程序媛西米-CSDN博客

原创面试被问红蓝对抗，蓝队反杀红队的场景怎么答出彩

机会属于有准备的人，这是一个实力的时代。人和人之间的差距不在于智商，而在于如何利用业余时间，只要你想学习，什么时候开始都不晚，不要担心这担心那，你只需努力，剩下的交给时间！网安其实不难，难的是坚持和相信自己，我的经验是既然已经选定网安你就要相信它，相信它能成为你日后进阶的高效渠道，这样自己才会更有信念去学习，才能在碰到困难的时候坚持下去。网络安全（黑客）学习路线，形成网络安全领域所有的知识点汇总，它的用处就在于，你可以按照上面的知识点去找对应的学习资源，保证自己学得较为全面。也有类似的轮询规律。

2026-10-31 10:14:58 79

原创 CISSP 复习题怎么刷，安全授权与供应商管理避坑指南

简单来说，备份是“有粮”，DRP 是“做饭的流程”。在 BCP 的优先级识别阶段，定量数据往往比专家的直觉更具备说服力，它能将模糊的“重要”转化为具体的“金额”，从而指导灾难恢复策略的精准落地。网安其实不难，难的是坚持和相信自己，我的经验是既然已经选定网安你就要相信它，相信它能成为你日后进阶的高效渠道，这样自己才会更有信念去学习，才能在碰到困难的时候坚持下去。网络安全（黑客）学习路线，形成网络安全领域所有的知识点汇总，它的用处就在于，你可以按照上面的知识点去找对应的学习资源，保证自己学得较为全面。

2026-10-31 10:10:57 160

原创网络扫描工具怎么选，nmap 与 OpenVAS 实战区别解析

只有将评估的静态结果转化为管理的动态行动，才能真正提升系统的安全性。人和人之间的差距不在于智商，而在于如何利用业余时间，只要你想学习，什么时候开始都不晚，不要担心这担心那，你只需努力，剩下的交给时间！网安其实不难，难的是坚持和相信自己，我的经验是既然已经选定网安你就要相信它，相信它能成为你日后进阶的高效渠道，这样自己才会更有信念去学习，才能在碰到困难的时候坚持下去。网络安全（黑客）学习路线，形成网络安全领域所有的知识点汇总，它的用处就在于，你可以按照上面的知识点去找对应的学习资源，保证自己学得较为全面。

2026-10-31 10:03:58 145

原创数据中心物理安全怎么做，从环境设计到入侵检测全攻略

是 IDS 的前端感官。机会属于有准备的人，这是一个实力的时代。人和人之间的差距不在于智商，而在于如何利用业余时间，只要你想学习，什么时候开始都不晚，不要担心这担心那，你只需努力，剩下的交给时间！网安其实不难，难的是坚持和相信自己，我的经验是既然已经选定网安你就要相信它，相信它能成为你日后进阶的高效渠道，这样自己才会更有信念去学习，才能在碰到困难的时候坚持下去。网络安全（黑客）学习路线，形成网络安全领域所有的知识点汇总，它的用处就在于，你可以按照上面的知识点去找对应的学习资源，保证自己学得较为全面。

2026-10-31 10:00:29 125

原创安全评估与测试怎么搞，四种组件与三类审计深度对比

这类审计的结果往往保密，直接服务于特定的监管或合同需求。人和人之间的差距不在于智商，而在于如何利用业余时间，只要你想学习，什么时候开始都不晚，不要担心这担心那，你只需努力，剩下的交给时间！网安其实不难，难的是坚持和相信自己，我的经验是既然已经选定网安你就要相信它，相信它能成为你日后进阶的高效渠道，这样自己才会更有信念去学习，才能在碰到困难的时候坚持下去。网络安全（黑客）学习路线，形成网络安全领域所有的知识点汇总，它的用处就在于，你可以按照上面的知识点去找对应的学习资源，保证自己学得较为全面。

2026-10-31 09:49:46 152

原创 Metasploit 渗透测试实战指南：从环境搭建到漏洞利用

Metasploit 把渗透测试中的重复工作模块化，让安全人员可以把精力集中在漏洞分析与风险判断上。掌握模块体系、熟悉数据库联动、规范记录过程，是把它用好用稳的关键。技术能力必须与合规意识同步成长，只在授权范围内开展测试。学好网络安全不论是就业还是做副业赚钱都不错，但要学会网络安全还是要有一个学习规划。最后大家分享一份全套的网络安全学习资料，给那些想学习网络安全的小伙伴们一点帮助！

