- 博客(1179)
- 收藏
- 关注
RSS订阅原创 AI安全审计报告怎么判？小白程序员必备的漏洞确认与修复流程（收藏版）
强调在AI报告面前保持理性，按流程确认漏洞，避免误判和重复工作，适合需要复核证据的开发团队学习使用。2026 年 10 月 25 日早间，GitHub Trending 的 Today 页面中，cloudflare/security-audit-skill 排在第一位：累计 44,505 Stars，当日新增 2,271 Stars，Forks 为 2,767。人和人之间的差距不在于智商，而在于如何利用业余时间，只要你想学习，什么时候开始都不晚，不要担心这担心那，你只需努力，剩下的交给时间！
2026-10-31 10:38:39
90
原创 收藏 _ 网络安全入门必看：AI时代攻防新格局与万亿赛道价值重塑
文章最后提出，行业需重构逻辑，务实落地，推动AI安全国家标准和规范建立，培育高附加值环节，企业需更新思维，从业者需具备复合能力，以应对AI时代的挑战。未来的方向很明确：依托本地算力、AI、制造场景，精准培育AI安全、数据安全、安全运营、模型治理等高附加值环节，用实战场景培育真产业、真人才。未来真正稀缺的，是懂AI、懂模型、懂攻防、懂业务、懂治理的复合型人才。模型越狱、提示注入、数据泄露、智能体越权操作层出不穷，但行业没有统一标准、没有成熟工具、没有闭环流程，大量风险只能靠人工事后补救，非常被动。
2026-10-31 10:34:44
130
原创 收藏！小白程序员必学：10个AI安全工程师面试题及实战技巧，助你轻松拿下Offer！
常见误区最常见的错误是给出提示注入的教科书式定义，然后建议使用更强大的系统提示、输入过滤或 AI 防护措施作为解决方案。这些措施可能有用，但任何一项都不应被视为万无一失的防御措施。一个更隐蔽的错误是假设只有当用户故意向聊天机器人输入恶意指令时才会发生提示注入。实际上，攻击可能源自应用程序检索或处理的内容。参考回答提示注入是指攻击者控制的内容试图将 AI 应用程序重定向到其预期的指令或授权行为之外。例如，想象一下，一个AI 助手可以总结客户支持工单。攻击者设法在支持工单中插入了以下指令：
2026-10-31 10:31:36
182
原创 网安小白必看！轻松入门网络安全，收藏这份黄埔军校式学习路径
人和人之间的差距不在于智商，而在于如何利用业余时间，只要你想学习，什么时候开始都不晚，不要担心这担心那，你只需努力，剩下的交给时间！网安其实不难，难的是坚持和相信自己，我的经验是既然已经选定网安你就要相信它，相信它能成为你日后进阶的高效渠道，这样自己才会更有信念去学习，才能在碰到困难的时候坚持下去。网络安全（黑客）学习路线，形成网络安全领域所有的知识点汇总，它的用处就在于，你可以按照上面的知识点去找对应的学习资源，保证自己学得较为全面。最后，我们所有的作为都是为就业服务的，所以。⑨历年CTF夺旗赛题解析。
2026-10-31 10:28:03
135
原创 小白程序员必备：CTF+注册报名保姆级教程（建议收藏，新手轻松入门！）
人和人之间的差距不在于智商，而在于如何利用业余时间，只要你想学习，什么时候开始都不晚，不要担心这担心那，你只需努力，剩下的交给时间！截图里的邮箱、手机号为演示用占位信息，注册时请换成自己的。网安其实不难，难的是坚持和相信自己，我的经验是既然已经选定网安你就要相信它，相信它能成为你日后进阶的高效渠道，这样自己才会更有信念去学习，才能在碰到困难的时候坚持下去。网络安全（黑客）学习路线，形成网络安全领域所有的知识点汇总，它的用处就在于，你可以按照上面的知识点去找对应的学习资源，保证自己学得较为全面。
2026-10-31 10:25:12
112
原创 2027计算机专业选报指南：告别_全民赛道_，抓住_头等舱_机会！[特殊字符]收藏
