- 博客(37)
- 收藏
- 关注
RSS订阅原创 Web LLM 安全剖析：以间接提示注入为核心的攻击案例与防御体系
LLM面临提示注入（含直接和间接，间接可通过外部源植入恶意指令）、训练数据中毒（污染训练数据致输出错误信息）、敏感数据泄露（被诱导泄露训练数据中敏感信息）等攻击；实战中可通过评论注入指令、利用不安全输出等方式实施攻击。防御需强化API权限（加身份验证，由应用控权限）、管好敏感数据（清理训练数据、给LLM最小权限）、不依赖提示词防御（需技术手段）。
2025-07-21 10:32:53
709
原创 【BurpSuite 插件开发】实战篇（二）开发环境搭建和基础框架详解
工具准备：明确了开发所需的核心工具，包括JDK 21 LTS版本（提供Java运行环境）、BurpSuite社区版（插件运行的目标平台）、IntelliJ IDEA Community社区版（代码开发工具），并给出了各工具的下载途径。项目初始化：通过BurpSuite下载插件开发初始项目模板，并重命名为“PermissionTest”，完成项目的初步创建。环境配置。
2025-07-20 10:59:11
856
原创 初探 Web 环境下的 LLM 安全：攻击原理与风险边界
在数字化转型加速的今天，大型语言模型（LLM）已成为企业提升服务效率的核心工具 —— 从智能客服实时响应客户需求，到内容平台自动生成营销文案，LLM 的深度集成正重塑在线业务形态。然而，这种 “AI 赋能” 的背后潜藏着隐蔽的安全陷阱：当 LLM 与企业内部系统、第三方 API 深度绑定，其对数据和功能的访问权限可能被攻击者利用，成为突破防线的 “隐形通道”。
2025-07-18 11:14:38
1431
原创 从 0 到 1 玩转 XSS - haozi 靶场：环境搭建 + 全关卡漏洞解析
在网页安全的战场里，跨站脚本攻击（XSS）就像隐藏在代码海洋中的暗礁 —— 它可能藏在一个看似无害的输入框里，潜伏在一段被精心构造的评论中，甚至伪装成一条正常的 URL。而 “xss.haozi.me” 的靶场，正是为你还原这场攻防博弈的绝佳训练场。从最直白的标签注入，到绕过敏感字符过滤的奇思妙想；从利用浏览器特性的巧妙 trick，到玩转编码与转义的底层逻辑。这里的每一关，都是现实中 XSS 漏洞的缩影，每一个 payload 的背后，都藏着对网页渲染机制的深刻理解。
2025-07-17 10:09:43
1326
2
原创 【BurpSuite 插件开发】实战篇（一）需求分解和模块设计
开始本系列前，建议先完成BurpSuite 插件开发基础篇内容的学习。在 Web 安全测试中，接口鉴权漏洞是业务安全的重大隐患，BurpSuite 插件则是高效检测的核心工具。但实际测试中，你是否常遇这些卡点：项目动辄数百接口，手动对比不同权限响应效率极低；想用Autorize插件，却困于 Python 2 停更，扩展功能举步维艰？本系列源自头部互联网企业的实战经历 —— 面对日均数千接口的鉴权校验需求，我用 Java 复刻并重构了 Autorize 核心逻辑。
2025-07-16 16:22:43
834
原创 【Web安全】一次性搞懂越权漏洞原理/检测/防御
摘要 越权漏洞（Broken Access Control）是Web应用常见的安全风险，本质是服务器权限校验失效，导致用户执行超出权限的操作。分为垂直越权（低权限用户访问高权限功能，如普通用户篡改isAdmin=true提权）和水平越权（同权限用户互访数据，如修改user_id遍历他人信息）。典型场景包括后台暴露、参数篡改、IDOR漏洞及WebSocket连接后权限缺失。检测方法包括黑盒测试（修改敏感参数如role、uid观察响应）和白盒审计（检查代码权限注解）。漏洞危害隐蔽性强，需严格校验用户与操作对象的
2025-07-15 23:06:27
1284
原创 【Web安全】一次性搞懂 SSRF 漏洞原理/检测/防御
SSRF 虽看似复杂，但核心是“服务器被诱导”。服务器不能直接信任用户输入的URL，开发时做好过滤和限制，就能有效防范。本文是「Web安全基础」系列的第 4 篇，点击专栏导航查看全部系列内容。
2025-07-14 10:35:14
1052
2
原创 【BurpSuite 2025最新版插件开发】基础篇10（完）：日志记录与调试
项目流日志事件日志目的输出调试信息记录关键事件日志内容流式日志（变量、流程、状态）事件驱动（操作、触发、状态变更）是否结构化否是（有统一格式）常见用途开发调试、流程追踪行为审计、插件生命周期记录是否需要单独封装否（封装意义不大）推荐封装为独立方法，便于统一管理是否常用于异常处理否否是否需线程安全否否实践建议流日志适用于快速调试和临时日志输出，适合开发者查看当前代码执行情况。事件日志适用于记录重要行为或状态变化，适合长期维护、审计或插件使用者理解插件行为。
2025-07-12 10:12:35
1095
原创 从 0 到 1 玩转 upload-labs 靶场：环境搭建 + 全关卡漏洞解析