2026-10-30 10:14:54 145

原创 Metasploit 实战入门：从环境搭建到漏洞验证的完整流程

学好网络安全不论是就业还是做副业赚钱都不错，但要学会网络安全还是要有一个学习规划。最后大家分享一份全套的网络安全学习资料，给那些想学习网络安全的小伙伴们一点帮助！

2026-10-30 10:09:36 180

原创 Metasploit 渗透测试入门到实战：模块体系、漏洞利用与后渗透全流程

Metasploit 把渗透测试中分散的环节串联成一套可复用的工作流：用 auxiliary 模块做侦察，用 exploit 加 payload 完成验证，用 Meterpreter 和 post 模块评估影响面。掌握模块体系、参数配置和会话管理这三条主线，就能应对大多数常规场景。建议读者先在自建靶场中完整走通一遍流程，再逐步深入免杀、横向移动等进阶方向。学好网络安全不论是就业还是做副业赚钱都不错，但要学会网络安全还是要有一个学习规划。最后大家分享一份全套的网络安全学习资料，给那些想学习。

2026-10-30 10:05:35 145

原创 Metasploit 渗透测试入门到进阶：模块、流程与实战命令详解

Metasploit 把渗透测试中的重复工作标准化，让测试人员能够更专注于攻击路径与风险分析。掌握模块体系、标准流程和会话管理，是高效使用该框架的关键。需要再次强调的是，所有技术手段都必须在合法授权范围内使用，安全能力的价值在于防御，而不是越界。学好网络安全不论是就业还是做副业赚钱都不错，但要学会网络安全还是要有一个学习规划。最后大家分享一份全套的网络安全学习资料，给那些想学习网络安全的小伙伴们一点帮助！

2026-10-30 10:01:45 1

原创不安全随机数风险：Java Random、PHP mt_rand 可预测，真实业务漏洞案例

在很多 Web 渗透、代码审计、SRC 挖掘里，“随机数” 是最容易被轻视的高危点。开发为了省事，用rand()mt_rand()time拼接生成密码重置 token、验证码、会话 ID、优惠券码、API Key、加密 IV/Nonce—— 表面上 “每次都不一样”，实际上全部出自可预测的伪随机数生成器（PRNG）。攻击者一旦知道 PRNG 的算法和种子，就能精确预测 “随机” 结果，进而重置任意用户密码、批量生成兑换码、绕过验证码、伪造会话、破坏加密。

2026-10-29 10:59:43 115

原创代码审计常见密码学坑：硬编码密钥、随机数不安全、自实现加密踩坑汇总

在代码审计、SRC 挖掘、红蓝对抗的日常里，密码学相关的漏洞往往是高危中的高危：一旦被利用，轻则业务数据被解密、接口被伪造，重则直接拿到管理员权限、整个系统的加密信任链崩塌。很多安全审计人员在过代码的时候，注意力集中在注入、越权、文件上传这些经典漏洞，密码学代码反而容易被跳过 —— 尤其是硬编码密钥、不安全的随机数、自实现加密这三类 “教科书级” 问题，几乎天天在真实项目里出现，却被当成 “内部实现细节” 一带而过。硬编码密钥随机数不安全自实现 / 错误使用加密。

2026-10-29 10:57:01 281

原创 DPAPI 密码学详解：用户主密钥、备份密钥，为什么拿到 nt hash 也不一定导出凭证

在 Windows 域渗透、内网横向移动、凭据窃取场景里，DPAPI（Data Protection API）是攻击者最爱啃、也最容易碰壁的一类目标。Chrome/Edge 密码、WiFi 密码、Windows 凭据管理器（Credential Manager）、RDP 保存的密码、各种应用加密的本地数据，绝大多数底层都是 DPAPI 加密的。很多红队同学在做凭据导出时踩坑：拿到了用户 NT Hash，但用 Mimikatz dpapi::masterkey 解密时依然失败；

