网络安全

白盒测试与代码审计-js登录逆向实战声明：本文所有内容仅用于授权渗透测试与网络安全学习研究，禁止用于任何非法用途。在 Web 安全测试中，登录接口往往是第一道关卡。很多网站为了防止密码明文传输，会在前端使用 JavaScript 对密码进行加密。本文将通过两个具体的靶场案例，演示如何从发现加密、调试代码到最终实现自动化爆破的全过程。

南棋网络安全

ssrf跨站请求伪造（保姆级教程）SSRF（服务器端请求伪造）的本质是让服务器成为攻击者的代理。当应用程序需要“替用户”去访问一个远程资源时，如果未能对用户提供的目标地址进行严格限制，攻击者就能诱导服务器向本不该访问的内部系统发起请求。

数据防泄漏系统：文件是怎么溜出门的，就该怎么堵一提数据防泄漏，不少人第一反应是装加密。可加密只管文件落盘这一件事：文件被拍、被念、被从别的口子传走，加密根本使不上劲。

信息安全工程师 - 第二十二章网站安全需求分析与安全保护工程1. 输入过滤验证：黑名单拦截关键字；白名单优先只允许合法输入2. 数据库账号最小权限，禁止使用 DBA 账号连接数据库

白帽攻防录

SRC 挖洞：PowerPoint 四个 RCE，预览窗格怎么变成零点击入口作者 akihi（白帽攻防录讲师），某甲方网络安全工程师，合合 SRC 年度第一、腾讯 SRC 连续三年前十，单漏洞赏金 4w+，擅长 Web/App/PC 客户端漏洞挖掘。专注 Office 文档安全、文件解析漏洞与钓鱼攻击防护研究。本文基于公开 CVE 信息与技术原理深度复盘，供安全研究与防护参考。

DNS 泄露检测怎么做：从随机权威域名、递归解析器出口到 HTTP 出口一致性DNS 泄露是一个被广泛讨论、却经常被讲错的话题。很多材料把它描述为"DNS 请求暴露了你的真实 IP"，这在技术并不严谨——在标准解析链路中，权威服务器看到的是递归解析器的地址，而不是终端设备的地址。真正的 DNS 泄露，指的是你的解析请求没有走你预期的解析器，导致解析路径与访问路径分属不同的网络归属。本文从解析链路的角色划分讲起，说明三种典型的泄露形态，介绍用一次性随机权威域名建立对照基线的方法，给出命令行与服务端的复现手段，并讨论加密 DNS（DoH/DoT）、EDNS Client Subnet

C 选择结构的执行效率分析● switch：跳转表直接定位分支 ● if-else：依次逐个条件比较核心差异：switch 计算偏移直接跳转；if-else 顺序依次判断 switch 反汇编底层原理（跳转表模式）

愤怒火龙果

AI攻防 LLM中间件LLM 中间件（LLM Middleware），指夹在业务代码和真正的模型之间的那一层服务： Ollama、vLLM、LM Studio、LocalAI、各种“中转站”API 网关，都属于这一类。

白盒测试与代码审计-JS 数据逆向声明：本文所有内容仅用于授权渗透测试与网络安全学习研究，禁止用于任何非法用途。在前后端分离的现代 Web 开发中，为了保证数据传输的安全性，敏感数据往往不会直接明文传输，而是经过加密处理。其中，AES（高级加密标准）是最常用的对称加密算法之一。

白帽攻防录

SRC 挖洞：PostScript 打印机驱动双 RCE，打印服务器怎么变成内网跳板作者 akihi（白帽攻防录讲师），某甲方网络安全工程师，合合 SRC 年度第一、腾讯 SRC 连续三年前十，单漏洞赏金 4w+，擅长 Web/App/PC 客户端漏洞挖掘。专注 Windows 内核安全、打印服务攻击面与企业内网渗透研究。本文基于公开 CVE 信息与技术原理深度复盘，供安全研究与防护参考。

nf_tables 的 verdict 被读了两次：一个十年未闭合的位域错配2024 年 1 月 20 日，Florian Westphal 提交了 f342de4e2f33，标题是 “netfilter: nf_tables: reject QUEUE/DROP verdict parameters”。提交信息第二行写着 This reverts commit e0abdadcc6e1.，被回退的提交来自 2014 年 2 月。在解释完问题之后，他补了一句：