网络安全是当今信息时代中非常重要的一环。无论是找工作还是感兴趣（黑客），都是未来职业选择中上上之选，为了保护自己的网络安全，学习网络安全知识是必不可少的。①网络安全学习路线②20份渗透测试电子书③安全攻防357页笔记④50份安全攻防面试指南⑤安全红队渗透工具包⑥网络安全必备书籍⑦100个漏洞实战案例⑧安全大厂内部视频资源⑨历年CTF夺旗赛题解析。
2026-10-30 10:36:54
45
原创 AI赋能网络安全：小白也能学会的CTF解题秘籍（收藏版）
第十三届山东省网络安全技能大赛（瀚高数据库杯）于10月25日在枣庄学院举办。每台电脑使用USB锁封锁多余的接口每个已使用的USB接口使用一次性封条贴住厕所由组委会工作人员严格控制出入每个桌子有一名志愿者负责监考为了防止黑幕，比赛前我开启了录屏+录像。虽然今年解题很快，但是没有和去年（）一样的志愿者全程盯着我的电脑、搜查物品和汇报我的解题进度。本次比赛中，我使用AI辅助解题，最终解题数：17/20（包含7个1血、1个2血、2个3血）。
2026-10-30 10:33:21
2
原创 CTF新手必看：收藏这份从零开始的学习路线，轻松拿Flag！
网络安全是当今信息时代中非常重要的一环。无论是找工作还是感兴趣（黑客），都是未来职业选择中上上之选，为了保护自己的网络安全，学习网络安全知识是必不可少的。①网络安全学习路线②20份渗透测试电子书③安全攻防357页笔记④50份安全攻防面试指南⑤安全红队渗透工具包⑥网络安全必备书籍⑦100个漏洞实战案例⑧安全大厂内部视频资源⑨历年CTF夺旗赛题解析。
2026-10-30 10:29:50
2
原创 picoCTF入门指南：小白程序员必备网络安全学习收藏
picoCTF 是本系列训练维度最广的一站。前面几章教你如何攻破系统，这一章教你如何_理解系统_——理解代码、算法、程序，以及数据背后发生过的事。这种理解能力，才是安全工作的底层能力。工具会变、漏洞会变、平台会变，但「看清事物本质」的能力永远不会过时。十章内容至此完成。
2026-10-30 10:25:43
1
原创 从「说错话」到「做错事」：2026年AI安全重心迁移，小白程序员必备收藏！
大模型早期阶段，大家比拼模型能力；进入 Agent 落地阶段，比拼的其实是边界控制能力。模型会越狱，智能体会越权，攻击门槛持续降低，而监管、标准和保险机制正在同步补齐。安全团队的重心必须从「防提示词攻击」，转向管住权限、管住工具调用、管住数据进出、理清责任链路。网络安全是当今信息时代中非常重要的一环。无论是找工作还是感兴趣（黑客），都是未来职业选择中上上之选，为了保护自己的网络安全，学习网络安全知识是必不可少的。①网络安全学习路线②20份渗透测试电子书③安全攻防357页笔记。
2026-10-30 10:21:58
14
原创 恶意样本常见自定义加密：XOR、简单置换、RC4 变种识别与解密脚本编写
恶意样本分析，尤其是静态分析，最常遇到的一个场景就是：样本里塞满了看似随机、实则经过处理的字节流 —— 配置信息、C2 地址、字符串、加密算法、注入的载荷，全都不是明文。攻击者为了绕开杀软的特征检测、隐藏真实意图、防止被轻易提取情报，几乎都会给恶意代码加一层 “自定义加密”。而这些自定义加密，绝大多数并不高明。真正的恶意软件作者很少直接调用标准、成熟且难以绕过的密码算法，反而偏爱各种手搓的简单混淆：XOR、加减固定值、字节置换、单字节映射表，或者把标准算法改得面目全非的 “变种”。
2026-10-29 14:13:15
106
原创 HTTPS TLS 版本与加密套件安全：弱套件识别、TLS1.0/1.1 风险加固