upload-labs是一个专门收集各种文件上传漏洞的PHP靶场项目，用于渗透测试和CTF练习。环境搭建支持Docker和Windows两种方式，包含21道题目。
2025-07-11 11:13:36
431
原创 【BurpSuite 2025最新版插件开发】基础篇9：多线程与异步处理（2）
本文介绍了BurpSuite插件开发中线程安全的最佳实践，重点讲解了共享资源保护和任务取消机制。
2025-07-10 12:22:05
1360
原创 从 0 到 1 玩转 Sqli-labs 靶场：环境搭建 + 全关卡漏洞解析
本文介绍了SQL注入的基础知识，包括常用函数、报错注入、时间盲注和布尔盲注四部分。并通过Sqli-labs 安全靶场进行 SQL 注入实践。
2025-07-09 11:22:24
1149
原创 从 0 到 1 玩转 DVWA 靶场：环境搭建 + 全关卡漏洞解析
如果你是网络安全新手，想亲手实操 SQL 注入、XSS、文件上传等经典漏洞，却苦于找不到系统的练习平台；如果你是安全从业者，需要一个标准化靶场验证渗透思路，却被零散的教程搞得晕头转向 —— 那么这篇文章就是为你准备的。环境说明安全提示：DVWA 环境仅用于本地测试，请勿暴露至公网。CentOS / UbuntuDocker：20.10.12+启动项目官方镜像：https://registry.hub.docker.com/r/vulnerables/web-dvwa配置项目访问 DVWA版本说明下载地址
2025-07-08 10:04:21
361
原创 【Web安全】一次性搞懂 CSRF 漏洞原理/检测/防御
CSRF漏洞利用浏览器自动发送凭证的机制伪造请求，本质是后端信任滥用问题。防御核心在于服务端验证请求合法性，不能仅依赖浏览器凭证。主流框架防御方案：后端框架：Spring/Django默认启用CSRF防护，Express需手动集成安全模块；前端框架：Angular提供XSFR模块，Vue/React需手动实现Token传输；最佳实践：敏感操作启用二次验证，结合同步令牌、SameSite Cookie等机制。多标签页浏览和特定业务逻辑场景需重点关注。
2025-07-07 11:00:09
1374
原创 【BurpSuite 2025最新版插件开发】基础篇8：多线程与异步处理（1）
本文介绍了BurpSuite插件开发中UI操作和耗时操作的线程处理策略。
2025-07-06 12:40:13
1168
原创 OpenSSL 内存泄漏修复全景：119 个历史 Commit 的类型分析与防御启示
OpenSSL开源库存在多种内存泄漏类型，这些泄漏主要通过静态分析(Coverity)、动态检测(ASan/Valgrind)和模糊测试(libFuzzer)发现。
2025-07-04 18:09:42
1219
原创 【极简黑客风】创意Python爱心代码分享
技术类别使用内容图形渲染Pygame 的 polygon、lines、circle 等方法动画控制时间驱动 + 阶段变量控制动画流程粒子系统自定义类实现爱心粒子和血滴效果特效处理抖动、流血、颜色渐变、数字雨背景数学建模心形曲线方程、颜色插值、坐标变换视觉封装背景绘制、爱心绘制等函数封装。
2025-07-01 12:23:47
894
原创 你不行，AI 再牛也没用！
《AI时代的清醒认知：技术是放大器而非创造者》摘要 在经历AI狂热后，我意识到焦虑驱动的盲目学习往往适得其反。AI本质是能力放大器，而非创造者，其价值取决于使用者的认知深度。当基础能力薄弱时，AI的放大效应也有限。真正的突破在于：1）承认AI无法替代人类深度思考与原创见解；2）以解决实际问题为导向学习AI工具，而非盲目"集课"；3）在AI制造的同质化内容浪潮中，个人独特经验与视角才是核心竞争力。技术终将回归工具属性，人类的思想温度与生命体验才是不可替代的价值源泉。
2025-06-30 16:21:30
419
2
原创 【BurpSuite 2025最新版插件开发】基础篇6：UI组件与数据传输
本文介绍了BurpSuite 2025插件中实现UI数据传输的关键方法。通过扩展ContextMenuItemsProvider接口，在右键菜单中添加自定义选项"发送到我的插件面板"，支持同时选中多个请求/响应并发送到插件面板显示。插件面板采用JTextArea组件展示内容，并通过BorderLayout布局确保可滚动性。核心功能包括：获取选中请求响应数据、提取HTTP信息字符串、更新UI显示面板。
2025-06-30 11:13:43
1378
原创 哪个工具让你的工作效率翻倍？HexHub给出运维终极答案
HexHub是一款高效的一站式开发工具，提供数据库管理、远程连接、文件传输和Docker容器管理等功能。其智能SQL编辑器支持自动补全和代码格式化，表结构编辑器可灵活设计数据库，数据导入导出速度极快且支持多种格式。远程连接功能包含SSH代理、实时服务器监控，SFTP文件传输支持跨服务器直接传输和后台操作。Docker管理模块提供镜像加速下载、容器实时监控和日志分析功能，显著提升开发效率。HexHub跨平台、操作便捷，是开发人员的得力助手。