2026-10-29 10:49:35 210

原创 SSH 密钥安全：私钥弱口令、私钥泄露、agent 转发劫持实战分析

SSH 密钥认证是 Linux 服务器运维、Git 代码托管、CI/CD、云主机登录最主流的免密认证方式，也是内网横向移动里攻击者最看重的目标资产。很多运维和安全人员对 SSH 密钥的认知停留在 “公钥放服务器、私钥本地保管、比密码登录安全”，但真实攻防中，SSH 私钥恰恰是重灾区：私钥本身设置了弱口令、私钥文件权限不当、私钥明文泄露、公私钥散落、agent 转发开启导致跳板劫持，每一类都可以被攻击者利用，直接拿下服务器权限、横向扩散到整个内网。很多团队踩坑：用ssh-keygen。

2026-10-29 10:47:40 313

原创 JWT 密码学攻击：HS256 弱密钥、RSA kid 篡改、算法混淆攻击原理 + 复现

JWT（JSON Web Token，RFC 7519）是目前前后端分离架构、API 鉴权、单点登录（SSO）、微服务网关最主流的无状态令牌方案。很多开发对 JWT 的认知停留在 “用秘钥签名、客户端不可篡改、服务端验签即可”，默认只要用了 JWT 就安全。JWT 的安全完全取决于签名算法、密钥强度、头字段（header）的信任边界，而这三处恰恰是开发最常踩坑的地方，几乎每一类踩坑都可以被白帽子利用，直接伪造任意用户身份、越权访问管理后台。

2026-10-29 10:34:31 149

原创内核日志解析：dmesg、klog、ftrace，从内核日志定位崩溃与入侵痕迹

在内网应急响应、漏洞复现、蓝队溯源、内核漏洞调试场景中，很多安全工程师习惯于优先查看/var/log、auditd、nginx 等应用层日志，却经常忽略内核层日志这条最底层的证据链。用户态日志很容易被攻击者篡改、清理，而内核日志由内核printk直接输出，记录硬件异常、驱动加载、内核模块插入、Oops、Panic、内存错误、函数调用轨迹等底层事件；

2026-10-28 10:54:05 234

原创什么是内核 UAF、OOB、Use-After-Free？内核漏洞和用户态漏洞的区别

在内核安全学习的初期，绝大多数人最先接触到的两类高频漏洞就是UAF（Use-After-Free，释放后使用）和OOB（Out-of-Bounds，越界访问）。很多初学者会把用户态堆溢出、UAF 的经验直接套到内核漏洞上，结果发现处处碰壁：同样是 UAF，用户态 UAF 利用起来相对直观，内核 UAF 却要面对 SLUB 分配器、KASLR、SMEP/SMAP、CFI 一大堆保护；

2026-10-28 10:47:33 273

原创内核保护机制详解：KASLR、KPTI、SMAP/SMEP、CFI、Stack Canary 原理

现代 Linux 内核之所以越来越难被攻破，不是因为没有了漏洞，而是因为内核引入了层层叠叠的保护机制。绝大多数内核漏洞利用链，本质就是 “逐层击破” 这些保护机制的过程：先泄露一个地址破坏 KASLR，再绕过 NX/SMEP 找到可执行路径，还要躲过 KPTI 的页表隔离、绕开 CFI 的控制流校验、避开 Stack Canary 的栈保护。任何一层保护缺失，都会让内核利用难度大幅下降；反之，全部开启时，即便存在越界写漏洞，攻击者也很难在短时间内稳定提权。很多安全学习者在读内核 POC 时，看到。

2026-10-28 10:45:34 302

原创内核内存基础：SLUB 分配器、slab 缓存，堆漏洞的底层成因

内核漏洞利用（Kernel Exploitation）是本地提权、容器逃逸、Rootkit 攻击的最高难度领域，而内核堆漏洞又是其中出现频率最高、利用链条最复杂的一类。很多安全学习者在看内核漏洞 POC 时，经常被kmallockfreeslabslubfreelist堆喷射这些术语绕晕，始终搞不清楚：内核到底怎么分配内存？为什么一个越界写或 UAF 就能提权？为什么攻击者要费尽心思控制 “堆布局”？要真正理解内核堆漏洞，必须先吃透内核的内存分配器。