打开浏览器访问一个网站，地址栏出现一把小锁，很多人就默认 “这个网站很安全”。但在网络安全从业者眼里，这把锁到底牢不牢，取决于两件事：网站跑在哪个 TLS 版本上，以及服务器启用了哪些加密套件。TLS 是 HTTPS 的底层安全协议，它负责在浏览器和服务器之间建立加密通道、验证双方身份、保证传输内容不被窃听和篡改。可现实是，大量企业网站、接口、内网系统还在使用早已被淘汰的 TLS 1.0、TLS 1.1 版本，或者依然启用了 3DES、RC4、CBC、弱 Diffie-Hellman 等一堆弱加密套件。
2026-10-29 14:06:28
119
原创 密钥管理避坑：开发密钥存放、密钥轮换、密钥泄露后的应急处置
几乎每一次数据泄露事故，最终都能在日志里找到一句相似的忏悔：密钥竟然硬编码在代码里、密钥被提交进了 Git 仓库、密钥三年没换过、密钥泄露了不知道找谁、泄露之后不知道第一步该干什么。密钥，是加密体系唯一的 “门锁”。算法可以公开，模型可以公开，一旦密钥泄露，一切加密形同虚设。可现实是，绝大多数开发团队把大量精力花在选什么算法、用什么加密模式上，却对 “密钥本身怎么管” 极其草率。密钥写在代码注释里、写在配置文件里、写在 Wiki 里、写在钉钉群里、写在测试环境里，甚至直接提交到公开仓库。
2026-10-29 13:58:33
239
原创 密码算法淘汰清单：MD5、SHA1、3DES 为什么不安全，业务替换方案
在企业安全建设、等保测评、渗透测试、代码安全审计工作中，MD5、SHA1、3DES 几乎是出现频率最高的高危弱算法。几乎每一次代码扫描、每一次等保核查，都会把这三个算法标记为必须整改项。NIST、IETF、PCI-DSS、等保 2.0 均已将 MD5、SHA1、3DES 列入淘汰清单：MD5 早在 2011 年被正式禁止用于签名场景；SHA1 在 2017 年被公开碰撞攻破，2023 年彻底停止所有业务使用；3DES 受 Sweet32 攻击影响，2023 年之后不再允许在新系统中部署。
2026-10-29 13:42:41
142
原创 国密算法落地实战：SM2/SM3/SM4 和 AES/RSA 对比、业务接入踩坑
随着商用密码法规落地，政务、国企、金融、医疗等行业系统都在推进国密改造，很多开发、安全、运维同学第一次接触 SM2/SM3/SM4，最容易遇到几个典型问题：分不清国密和 AES/RSA/SHA256 的定位差异、照搬国际密码的开发范式直接上线引发验签失败、加解密乱码、兼容性报错、性能抖动、密码测评无法通过。
2026-10-29 11:56:10
203
原创 内核应急处置：服务器出现 Oops、未知内核钩子，排查取证流程
护网、日常运维中，最考验蓝队功底的场景不是攻击告警本身，而是服务器已经出现内核级异常时的应急响应。比如业务服务器突然内核 Oops 崩溃、panic 重启、dmesg 里出现诡异的内核栈、lsmod 发现模块链表异常、syscall 表校验失败、内存取证发现陌生函数指针…… 这类情况大概率说明机器上已经存在内核 Rootkit 或者恶意内核模块，属于高对抗的入侵场景。
2026-10-28 14:01:41
106
原创 VFS 钩子劫持实战：文件隐藏、目录篡改的识别思路
在 Linux 内核 Rootkit 攻防中，文件系统是攻击者最常动手、也是最容易见效的攻击面。绝大多数文件隐藏、目录篡改、文件操作劫持，本质都是劫持 VFS（Virtual File System，虚拟文件系统）层的钩子。
2026-10-28 13:56:42
168
原创 内核持久化手段汇总：ko 模块、workqueue、定时器、内核回调后门留存方式
在红队拿下 Linux 服务器 root 权限之后，最关键的一步往往不是立即横向，而是解决 “怎么让后门活过重启、活过巡检、活过应急排查”。很多初学者只盯着 LKM 模块这一个持久化入口，以为把 ko 写进 /etc/modules-load.d 就够了。实际上，内核持久化手段非常丰富，除了传统模块自动加载，还有 workqueue 内核工作队列、内核定时器 timer_list、内核回调（回调函数、通知链、kprobe/ftrace、eBPF）等多种驻留形态。
