Javachichi的博客

时间过得真快，转眼间现在是2017年最后一个星期，而今天也是圣诞节，过几天也是元旦了。每到年底，大家都习惯总结和分享，我也不例外。但是经历，我之前已经发过了，那么我今天就分享吧！把我接触的一些资源分享给大家，算是送给大家的双旦礼物吧！希望大家能够从中获取自己所需的资源。从我接触前端的开始，到发稿时间截止的这段时间我看过很多的博客，开源项目也了解过一些，质量有参差不齐（甚至还出现过广告文，鸡汤文），但下面的推荐的博客，文章，项目或者其它资源都是我接触过的。

如果说程序员的世界存在"真香定律"，Cursor的横空出世就是最生动的注脚。最近在GitHub Trending和开发者论坛上，这个神秘工具持续霸榜，引发了一场现象级讨论——资深架构师惊叹"它重构了我的开发流程"，全栈工程师直呼"Debug效率提升300%"，就连硅谷的Tech Lead都在Twitter上发文：“现在招人标准要加上’精通Cursor’这一条了”。官方文档GitHub Copilot 和 Tabnine 是最通用的选择，支持多种编程语言。

本文以渗透的视角，总结几种个人常用的内网穿透，内网代理工具，介绍其简单原理和使用方法。nps是一款轻量级、高性能、功能强大的内网穿透代理服务器。目前支持tcp、udp流量转发，可支持任何tcp、udp上层协议（访问内网网站、本地支付接口调试、ssh访问、远程桌面，内网dns解析等等……），此外还支持内网http代理、内网socks5代理、p2p等，并带有功能强大的web管理端。一台有公网IP的服务器（VPS）运行服务端（NPS）一个或多个运行在内网的服务器或者PC运行客户端（NPC）

OneForAll是一款功能强大的子域收集工具。

人们通常把某项互联网业务的发展分为四个时期：初创期、发展期、竞争期和成熟期。在初创期通常求快，系统能买就买，能用开源就用开源，能用的就是好的，先要活下来；到了发展期开始堆功能和优化，要求能快速实现需求，并有余力对一些系统的问题进行优化，当优化到顶的时候就需要从架构层面来拆分优化了；进入竞争期后，经过发展期的快速迭代，可能会存在很多重复造轮子和混乱的交互，此时就需要通过平台化、服务化来解决一些公共的问题；最后到达成熟期后，主要在于补齐短板，优化弱项，保障系统的稳定。

（大家总是到处使用一样的密码），所以明文密码泄露之后，再使用撞库攻击，还能得到其他网站的用户密码，对用户造成更严重的危害。在做数据的存储方案时，我们需要假设储存的数据已经被泄露出去了，如用户密码这种隐私数据的存储就是一个重点。在这种储存方式下，一次运算出的彩虹表可以被使用无数次，均摊到每个网站的每个用户的成本是极低的，所以至今仍然有很多服务器在孜孜不倦地运算着md5哈希的彩虹表。（大家喜欢使用简单好记的密码），所以试着计算出一个常用范围内的所有字母组合的哈希的彩虹表，可以破解绝大多数人的密码。

我们日常开发中，很多小伙伴容易忽视安全漏洞问题，认为只要正常实现业务逻辑就可以了。其实，安全性才是最重要的。本文将跟大家一起学习常见的安全漏洞问题，希望对大家有帮助哈。捡田螺的小男孩SQL注入是一种代码注入技术，一般被应用于攻击web应用程序。它通过在 web 应用接口传入一些特殊参数字符，来欺骗应用服务器，执行恶意的SQL命令，以达到非法获取系统信息的目的。它目前是黑客对数据库进行攻击的最常用手段之一。序列化：把对象转换为字节序列的过程反序列：把字节序列恢复为Java对象的过程。

本人在挖掘漏洞的过程中，遇到的逻辑漏洞还是比较多的，其中就有不少短信轰炸漏洞。今天就以我挖掘到的一些短信轰炸漏洞为例子，主要是分享一些思路，还请大佬们多多包涵。由于实际到真实厂商，对一些敏感信息进行了打码，大家伙看看思路即可。短信轰炸漏洞，顾名思义就是可以无限制地发送短信，原理由于短信业务逻辑设计缺陷，没对短信发送次数做限制，导致可以大量重复发送短信验证码。该漏洞会对其他用户造成骚扰或使厂商的运营商短信费用的增加，造成损失。

