网络安全

笨鸟先飞，勤能补拙

网络安全等级保护 2.0：从定级备案、建设整改到持续合规的系统指南网络安全等级保护，通常简称“等保”，是一套按网络和信息系统遭到破坏后可能造成的危害程度，划分安全保护等级，并实施与等级相匹配的安全建设、管理、测评和监督检查的制度。

2026平航杯内存取证（StarMem）💡 报告元数据题目摘要：倩倩的电脑曾被API投毒过，请找出投毒后执行的恶意命令。答案格式：cmd.exe 172.0.0.122 -i hel1o

Fastjson1全版本（1.2.47→1.2.83 ）漏洞利用3万字完整总结、绕过分析、探测、WAF 绕过与 Gadget 汇总Fastjson1 全版本反序列化漏洞利用体系，讲解反序列化核心流程、parse 与 parseObject 行为差异，汇总目标探测手段，包含版本识别、依赖探测、期望类判断以及各类 WAF 绕过技巧。重点剖析 1.2.47、1.2.68、1.2.80、1.2.83 经典绕过原理，整理 JDBC、commons-io 读写文件等多条利用链，阐述写文件转化 RCE 落地思路。配套各类 Payload 思路与开源工具清单，解决现有资料碎片化问题，便于安全从业者学习、复盘与实战落地。

Mellanox ConnectX网卡RDMA性能优化全指南：深度解析（固件调优、中断亲和与GPUDirect必知必会）摘要：本文深度解析Mellanox ConnectX系列网卡RDMA性能优化全指南。从RoCEv2协议报文、DCQCN拥塞控制算法，到GPUDirect RDMA底层PCIe P2P架构进行硬核剖析。结合H3C交换机与NVIDIA网卡的多厂商实战配置，提供中断亲和、固件调优及真实踩坑案例，助力AI集群网络性能榨干最后一滴带宽。

实习学习笔记：HTTP请求走私漏洞全方位解析前言近期在安全实习过程中，系统学习并复现了HTTP请求走私（HTTP Request Smuggling）漏洞。这是一类利用HTTP协议解析差异的高阶Web漏洞，不同于常规的SQL注入、XSS漏洞，它不针对业务代码漏洞，而是利用前端代理与后端服务器的协议解析不一致实现攻击，隐蔽性极强、危害极高，常被用于绕过WAF、未授权访问、用户请求劫持。

SSTI 模板注入：Jinja2 沙箱逃逸实战模板引擎本是为了让页面更干净：{{ user.name }} 渲染一下，活完就走。麻烦始于有人把用户输入当成模板来渲染——搜索关键字、错误消息、邮件主题、运营配置里的“自定义欢迎语”，直接丢进 render_template_string(user_input)。于是攻击者写入的不再是数据，而是模板语法；在服务端一执行，就成了 SSTI（Server-Side Template Injection，服务端模板注入）。

每日安全情报报告 · 2026-08-05

OpenAI 首次为自家模型踩刹车：Astra「无法排除关键网络能力」，Preparedness Framework 第一次真的咬人8月7日，OpenAI 在官网发布了一篇关于前沿网络能力的公告，同一天把这条消息独家给了 Axios。核心结论只有一句：在过去几天对尚未发布的模型 Astra 完成内部评估之后，公司无法排除该模型已经具备关键级网络能力。基于这个结论，OpenAI 决定暂停一切不满足更严格安全控制要求的 Astra 内部工作，同时把围绕它的测试与安全投入整体上调。这是 Preparedness Framework 从 2023 年底写出来到今天，第一次因为网络安全这一项真正卡住了自家在研的模型。

《网络协议安全》全套PPT课件（太原理工大学）《网络协议安全》全套PPT课件（太原理工大学）课件内容：第一章网络体系结构.pptx 第二章网络协议+第三章互联网.pptx 第四章网络漏洞的分类.ppx 第五章物理网络层概述.ppx 第六章网络层协议(第1讲）·pptx 第六章网络层协议(第2讲）·pptx 第六章网络层协议(第3讲）·pptx 第六章网络层协议（第4讲）·pptx 第七章传输层协议(第1讲）·pptx 第七章传输层协议(第2讲）·pptx 第八章应用层概述+第九章电子邮件（1讲）·pptx 第九章电子邮件(2讲）·pptx 第十

VULOC：基于汇编切片的漏洞定位框架，精准锁定二进制中的危险代码“ 在软件漏洞检测领域，“是否存在漏洞”只是第一步，更关键的问题是：漏洞究竟位于哪里？尤其是在二进制程序分析中，由于缺乏源代码语义信息，漏洞定位面临更大挑战：指令级语义复杂，难以直接建模；控制流与数据流交织，定位粒度粗糙；传统方法往往只能做到函数级或基本块级检测。

IDOR 不安全的直接对象引用：API 越权实战检测API 越权里，出镜率最高的名字之一叫 IDOR（Insecure Direct Object Reference，不安全的直接对象引用）。名字有点学院派，翻译成人话却很土：

能年玲奈喝榴莲牛奶

使用AI编写-资产和漏洞管理系统突然心血来潮想试试在Ai agent帮忙下，我想弄一个小应用有多方便，突然也想说写一个资产和漏洞的管理系统。顺便对比一下生成式AI和AI agent全自动编写的差异。

CTFHub Web前置技能闯关靶场：CTFHub - Web 前置技能闯关关卡：请求方式 / 302 跳转 / Cookie / 基础认证 / 响应包源代码

00后程序员张

抓包鹰电脑本机网络连接表怎么看？哪些程序在联网进程归属与可疑 IP 追溯「哪个程序在偷偷联网？它连去了哪儿？」连接表列出本机当前所有活动连接，每条都标明是哪个进程在连，一眼看清这台机器的对外通信全貌。

SSRF 漏洞实战：内网探测、云元数据窃取一条龙SSRF（Server-Side Request Forgery，服务端请求伪造）有一句很形象的概括：

Fnet 云网安 260807🛡️ NSOC（网络·安全·云一体化运营中心）——7×24 主动监控与专家值守，网络可用性 99.99%，安全事件 100% 闭环，云资源一站式管理

CIC2017的CICFlowMeter 的使用1、CICFlowMeter介绍有原生 Java Swing 图形界面，很简陋，年代比较老：2、编译CICFlowMeter

宽字节注入、二次注入、堆叠注入：高级 SQLi 专题上一篇把 SQL 注入从手工到 sqlmap 走了一遍。有人读完会觉得：参数化一上，注入不就死了吗？话是没错，可真实项目里总有“历史包袱”和“聪明人自己造的轮子”——编码处理不一致、入库一次出库再拼一次、驱动居然允许多语句执行。于是就有了这三类更刁钻、也更容易在代码评审里漏掉的东西：宽字节注入、二次注入、堆叠注入。

登录界面渗透测试全攻略登录界面是绝大多数 Web 应用、小程序以及系统后台的第一道防线，也是安全测试中最高频、最容易突破的攻击面之一。一个看似简单的登录框，后面往往关联着身份鉴权、数据库交互、逻辑控制以及前端解密等多重复杂机制。

iOS 怎么抓包？抓包鹰系统级网卡应用层三种方式对比，不越狱抓 iPhone 流量在 iPhone / iPad 上抓包，向来是最麻烦的一件事——别的工具往往要么得越狱，要么只能架代理（还得装描述文件、装证书，碰上证书绑定的 App 又抓不到）。iOS 抓包提供三种非越狱方式，从「零配置看系统请求」到「整机全量」再到「单个 App 完整明文」，总有一种拿下你的目标。