2026-10-28 10:36:50 299

原创内核态与用户态边界：系统调用、ptrace、mmap，常见攻击面梳理

几乎所有现代操作系统安全的核心，都建立在一条最基本的分界线上 ——内核态（Kernel Mode / Ring 0）与用户态（User Mode / Ring 3）的隔离。用户态程序不能直接访问硬件、不能修改页表、不能访问其他进程的内存、不能读写内核内存；要实现任何特权操作，都必须通过受控的系统调用（syscall）陷入内核。这条边界既是操作系统稳定运行的根基，也是攻防对抗最激烈的战场。

2026-10-28 10:34:34 249

原创 WAF 旁路检测与串联部署区别：流量镜像场景下红队怎么绕过、蓝队如何补全检测

在 Web 安全架构中，WAF 的部署形态直接决定了它能 “看见什么、拦住什么”。串联部署（Inline）把 WAF 放在流量通路上，请求必须经过 WAF，命中规则直接阻断，是阻断式防护；旁路检测（Bypass/Mirror）则通过交换机流量镜像把流量复制一份给 WAF 分析引擎，WAF 不阻断、只告警，是检测式防护。两种形态在攻防对抗中的表现天差地别。很多团队选择旁路检测，是因为它对业务零影响、不增加延迟、不影响高并发，但同时也要接受一个现实：旁路 WAF只能看、不能挡。

2026-10-27 10:12:49 240

原创云 WAF 踩坑合集：阿里云 WAF、腾讯云 WAF、华为云 WAF 差异、限制与绕过场景

在 Web 安全建设中，云 WAF 因为开箱即用、免运维、按量计费，已经成为大多数上云企业的默认选择。阿里云 WAF、腾讯云 WAF、华为云 WAF 是国内市场份额最高的三家云 WAF，很多团队把它们当成 “一样的云 WAF” 直接接入，直到踩坑之后才发现：三家产品的接入方式、检测能力、回源机制、限制条款、自定义规则体系差异巨大，同一个防护策略在三家 WAF 上的效果、限制、坑点完全不同。更关键的是，云 WAF 是典型的 “黑盒产品”：规则引擎内部逻辑、归一化解码方式、评分阈值、默认动作都不透明。

2026-10-27 10:06:38 240

原创 CDN+WAF 架构攻防：源站 IP 泄露、回源绕过、Header 伪造、Cookie 校验绕过全梳理

在当前的 Web 安全架构中，CDN+WAF 已经是最主流的对外业务防护组合：用户流量先经过 CDN 边缘节点（缓存加速、隐藏源站），再进入 WAF（Web 攻击检测），最后回源到后端真实服务器。这套架构的初衷是双重的：CDN 把真实源站 IP 藏起来，攻击者只能打到 CDN 节点，打不到源站；WAF 负责把 SQL 注入、XSS、CC 这些攻击流量清洗掉，保证后端只收到干净请求。但红蓝对抗、护网行动、SRC 漏洞挖掘的大量案例反复证明：CDN+WAF 架构存在一条贯穿全链路的攻击线 ——

2026-10-27 09:59:47 334

原创 Nginx+OpenResty 自研轻量 WAF 开发：Lua 规则编写、流量采集、拦截逻辑落地

在 Web 安全架构里，商用云 WAF、ModSecurity+CRS 这类成熟方案，往往面临规则黑盒、定制受限、成本高、和业务耦合度低的问题。越来越多有自研能力的技术团队，开始基于 Nginx+OpenResty 自研轻量 WAF：利用 OpenResty 把 Lua 嵌入 Nginx 请求处理流水线的能力，自主编写检测规则、流量采集、拦截逻辑，把 WAF 做成和网关转发一体化的轻量组件，实现对南北向入口流量的完全可控防护，也是很多自建 API 网关、边缘节点、内网入口防护的首选技术路线。

2026-10-27 09:51:54 305

原创开源 WAF ModSecurity 深度实战：规则编写、调优、误报治理、高级规则绕过

ModSecurity 是 Web 安全领域历史最悠久、应用最广泛的开源 WAF 引擎，配合 OWASP Core Rule Set（CRS）构成了一套完整的 Web 应用防火墙方案，被大量企业用于自建 WAF、混合防护架构的底层。相比云 WAF 的黑盒规则，ModSecurity 最大的价值在于完全自主可控。