在未被授权的情况下，以破坏软硬件设备、窃取用户信息、扰乱用户心理、干扰用户正常使用为目的而编制的软件或代码片段。这个定义涵盖的范围非常广泛，它包含了所有敌意、插入、干扰、讨厌的程序和源代码。一个软件被看作是恶意代码主要是依据创作者的意图，而不是恶意代码本身的特征。

​​本文已参与「新人创作礼」活动，一起开启掘金创作之路。

天眼实验室再次提醒用户，此类恶意软件主要依赖通过微软的Office文档传播，用户应该确保宏不默认启用，提防任何来自不受信任来源的文件，当打开文件系统提示要使用宏时务必慎重。同时要尽量选用可靠的安全软件进行防范，如无必要不要关闭安全软件，当发现系统出现异常情况，应及时查杀木马，尽可能避免各类恶意代码的骚扰。黑客/网络安全学习路线对于从来没有接触过黑客/网络安全的同学，目前网络安全、信息安全也是计算机大学生毕业薪资相对较高的学科。大白也帮大家准备了详细的学习成长路线图。

以下内容为本人的学习笔记，如需要转载，请声明原文链接先来看一下 Luca Stealer 的功能某网络黑客论坛上，有一个开发者共享了其使用 Luca Stealer 的日志文件，表明相当多的黑客已经开始使用此恶意软件。由于这个恶意软件的主要用途是盗取信息和文件所用，所以下面我们也会称呼它为窃取程序。

比如你在中写了一个依赖^3.7.0，你用安装到了3.7.0版本，然后过了一段时间后，你同事把这个代码克隆到本地，然后也执行，由于此时依赖包已经更新到了3.8.0版本，所以此时你同事安装到的是3.8.0版本。这时候问题就来了，这个依赖的开发团队“不讲武德”，在3.8.0对一个API做了改动，并且做好向后兼容，于是代码报错了，项目跑不起来了，你同事找了半天，发现是依赖更新了，很无语，浪费半天开发时间，又得加班赶项目了！按理来说，就应该向纯函数（相同的输入产生相同的输入，无副作用的函数）一样，产出相同。

Linux运维？想玩转它？那可得经历九九八十一难！咱得把这事儿分成四个阶段：新手村、进阶副本、高手进阶、以及最终的封神之路！

此前，我们介绍了很多深度学习基础模型，今天探讨它们各自适用的场景，让您知道在何种情况下选择何种模型；同时分析它们的优势与局限，助您全面评估这些模型的性能。

本书根据实际的内网渗透靶场环境，结合美创科技提出的入侵生命周期模型，从基础的攻击探索发现和入侵感染，到复杂的探索感知和攻击利用，再到传播和持久化，每个环节都有详细的操作步骤和实例，使读者能够在理解原理的同时掌握实战技巧。本书围绕网络攻防实践需求，以美创科技提出的入侵生命周期模型为指导，系统讲解了内网渗透的原理，并构建了多样化的内网渗透场景，全面且系统地帮助读者进行实战训练，为读者提供了一套系统学习及实践内网渗透的专业教程。对于从来没有接触过网络安全的同学，我们帮你准备了详细的学习成长路线图&学习规划。

未授权访问漏洞是一个在企业内部非常常见的问题，未授权访问可以理解为需要安全配置或权限认证的地址、授权页面存在缺陷，导致其他用户可以直接访问，从而引发重要权限可被操作、数据库、网站目录等敏感信息泄露。演示环境搭建使用vulhub搭建漏洞演示环境参考：https://vulhub.org/#/docs/install-docker/

文档“SkinsCode.XWikiSkinsSheet”中的不当转义会导致从该文档的视图权限到编程权限的注入向量，或者换句话说，可以执行任意脚本宏，包括允许远程代码执行（包括无限制）的 Groovy 和 Python 宏对所有 wiki 内容的读写访问权限。该攻击通过打开一个不存在的页面来进行，该页面的名称经过精心设计，包含危险的有效负载。这也是耗费了大白近四个月的时间，吐血整理，文章非常非常长，觉得有用的话，希望粉丝朋友帮忙点个**「分享」因篇幅有限，仅展示部分资料，需要点击下方链接即可前往获取。

XML是一种数据组织存储的数据结构方式，安全的XML在用户输入生成新的数据时候应该只能允许用户接受的数据，需要过滤掉一些可以改变XML标签也就是说改变XML结构插入新功能（例如新的账户信息，等于添加了账户）的特殊输入，如果没有过滤，则可以导致XML注入攻击。XPath注入攻击是指利用XPath 解析器的松散输入和容错特性，能够在 URL、表单或其它信息上附带恶意的XPath 查询代码，以获得权限信息的访问权并更改这些信息。

