网络安全

文件包含漏洞本质上是网站的代码中有一个include函数，可以执行文件；黑客能通过参数等方式使用该函数执行指定的文件，这些文件中会有一些恶意的命令；所以叫文件包含漏洞。 php语言的include函数：执行目标文件中的内容；若文件中没有代码，直接输出原内容。

其实防守也摸鱼

Cylab在线靶场——挑战图书馆初学者指南CyLab Security Academy 是一个面向网络安全初学者的在线实战靶场平台，提供大量 CTF（Capture The Flag）风格的挑战题目，覆盖密码学、逆向工程、Web 安全、二进制漏洞利用等多个方向。平台采用「启动实例 + 在线提交 Flag」的模式，每道题都会分配一个独立的可连接实例，你需要在实例中分析、破解并找到形如 academy{...} 的 Flag，提交到页面底部即可得分。本文记录了我在 CyLab 靶场从入门到通关的完整 WriteUp，包含每道题的解题思路、操作步骤和踩

可视化易用·低误报率·跨区域部署：知源-AI数据分类分级系统在金融行业的落地实践提示：金融行业的数据分类分级已从监管合规的“及格线”升级为数据要素流通的“起跑线”，一套可视化易用、误报率可控、能支撑跨区域部署的系统，正在成为金融机构数据安全治理的基础设施。

愤怒火龙果

AI攻防 AIRT03-RAG Exploitation & Vector Database Attacks📄 本笔记整理自课程官方文档 Module 3：RAG Exploitation & Vector Database Attacks原文：Module 3: RAG Exploitation & Vector Database Attacks — AIRT Academy

严谨的麻辣烫

静态代理 IP 的出口一致性如何验证？Python 请求检测与异常排查在需要长期访问外部 API、远程服务或特定地区业务系统的场景中，静态代理 IP 经常被用于提供相对固定的网络出口。

【10-12月优质学术会议合集】会议覆盖人工智能、大数据、高端装备、软件与网络安全、计算机视觉技术等热门方向2026年10-12月优质会议合集会议目录01【IEEE出版】第二届能源互联网与电气工程国际学术会议（EIEE 2026）

系统安全检测方案怎么写？从资产清点到复测闭环的技术框架本文为安全研究团队的技术实践总结，文中涉及环境均为自有系统或已获授权的测试目标。可执行的安全检测方案分五段：范围界定、检测方法、风险分级、计划资源、复测闭环。2026 年最常失分的是范围与复测两段。

福芯微电子有限公司nfc

国产收音芯片 FSV4755：多波段调谐与高集成设计，赋能多种音频终端在车载影音、桌面音响、便携式收音设备等产品中，AM/FM 收音功能依然是重要的音频应用。对于整机厂商而言，收音芯片不仅要满足稳定接收和音频输出的需求，还需要兼顾外围电路设计、PCB 空间、系统适配及供应链成本。

C printf原型解析● x86（cdecl）：参数从右向左全部压栈，所有可变参数都在栈上连续存放，va_arg本质就是指针 + 类型宽度偏移 ● x64 Windows ABI：前 4 个参数优先放在rcx,rdx,r8,r9寄存器，剩余参数入栈；va_start 会处理寄存器里存放的参数，不再单纯只操作栈坑：x64 下可变参数不是全部在栈上，逆向调试的时候容易踩坑

CTFHub 信息泄露通关笔记：Git泄露 Log - 教程本关推荐使用Githack lijiejie/GitHack: A `.git` folder disclosure exploit

从 Nginx 日志到访问分析：轻量化网站监测服务的架构实践技术主题：日志采集、Python 服务、SQLite/MySQL、Linux 部署目前系统服务已开源。本文围绕源码中的采集、存储、查询与部署机制展开，说明设计取舍及适用边界。

ManageEngine卓豪

企业网络安全建设实践：2026 威胁态势、合规基线与分层防御落地勒索攻击同比增长四成、修订版《网络安全法》正式施行的 2026 年，企业安全建设的优先级需要重新排一遍。这篇文章基于国家计算机病毒应急处理中心、360、国家互联网应急中心（CNCERT）等机构 2025—2026 年公开发布的态势报告，结合"三法两条例"与等保 2.0 的合规要求，梳理一条可落地的建设路径：先看清威胁，再对齐合规基线，最后用八层防御体系和五步战略把工作固定成闭环。

可视化易用·低误报率·跨区域部署：知源-AI数据分类分级系统在金融行业的落地实践提示：金融行业的数据分类分级已从监管合规的“及格线”升级为数据要素流通的“起跑线”，一套可视化易用、误报率可控、能支撑跨区域部署的系统，正在成为金融机构数据安全治理的基础设施。

抓包工具断点拦截是什么？如何半路拦截修改 HTTP 请求调一个接口，账户余额这个字段跟实际对不上。可能不是代码问题，你大概怀疑是后端返回的数据有问题，可这会儿后端同事也在查，谁都不确定啊。这时候最快的做法不是加日志、重新打包、等下一次请求，而是在请求出去的那一刻把它停住，亲眼看一眼它到底带了什么、回来又是什么。

【PolarCTF】PHP_Deserialization当调用一个对象中不存在（或者访问权限不足，比如私有 / 受保护）的实例方法时，会自动触发 __call()

白盒测试与代码审计-Claude Code Windows环境搭建声明：本教程仅供网络安全技术学习与交流，严禁用于非法用途。请在获得合法授权的环境下进行测试，遵守《网络安全法》及相关法律法规。因违规操作产生的一切法律后果由使用者自行承担，与作者无关

Vitaliy Kostrov（柯维远）

客户端如何检查直播流：从流内标记到停止播放播放器接收数据，解码器输出画面，应用把视频呈现给用户。在这条链路中，究竟由谁决定：收到的流还能不能继续播放？

从签名重放到 Agent Harness：一堂安全课程如何把前端逆向、MCP 与工程约束串起来目录复盘范围与阅读边界一、从 WebShell 检测回顾到框架代码追踪缓存命中与文件内容差异哈希碰撞示例及其边界

白盒测试与代码审计-js登录逆向实战声明：本文所有内容仅用于授权渗透测试与网络安全学习研究，禁止用于任何非法用途。在 Web 安全测试中，登录接口往往是第一道关卡。很多网站为了防止密码明文传输，会在前端使用 JavaScript 对密码进行加密。本文将通过两个具体的靶场案例，演示如何从发现加密、调试代码到最终实现自动化爆破的全过程。

南棋网络安全

ssrf跨站请求伪造（保姆级教程）SSRF（服务器端请求伪造）的本质是让服务器成为攻击者的代理。当应用程序需要“替用户”去访问一个远程资源时，如果未能对用户提供的目标地址进行严格限制，攻击者就能诱导服务器向本不该访问的内部系统发起请求。