2025-06-28 11:35:34
944
原创 【BurpSuite 2025最新版插件开发】基础篇5：UI组件开发
【BurpSuite 插件UI开发指南】文章摘要： 本文详细介绍了BurpSuite 2025版插件UI开发的基础知识，包含两部分核心内容： Swing组件快速入门，介绍了JPanel、JButton等常用UI组件及布局示例； BurpSuite UI接口详解，重点讲解UserInterface接口的三种应用场景： 创建独立插件面板（SuiteTab） 实现右键菜单功能（ContextMenuItemsProvider） 顶部菜单栏集成（较少使用） 文中提供了完整的代码示例。
2025-06-27 16:12:08
1168
原创 【BurpSuite 2025最新版插件开发】基础篇4：HTTP流量处理
本文介绍了使用BurpSuite 2025 Montoya API开发HTTP请求/响应处理的插件方法。
2025-06-23 20:12:50
867
原创 【BurpSuite 2025最新版插件开发】基础篇3：请求拦截和修改简单示例
本文介绍了如何开发一个简单的BurpSuite插件，用于拦截和修改HTTP请求。
2025-06-22 12:00:33
1383
原创 【BurpSuite 2025最新版插件开发】基础篇2：插件生命周期与核心接口
本文介绍了BurpSuite插件开发的完整生命周期，包括加载、初始化、运行、卸载和垃圾回收五个阶段。文章还提供了各阶段的关键代码示例和官方接口文档参考，帮助开发者快速掌握Burp插件开发的核心流程和最佳实践。
2025-06-21 10:49:26
703
原创 【代码安全审计】OpenSSL 使用不当导致证书链校验被绕过
检查 X509_STORE_CTX 方法，第二个参数 X509_STORE *store 需要保证可信，外部无法篡改。不要依赖外部传入的 X509_STORE，而是使用系统或应用程序内置的受信任存储。.csr 证书签名请求。.crt 签名后的证书。
2025-06-17 12:21:43
742
原创 【安全工具】华为 C/C++ 静态代码分析工具 Cooddy 环境搭建
Cooddy是华为开源的一款基于Clang AST的源代码静态分析工具，支持数据流分析和静态符号执行技术。
2025-06-11 16:02:50
453
原创 【Web安全】一次性搞懂 ReDOS 漏洞原理/检测/防御
ReDOS（正则表达式拒绝服务攻击）是一种利用缺陷正则表达式消耗系统资源的攻击方式。文章介绍了危险正则表达式示例（如(+)+），分析了两种正则引擎（DFA和NFA）的工作原理，其中NFA易受回溯影响导致性能问题。通过Python和Java代码示例展示了贪婪匹配与ReDoS漏洞场景，并推荐了测试工具（RegexBuddy、ReDoSHunter等）来检测漏洞。最后提供了ReDoSHunter的Java测试方法，强调通过工具分析可有效识别潜在ReDoS风险。
2025-06-10 19:51:34
782
原创 【代码安全审计】CJSON库内存泄漏检查
CJSON库使用指南摘要：CJSON是处理JSON数据的轻量级C语言库，提供序列化和反序列化功能。它使用动态内存管理，开发者需手动释放内存。主要释放函数为cJSON_Delete（用于递归释放JSON对象树）和cJSON_free（用于释放字符串）。创建型函数（如cJSON_CreateObject）生成的对象需用cJSON_Delete释放，而打印函数（如cJSON_Print）返回的字符串需用cJSON_free释放。
2025-06-09 20:54:08
354
原创 【SqlMap】新手 SqlMap 注入工具掌握这些就够了
SqlMap 是网络安全领域常用的自动化 SQL 注入工具，基于 Python 开发，官网及 GitHub 可获取资源。新手需掌握核心操作：通过-u指定 URL 并结合-p指定参数检测注入，利用--dbs、-D、--tables等参数逐步获取数据库、表、字段信息，高权限时可用--users、--passwords获取用户密码，脱库时通过--dump导出数据，还可通过--level、--risk提升探测等级，使用--tamper绕过防护，--batch实现自动操作。
2025-06-09 19:59:27
189
原创 【BurpSuite 2025最新版插件开发】（附）：IDEA + Maven 开发 BurpSuite 插件代码调试方法
使用IDEA调试BurpSuite插件Jar包的详细方法。
2025-06-02 12:03:51
390
【Web安全技术】WebGoat v8.2.2版本全解：基于Java的开源安全测试平台环境搭建与常见漏洞实践指南
2025-07-02
网络安全靶场 SQL注入实战解析：sqli-labs解题指南
2025-06-27
网络安全-Java开发BurpSuite插件-插件源码
2025-06-23
空空如也
TA创建的收藏夹 TA关注的收藏夹
TA关注的人