根据 XML 规范，在内联 DTD（在 DOCTYPE 标记内指定的 XML 文档中的 DTD）和外部 DTD（在别处托管的单独 DTD）中，参数实体的处理方式不同。盲注与其他类型的漏洞也没什么本质上的区别，使用第三方可控的服务器辅助观察，比如dnslog，内网搭建测试服务器等，观察访问日志。不管是什么实体（如果用户可以控制 XML 实体或外部实体的值），则可以基于xml技术后的各种网站业务功能点（比如，实际网站在使用此技术上传文件）或者此技术的解析引擎来产生各种漏洞。关联起来，将后面的值给它。

内部声明 DTD` `<!DOCTYPE 根元素 [元素声明]>``引用外部 DTD` `<!DOCTYPE 根元素 PBULIC "public_ID" "文件名">``/或者``<!DOCTYPE 根元素 SYSTEM "文件名">(1) 包含内部实体的 XML 文档>` `<!</c1. 包含外部实体的 XML 文档>``<!</c>0x03 漏洞利用1.XML 解析器解析外部实体时支持多种协议1.有回显XXE有回显的情况可以直接在页面中看到Payload的执行结果或现象。

在2021年，Apache Log4j2爆出了一个严重的安全漏洞（CVE-2021-44228），该漏洞允许攻击者远程执行任意代码。Log4j2是一款流行的Java日志记录框架，它也存在XXE注入漏洞。当Log4j2解析恶意XML请求时，会执行其中的JNDI表达式，从而导致任意代码执行。XXE注入漏洞和Log4j2漏洞是严重的网络安全威胁，IT安全人员需要对此保持高度警惕，并采取必要的措施进行防御。这也是耗费了大白近四个月的时间，吐血整理，文章非常非常长，觉得有用的话，希望粉丝朋友帮忙点个**「分享」

曾经在MSN上，一个美国的19岁的小伙子Samy利用css的background漏洞几小时内让100多万用户成功的感染了他的蠕虫，虽然这个蠕虫并没有破坏整个应用，只是在每一个用户的签名后面都增加了一句“Samy 是我的偶像”，但是一旦这些漏洞被恶意用户利用，后果将不堪设想，同样的事情也曾经发生在新浪微博上面。存储型XSS，持久化，代码是存储在服务器中的，如在个人信息或发表文章等地方，加入代码，如果没有过滤或过滤不严，那么这些代码将储存到服务器中，用户访问该页面的时候触发代码执行。

尽管听起来像跨站脚本（XSS），但它与XSS非常不同，XSS利用站点内的信任用户，而CSRF则通过伪装成受信任用户的请求来利用受信任的网站。恶意攻击者往Web页面里插入恶意Script代码，当用户浏览该页之时，嵌入其中Web里面的Script代码会被执行，从而达到恶意攻击用户的目的。这也是耗费了大白近四个月的时间，吐血整理，文章非常非常长，觉得有用的话，希望粉丝朋友帮忙点个**「分享」。以上就是XSS+CSRF构造蠕虫大体的思路，下面细化各个步骤的过程，水平不高，适合XSS初学者的进阶。

CSRF，有的很鸡肋，有的很牛。鸡肋的xxx，有的的大佬能靠CSRF杀穿内网。有的大佬能够靠CSRF完成RCE，比如之前爆出来的phpstudy的洞。在众测中，很多厂家都标出不收CSRF或者说不收轻微危害的CSRF。CSRF（Cross-Site Request Forgery），其目的是利用受害者在已经登录过某个网站的情况下，通过该网站的权限来执行恶意操作。

这种类型通常是在论坛发布的图片中嵌入恶意链接，或者以广告的形式诱导用户中招，攻击者通常会以比较夸张的词语诱骗用户点击，例如：<a href=" taget=“_blank”> 由于之前用户登录了信任的网站A，并且保存登录状态，只要用户主动访问这个页面，则表示攻击成功。例如可以在HTTP请求中以参数的形式加⼊⼀个随机产⽣的token，并在服务器端验证token，如果请求中没有token或者token的内容不正确，则认为该请求可能是CSRF攻击从⽽拒绝该请求。大白也帮大家准备了详细的学习成长路线图。