2026-10-27 09:47:48 342

原创 ModSecurity 异常请求检测：HTTP 请求头畸形、超大参数、非法字符拦截开发

绝大多数 Web 安全工程师接触 ModSecurity，优先把精力放在 SQL 注入、XSS、命令注入这类显性攻击特征规则上，也就是大家常说的 “攻击特征匹配”。但在红蓝对抗、漏洞挖掘、护网实战中，大量高危漏洞、解析层绕过、中间件漏洞利用，并不携带明显的注入关键词，而是依靠畸形 HTTP 请求头、超长参数、不可见非法字符、不符合 RFC 规范的请求报文触发。

2026-10-26 10:03:11 317

原创 ModSecurity 从 0 搭建：OWASP CoreRuleSet 部署、调优、误报处理完整流程

很多接触开源 WAF 的工程师，第一个踩坑就是把 ModSecurity 和 OWASP CRS 混为一谈：ModSecurity 只是 WAF 引擎，本身不带任何攻击检测规则；OWASP CRS（Core Rule Set）才是配套的官方规则库，也是目前全球使用最广泛的开源 Web 攻击规则集，覆盖 SQL 注入、XSS、命令注入、文件包含、路径遍历、恶意爬虫、HTTP 协议畸形等 OWASP Top10 攻击场景。

2026-10-26 09:55:51 172

原创 ModSecurity 规则调试：SecRule 语法、审计日志、SecDebugLog 排错实战

在开源 WAF 的技术栈里，ModSecurity 是绕不开的基石，绝大多数蓝队工程师上手 WAF，都是从 ModSecurity + OWASP CRS 这套组合开始。很多人可以直接部署一套现成 CRS 规则，开启引擎后就能拦截 SQL 注入、XSS，但一旦遇到误报、漏报、规则不生效、相同 Payload 在不同环境拦截结果不一致这类问题时，就会陷入瓶颈：不知道这条规则到底是在哪一个阶段匹配、变量取到的值是什么、转换函数（t）有没有生效、链路中哪一条规则链打断了预期逻辑。

2026-10-26 09:48:53 257

原创特殊协议攻击：HTTP2、WebSocket 流量下的 WAF 拦截盲区

绝大多数企业部署 WAF 时，关注的重点都放在 HTTP/1.1 的常规请求上：GET/POST 参数里的 SQL 注入、XSS、文件上传、路径遍历，这些是 OWASP CRS 规则库的主力覆盖对象，也是大家最熟悉、测试最多的部分。但 Web 流量早就不只是 HTTP/1.1 了。现代站点大量使用 HTTP/2（多路复用、二进制分帧）和 WebSocket（全双工长连接）来承载实时业务。HTTP/2 的二进制分帧、多路复用、Header 压缩、伪头部。

2026-10-26 09:43:23 287

原创针对 WAF 的慢速攻击、HTTP 洪水绕过思路与检测难点

在 Web 攻击对抗里，大家的目光往往集中在 SQL 注入、XSS、文件上传这些应用层载荷攻击上，而针对 WAF 本身、流量型拒绝服务攻击这一整条线，常被严重低估。攻击者根本不跟你玩规则绕过，而是直接对 WAF 本身发起拒绝服务，让 WAF 资源耗尽、误杀正常流量、甚至彻底打瘫。HTTP 洪水（HTTP Flood）：用大量看似合法的 HTTP 请求、HTTP/2 并发、低速率高频请求，直接打满 WAF 的连接数、线程、CPU，让 WAF 无法在正常延迟内处理合法流量；

2026-10-26 09:37:19 319

原创 ModSecurity 日志深度解析：审计日志字段含义、攻击行为还原、告警过滤脚本

ModSecurity 很多使用者都会陷入一个误区：把 WAF 告警日志当成 “报警弹窗”，告警来了就看一眼规则 ID，误报就直接加删掉规则，命中高危就直接拉黑 IP。完整事务上下文、载荷原始内容、规则匹配链路、请求与响应的全链路细节。ModSecurity 的日志体系分为两类：一类是 Nginx/Apache 的 error.log 短告警日志，只记录简要命中信息；另一类是完整的审计日志 audit log，也就是我们本文重点拆解的对象。

2026-10-24 10:03:30 257

原创 Suricata IDS 规则编写实战：HTTP 流量检测、威胁狩猎、和 WAF 互补检测方案

Suricata 这个名字，很多搞过流量侧安全的人不陌生，但大多数人对它的认知停在 “开源的 IDS/IPS，能跑 snort 规则” 这一层。可真要拿它去承担真实检测、威胁狩猎、甚至和 WAF 打配合时，才发现水面下全是细节：规则引擎的匹配模型、HTTP 解析层的行为、协议字段的取法、流状态与 IP 碎片处理、以及它和 L7 应用防火墙之间 “各管一段又互相补位” 的关系。