C 循环结构的执行效率分析1.从反汇编代码的行数来看，for循环最慢，while循环和do-while循环较快 2.while循环和do-while循环在结构上较为清晰，执行速度较快 3.do-while循环的执行效率最高，适用于简单和通用的循环场景

每日安全情报报告 · 2026-10-16由 AI 整理发布本期覆盖 2026-10-14 ~ 2026-10-16 近 24–48 小时内新增/升级的高危漏洞、在野利用（KEV）及安全研究动态。风险级别图例：🔴 严重（多在野）、🟠 高危、🟡 需关注。今日为 Ivanti CVE-2026-104935 的 CISA KEV 整改截止日，明日（10-17）为 Cisco、Palo Alto、AhsayCBS 三项在野漏洞的联邦整改截止日，请优先处置。

臻选云栗子

PCDN晚高峰掉量原因分析及优化建议PCDN（P2P CDN）在晚高峰时段出现掉量现象，是运营和研发团队经常遇到的问题。掉量不仅影响用户体验，还会直接导致带宽成本上升和业务指标下滑。本文从网络、调度、节点、业务等多个维度分析晚高峰掉量的常见原因，并给出对应的排查思路和优化建议。

AI Agent的“自主攻击”时代已经来了？2026年9月底至10月初，韩国金融系统遭遇了一次不寻常的攻击。新韩银行、KB国民银行、韩亚银行、友利银行、NH农协银行等多家金融机构接连遭到网络攻击，至少七家金融公司确认信息泄露，约6.8万名客户及员工的姓名、电话号码、身份证号码、年收入乃至贷款额度等敏感信息外泄。

文章永久免费只为良心

Ctfshow_Web应用安全与防护_第二章_无字母数字命令执行靶场：https://0a594fef-edb3-4544-b303-d33e6e6c19dd.challenge.ctf.show/

DeepSeek 部分 API 中断事件：重要细节与事实事件：2026-10-15 DeepSeek 网页/API 部分中断（官方口径 08:11–13:04，Asia/Shanghai）。官方通报：status.deepseek.com/incidents/7116348214287 本文只记录一件事：同一时段、同一个官方端点、同一把 key，为什么"用代码直调 API"失败率很高，而 Agent 类工具（ZCode / Codex / DSH 等）看起来一直稳定有输出。文中"代码直调侧"指我的 AI 助手进程（直接调用官方 API，不经任何中转）。标注

JsOwl｜AI 赋能 JS 敏感信息扫描器，AST + 正则、source‑map 源码还原、登录态爬虫输出交互式 HTML 报告JsOwl 是一款 Go 语言开发的高性能 JavaScript 信息收集与安全扫描工具，同时可作为 Go 类库调用。支持 direct、browser、auto 三种采集模式，依托正则与 Tree‑sitter AST 双引擎，兼容 HaE 规则库，可提取 API 接口、路由、Token 密钥等敏感数据。具备登录态扫描、SPA 运行时交互抓取能力，集成 AI 辅助分析与 MCP Server 能力，对接大模型完成敏感信息评级，批量输出 JSON 与交互式 HTML 报告，是红队渗透、Web 安全测试阶段

是真的小外套

第16章：网安风险评估技术原理及应用

内网终端安全再升级｜迪康端点安全 2609 版本四大新功能解读在内网运维的实际工作里，我们经常会遇到几个非常头疼的现实问题：政务大厅、培训机房公用电脑用完遗留敏感数据；信创麒麟、统信终端补丁批量管理难；医院、工业保留大量 Windows XP 老旧业务终端无法纳管；涉密、考试终端只能监控屏幕，看不到现场物理环境风险。