2026-10-28 13:51:34
128
原创 eBPF Rootkit 攻防：BPF 程序隐蔽驻留、行为劫持、现有检测方案短板
在内网护网、红队高对抗场景中，传统 LKM 模块 Rootkit 因为会留下 ko 文件、污染内核 taint 标记、暴露在模块链表中，越来越难以在加固主机上落地；依托 ftrace、kprobe 的钩子型 Rootkit 也依赖 debugfs、tracefs 留下探针记录。
2026-10-28 13:48:29
251
原创 内核钩子检测实战：syscall 表校验、ftrace 钩子、kprobe 劫持自动化检测脚本
在内网护网、应急响应场景中，内核 Rootkit 最核心的攻击手段就是各类内核钩子。早期红队直接篡改 syscall_table 系统调用表劫持系统调用；随着内核不断加固，直接改写 syscall 表的方案越来越容易被捕获，ftrace function tracer、kprobe/kretprobe 这类依托内核原生追踪框架的无 inline-hook 劫持方案，已经成为当前 Rootkit 主流。
2026-10-28 13:42:46
308
原创 基于 Burp 插件的 WAF Fuzz 实战：批量测试拦截规则、自动识别 WAF 类型
Burp Suite 是 Web 安全测试的事实标准工具，几乎每个渗透测试人员、红队手里都有。而 WAF Fuzz（绕过 WAF 的自动化模糊测试）恰恰是 Burp 最擅长的场景之一：Burp 的 Intruder 模块本身就是强大的批量 payload 投递工具，配合可编程的插件（Extender API），能把 “生成 WAF 绕过 payload、批量投递、比对响应、自动识别 WAF 类型” 全流程自动化。
2026-10-27 14:12:26
111
原创 waf-bypass 扫描工具原理拆解：自动化 fuzz 绕过 WAF payload 的思路与局限
护网、红蓝对抗里，红队面对一套 WAF，第一步往往不是手工构造绕过 payload，而是直接上 waf-bypass 类自动化工具。这类工具的价值在于：把安全人员手工尝试的各种绕过技巧（编码、大小写、注释、参数污染、分块、畸形 HTTP）固化成自动化 fuzz 流程，批量生成变形 payload、投递到目标 WAF，通过比对响应来判断哪些变形能绕过检测。工具极大提升了绕 WAF 的效率，但也存在明显局限：生成逻辑可预测、规则库固定、对语义级 / 行为级 WAF 失效、误报率高。
2026-10-27 14:07:57
254
原创 WAF 失效场景汇总：反向代理多层架构、内网直连、DNS 轮询绕过 WAF 检测
很多企业把 WAF 部署在入口之后，就默认所有流量都被防护了，这个假设本身存在巨大风险。真实生产架构里，WAF 并不是唯一流量入口：多层反向代理导致 WAF 看不到完整链路、内网直连让业务绕过 WAF、DNS 轮询让部分请求直接打到源站，任何一个架构缺陷都会让 WAF 在特定流量上完全失效。护网行动、红蓝对抗里，红队最擅长的就是绕开 WAF 去找那些 “不在 WAF 流量路径上” 的入口，源站 IP、内网接口、直连 IP 往往成为突破口。
2026-10-27 13:56:51
346
原创 WAF 白名单管理大坑：IP 白名单、UA 白名单、接口白名单带来的安全风险