2026-10-24 09:56:43 272

原创 ModSecurity 正则陷阱：WAF 正则编写漏洞、正则回溯 DoS、隐形绕过点成因分析

正则表达式，是 WAF 世界里最容易被高估的武器，也是最容易被低估的雷区。绝大多数人理解里的 WAF 规则，就是 “一行正则匹配攻击 payload”。于是，规则审计、绕过测试、性能调优，都围绕 “这行正则写得对不对” 展开。但真正跑过生产、压过流量、被红队和测试者反复摩擦过的人都知道：ModSecurity 的正则体系里，藏着三种完全不同性质的坑 ——写得不对（逻辑漏洞）、跑得太慢（回溯 DoS）、匹配不到（隐形绕过）。这三者看似都是 “正则的问题”，成因却分属语法层、引擎层和语义层，修法完全不同。

2026-10-24 09:46:51 321

原创 Nginx+OpenResty 自研轻量 WAF 开发：Lua 规则编写、流量采集、拦截逻辑落地

很多中小团队一直有一个纠结：商业 WAF 太贵、云 WAF 有规则黑盒、开源 ModSecurity 配置复杂又依赖 Apache/Nginx 特定编译。业务量没到必须上大厂防护的级别，但又不能裸奔在公网。这时候，基于 Nginx + OpenResty 自研一套轻量 WAF就成了性价比最高的方案。它不神秘，核心就是：用 OpenResty 在 Nginx 请求处理的各个阶段插入 Lua 逻辑，对请求做检查，命中规则就拦截、记录、限速。相比 ModSecurity，它的优势非常明显 ——

2026-10-24 09:40:12 357

原创 ModSecurity 深度实战：CRS 规则集详解、Paranoia 等级调整、规则编写、误报治理

ModSecurity 是 Web 安全圈最知名的开源 Web 应用防火墙引擎，配合 OWASP 核心规则集（CRS），能对 SQL 注入、XSS、文件上传、路径遍历、命令注入、恶意机器人等攻击流量做实时拦截。它本身不是威胁情报库，而是一套可编程、可定制、可插拔的请求过滤引擎，这也意味着：规则怎么写、防护强度调多高、误报怎么治，直接决定了它的实战效果。很多团队把 ModSecurity + CRS 装上，默认全开，结果要么拦不住真实攻击，要么把正常业务大面积误伤，最后干脆关掉，形同虚设。

2026-10-24 09:34:18 124

原创逆向新手最容易踩的坑：调试环境、符号、反调试、动态分析的常见翻车场景

很多刚入门逆向的同学，在网上看完教程，兴冲冲装好 IDA、x64dbg，拿到一个 CrackMe 或者恶意样本，以为马上就能跟着一步步调试解密、还原算法。但现实往往是接连翻车：载入程序直接闪退、反编译出来全是乱码伪代码、断点一断程序直接退出、明明照着教程 NOP 掉 IsDebuggerPresent 还是被检测、动态跑起来什么行为都没有。逆向不是 “打开调试器、下断点、单步走” 这么简单，环境、符号、加载基址、断点类型、反调试、时序、虚拟机特征，任何一个细节出错，都会让整个分析直接失效。

2026-10-23 10:40:17 280

原创恶意家族同源分析：同一木马家族不同变种对比，识别代码特征演变

做恶意样本分析久了，大家都会遇到一个很头疼的现象：同一个家族的木马，拿到的两份样本哈希完全不一样，字符串、C2 域名、UA 全换了，甚至一份是 EXE、一份是 DLL，一份加了 VMProtect，一份只是简单 UPX，杀毒引擎给出的标签五花八门，有的标记为新样本、有的标记为完全不同的家族。但深入逆向之后，你会发现底层核心逻辑高度一致，它们出自同一套源码、同一个构建器，是同一个恶意家族的不同变种。这就是同源分析）要解决的问题。很多新手分析师对同源分析存在误解：认为同源就是哈希相同、字符串相同、C2 相同。

2026-10-23 10:31:58 242

空空如也

空空如也