现。

token 真实值和完整格式串全程脱敏,上面所有代码都是脱敏后的关键片段,流程只指向一个目的,让我自己的系统别断粮。日志打出来,专用档案自动开窗,检测到 token 已创建,自动吊销,自动接确认框,自动新建,正文加输入框一起读,抓到完整 token,接口校验通过,写入系统环境变量,重试同步,推送成功。那是另一篇的事,这里只说一句,v2 走不通不是偶然。我是野生码农,39 岁,程序员,白天上班,晚上折腾自己的系统。为了让它过期后自动换新,前后改了五版,三次被我当场否决,全链路跑通是凌晨,我需要做的,零。

钉钉本地数据库是加密的,但 v2 密钥就写在目录名上:账号 UID 做 MD5 取前 16 位,逐页 AES-128-ECB。我实测解开 468 个会话;真正的硬仗是 1MB WAL 的 CRC 校验链逐帧重算,还有一次连续 7 天的假阴性事故。

微信 4.1 现成解密工具全灭,我用一天一夜、794 次断点命中,把自己的 24 个数据库全部解开。三条弯路、一把假钥匙的教训,以及"守在开门那一刻"的胜负手思路,全部如实记录。