WAF 白名单是安全运维里最常用、也最容易被轻视的功能。绝大多数运维、蓝队工程师遇到 WAF 误拦截时，第一反应就是加白名单：办公网 IP 加白、爬虫 UA 加白、业务接口直接整体放行，快速解决告警、恢复业务访问。但白名单本质是安全豁免机制，一条白名单生效之后，命中的流量会跳过 SQL 注入、XSS、路径遍历、命令注入、CC 限流等大量安全检测，相当于在 WAF 防护墙上面开一道后门。护网行动、红蓝对抗里大量 WAF 被绕过、业务被拿下的案例，根源不是 WAF 规则弱，而是失控的白名单。
2026-10-27 13:49:07
312
原创 CC 攻击防护实战：令牌桶、漏桶、会话限速、验证码联动、人机识别优劣对比
CC（Challenge Collapsar）攻击是应用层最常见的洪水攻击，区别于底层 DDoS，CC 攻击报文本身是合法 HTTP 请求，攻击者利用肉鸡、代理池、住宅代理批量访问高消耗接口，耗尽数据库连接、应用线程、内存资源，最终造成业务卡顿、504 超时。很多蓝队、运维在处理 CC 时只会单一使用 IP 限速，面对代理池秒切 IP 的分布式 CC 时防护直接失效。
2026-10-27 13:42:44
264
原创 WAF 不能替代代码安全：盘点那些 WAF 拦不住的业务逻辑漏洞（越权、验证码绕过）
很多企业和团队在安全建设上存在一个致命误区：只要在前面部署了一套 WAF，就觉得 Web 应用安全无忧了。WAF 确实能拦截大量 SQL 注入、XSS、命令注入、文件上传、CC 攻击这类特征明显的 Web 攻击，这部分能力成熟、落地简单，是防御体系的第一道防线。它只能识别流量层、载荷层的攻击特征，无法理解业务层的规则。而 Web 安全攻防里真正致命的漏洞，往往是业务逻辑漏洞—— 越权访问、验证码绕过、支付逻辑缺陷、优惠券套利、账号枚举、密码重置逻辑漏洞、批量注册薅羊毛、多阶段流程跳过。
2026-10-26 14:08:20
163
原创 微服务架构下 WAF 部署位置：边缘 WAF、网关层 WAF、Sidecar 流量防护对比
在微服务架构普及的今天，很多安全团队沿用单体时代的思路，只在公网入口部署一套边缘 WAF，认为外部流量被过滤之后内部就是安全的。但在实际的微服务体系里，外部请求经过边缘 WAF 之后，会进入 API 网关，再被路由到几十上百个微服务，服务之间还有大量内部调用。攻击者一旦突破边缘防线、拿下某一个微服务，东西向流量内部的注入、越权、SSRF、反序列化攻击，边缘 WAF 完全看不见，之前我们在微服务东西向流量的文章里详细讨论过这个盲区。WAF 在微服务架构里的部署位置，本质是一个安全控制点的选择问题。
2026-10-26 14:00:00
174
原创 API 流量安全：OpenAPI 接口在 WAF 中怎么做参数校验、防批量遍历
传统 Web WAF 的防护思路以黑名单正则为主，识别 SQL 注入、XSS、命令注入这类带有恶意特征的 Payload。这套方案在普通网页场景足够成熟，但放到 RESTful API、OpenAPI 规范管理的接口体系里，短板会被无限放大。API 攻击很多时候并不携带明显恶意字符：攻击者只做 ID 枚举、批量遍历业务编号、越权查询、参数篡改，请求载荷本身完全合法，没有任何注入特征，通用 CRS 规则很难触发告警，大量业务逻辑漏洞会直接穿透 WAF 进入后端服务。
2026-10-26 13:50:39
313
原创 HTTPS 流量下 WAF 解密原理：SSL 卸载、中间人解密的安全边界与风险
现在绝大多数 Web 业务都已经全面切换 HTTPS，TLS 加密把 HTTP 请求行、请求头、请求参数、Body 载荷全部封装成密文传输。如果 WAF 不做解密，只能看到 TCP 层、TLS 握手层的元数据，无法拿到 URL、参数、Cookie、POST 载荷，SQL 注入、XSS、文件上传、命令注入这些攻击载荷全部藏在密文内部，WAF 的七层规则引擎直接失明，只能做非常有限的元数据检测，大量攻击可以静默绕过。SSL 卸载（SSL Termination / TLS 卸载）和。
2026-10-26 13:42:59
281
原创 基于流量特征的异常检测：不是靠正则，而是统计学方法识别 0day 探测流量
绝大多数安全工程师接触 WAF、IDS 的第一认知，都是正则匹配、特征签名。ModSecurity CRS 规则集、云 WAF 内置攻击规则、Snort 规则，本质都是提前写好正则表达式，匹配 SQL 注入、XSS、路径遍历这类已知攻击 Payload。只能识别已经被写进规则里的攻击样本，对全新的 0day 漏洞探测、未知攻击手法完全失明。
2026-10-26 11:51:35
306
原创 业务接口限流防护：高频查询、短信爆破、账号撞库的流量层防护策略
在 API 安全体系中，限流（Rate Limiting）是最基础、最高频的防护手段，也是 OWASP API Security Top10 中 API4【无限制资源消耗】的核心缓解方案。很多安全与开发团队对限流的理解停留在 “单 IP 一分钟多少次请求” 的简单配置，上线之后经常遇到各类绕过与失效问题：代理池轮换 IP 撞库、短信接口被分布式脚本刷量、高频查询接口被爬虫拖垮数据库、正常用户被误拦截、业务峰值直接触发限流雪崩。
2026-10-24 14:39:42
247
原创 移动端 APP 接口 WAF 防护：签名校验、Body 加密场景下 WAF 检测困境和补充方案
请求签名校验 + 整个 HTTP Body 对称加密，部分项目还叠加国密 SM4 加密、动态密钥、SSL Pinning 证书锁定。这套方案的初衷是防止抓包篡改、爬虫、中间人劫持，但是在安全运营侧，它直接给传统 WAF 制造了巨大的检测盲区。很多安全团队会遇到一个共性问题：APP 接口开启 Body 加密之后，WAF 看到的全部是 Base64 编码后的密文字符串，SQL 注入、NoSQL 注入、XSS、命令执行、越权载荷全部藏在密文内部，WAF 正则、语义分析、DPI 深度检测全部失效；
2026-10-24 14:29:38
194
原创 API 网关 + WAF 协同防护：OpenAPI、GraphQL 接口攻击检测、绕过与加固方案
在微服务、开放平台、前后端分离的架构普及之后，API 已经成为绝大多数业务的流量入口。传统面向网页表单、HTML 提交设计的 WAF，在面对 JSON 结构化请求、OpenAPI 规范接口、GraphQL 灵活查询时，经常出现两种极端问题：要么规则误报泛滥，正常业务请求被拦截；要么攻击载荷被编码、嵌套、分片封装，直接穿透 WAF 检测，形成安全盲区。很多团队单独部署 WAF，或者单独使用 API 网关做鉴权限流，二者割裂，防护链条断裂，攻击者利用两者之间的信息差完成绕过。
2026-10-24 14:13:48
196
原创 WAF 日志自动化分析：ELK/SIEM 对接，构建攻击链告警、溯源检索规则
护网值守、常态化安全运营中，很多安全团队面临着同一个痛点：WAF 每天产生数万、数十万条防护日志，注入、XSS、扫描、爬虫、CC 限流告警混杂在一起，安全人员无法逐条人工研判。攻击告警被海量噪音淹没，真实的高危攻击、批量探测、账户爆破迟迟无法定位，等到发现问题时，攻击者已经完成了横向移动、数据窃取。溯源的时候，日志分散在多个 WAF 节点、多个厂商控制台，检索效率极低，证据链难以完整串联。WAF 日志的价值，只有在自动化分析体系中才能真正释放。
2026-10-24 14:04:04
281
原创 HTTPS 解密对 WAF 的意义：SSL 卸载、中间人解密，不解密场景下检测短板
在 Web 安全防护和蓝队应急工作中，越来越多的团队遇到这样一个让人困惑的问题：WAF 规则配置完善、威胁情报实时更新、告警策略全部生效，但是针对 HTTPS 业务的攻击却始终检测不到。SQL 注入、XSS、命令执行、文件上传的恶意载荷，明明在明文 HTTP 场景下可以稳定拦截，切换到 HTTPS 之后，WAF 的七层检测能力仿佛整体消失，告警数量急剧下降，漏洞被利用却毫无察觉。这个问题的根源，往往不是 WAF 规则失效，而是HTTPS 流量是密文，WAF 无法看到 HTTP 明文载荷。
2026-10-24 13:57:21
315
原创 恶意样本分析环境搭建指南：隔离沙箱、流量捕获、防止样本逃逸
恶意样本动态分析，是逆向工程师、威胁情报分析师、蓝队人员的核心工作之一。很多新手拿到木马、勒索病毒、远控样本之后，直接在日常办公电脑的虚拟机里跑动态分析，网络随手选 NAT 或者桥接模式，以为虚拟机天然隔离、不会出事。但现实里，虚拟机逃逸、样本横向渗透、C2 主动外联、数据泄露、主机被攻陷的案例层出不穷。虚拟机 ≠ 安全沙箱。虚拟机只是虚拟化容器，隔离是否安全，取决于虚拟化平台配置、网络拓扑、快照机制、防护策略、监控手段的整套体系。
2026-10-23 15:19:00
218
原创 Yara 规则编写实战：针对木马家族编写检测规则、规则误报优化方案
Yara 是恶意样本分析、威胁狩猎领域最经典的特征匹配引擎，由 VirusTotal 的开发者 Victor Alvarez 开发，它允许分析师使用自定义字符串、十六进制字节、正则、文件结构条件，描述一类恶意样本的特征，用来识别木马、勒索病毒、宏文档、Shellcode、恶意 APK 等各类恶意文件。很多安全团队、SRC 厂商、蓝队分析师都会使用 Yara 做样本批量归类、邮件附件预检测、终端狩猎、沙箱自动标记。但绝大多数新手写 Yara 都会踩两个极端：要么规则写得太宽泛，随便拿一个。
2026-10-23 14:58:41
281
原创 Office 宏恶意文档分析：VBA 宏解密、载荷提取、恶意行为溯源
宏文档钓鱼是持续十几年依然活跃的攻击入口，也是蓝队、威胁情报分析师高频处理的恶意样本类型。攻击者使用带宏的.docm.xlsm.doc.xls作为邮件附件，伪装成发票、工资单、合同、对账表格、通知文件，诱导用户启用宏；一旦点击启用内容，VBA 代码自动执行，启动 cmd、powershell、mshta 等系统程序，下载后续恶意载荷、植入远控木马、窃取主机信息，很多攻击链还会做成无文件落地，全程内存执行，不写入磁盘 exe，传统杀毒容易漏报。
2026-10-23 14:46:40
153
原创 安卓恶意 APK 分析实战：jadx+Frida，追踪隐私窃取与 C2 通信链路
安卓恶意样本，尤其是隐私窃取类木马、远控 RAT，一直是移动安全威胁里最常见的一类。这类恶意 APK 往往伪装成工具、壁纸、扫码、贷款类 APP，诱导用户安装；申请大量高危权限，偷偷读取短信、通讯录、通话记录、位置信息，打包之后上传到 C2 服务器，部分还支持接收 C2 下发指令、远程执行操作。
2026-10-23 14:36:40
279
原创 Golang 恶意样本逆向难点：Go 木马静态分析、字符串恢复、定位恶意逻辑
近几年，Go 语言恶意样本（RAT、信息窃取器、僵尸网络、C2 后门、Loader）在威胁情报中的占比持续走高。静态单文件编译、跨平台、自带 runtime、goroutine 并发模型、网络库开箱即用、编译参数一键剥离调试符号，非常适合制作落地简单、部署方便的恶意载荷。但对于逆向分析师来说，Go 样本是典型的 “看着简单，上手踩坑”。二进制体积巨大，动辄几 MB，90% 代码都是 Go runtime、标准库，恶意业务逻辑淹没在海量无关函数里；常规strings。
2026-10-23 14:29:28
303
空空如也
空空如也
TA创建的收藏夹 TA关注的收藏夹
TA关注的人