曾经在MSN上，一个美国的19岁的小伙子Samy利用css的background漏洞几小时内让100多万用户成功的感染了他的蠕虫，虽然这个蠕虫并没有破坏整个应用，只是在每一个用户的签名后面都增加了一句“Samy 是我的偶像”，但是一旦这些漏洞被恶意用户利用，后果将不堪设想，同样的事情也曾经发生在新浪微博上面。**存储型XSS：**存储型XSS，持久化，代码是存储在服务器中的，如在个人信息或发表文章等地方，加入代码，如果没有过滤或过滤不严，那么这些代码将储存到服务器中，用户访问该页面的时候触发代码执行。

在计算机网络中，路由是数据包在网络中传输的过程，将数据包从源节点发送到目标节点的路径选择和转发过程。路由是网络通信的关键环节，它决定了数据包如何在网络中传输，确保数据能够准确、快速地到达目标位置。本文将详细介绍路由的概念、路由器的功能、路由表的构建和常见的路由选择算法。

考虑到日志信息的种类和详细程度，并且日志开启对设备的负荷有一定影响，在这建议获取有意义的日志信息，并将其发送到网管主机或日志服务器并进行分析，建议将notifications及以上的LOG信息送到日志服务器。如非要采用HTTP服务，要求对HTTP服务进行严格的控制，如果必须选择使用HTTP进行管理，最好用ip http access-class命令限定访问地址且用ip http authentication命令配置认证，修改HTTP的默认端口。为了实现对设备安全的管理，要求对设备的安全审计进行有效管理。

等保2.0标准体系主要包含三个标准文件，分别为：GB/T 22239—2019《信息安全技术 网络安全等级保护基本要求》、GB/T 28448—2019《信息安全技术 网络安全等级保护测评要求》（以下简称“测评要求”）和GB/T 25070—2019《信息安全技术 网络安全等级保护安全设计技术要求》。其中测评要求主要适用于安全测评服务机构的等级评测或者上级监管单位的监督检查，准确理解测评要求中的各测评项对于顺利通过等保测评具有极大的帮助。因此，我们将在后续的文章中陆续介绍测评要求中各测评单元项和内容理解，旨

第二颗🌰，现在我们设 ，有 ，其中的每一个元素我们用两个十六进制字符来表示，即 ，然后拼接。转化为十进制就是 ，不过由于256进制下的一个元素又是有两个16进制字符表示的，所以其实整个 也可以看作是 16 进制数，以第一个元素为例， ，于是 也可以记为。对于从来没有接触过网络安全的同学，我们帮你准备了详细的学习成长路线图&学习规划。可以说是最科学最系统的学习路线，大家跟着这个大的方向学习准没问题。这也是耗费了大白近四个月的时间，吐血整理，文章非常非常长，觉得有用的话，希望粉丝朋友帮忙点个**「分享」

当前公认安全有效的三大类公钥密钥体制分别为基于大数因子分解难题(RSA)、离散对数难题(DSA)和椭圆曲线离散对数（ECC）难题的密码体制。最初RSA由于其容易理解被广泛运用，但随着计算机性能的提升，要保证RSA的安全性，则必须要增加密钥长度，所以我们可以看到RSA密钥从1024bit慢慢来到了4096比特。

块（也叫分组）密码算法只能加密固定长度的分组，如果需要加密的明文长度，超过块密码的分组长度，就需要对块密码算法进行迭代，将一段很长的明文全部加密。私钥则保密，只由证书的所有者持有，用于生成签名。通过这一系列的技术升级和创新，我们建立了一个既安全又可靠的网络通信环境，就像我们在网络世界里建立了一个安全的信使系统，保护了我们的秘密和信任，同时也确保了信息的真实性、完整性和安全性。**3、发送验证：**接收者用你的“公开印章”（公钥）检查你盖的章，如果章对得上，就说明文件没被改动，真的是你发出的。

**本节目的：**这一章作为AES算法的基础部分，目的主要是整理下密码学中AES加密与解密的相关知识点，并把它们分享出来。**阅读方法：**希望大家在浏览完本章文章后可以自己去实现一下，相信一定会对你的编程技术有所提高。（附件中提供参考代码，请点击阅读原文下载）具备基础：（1）熟练掌握C语言；（2）相关数学知识**学习环境：**任意C语言开发环境，一个正确的AES算法程序（方便调试，验证程序结果）第一节：AES算法简介AES的全称是Advanced Encryption Standard，意思是高级加密标准

密码技术最早应用于军事，并随着社会和信息技术的发展不断演变。密码技术的发展背景:军事和外交：密码技术的起源可以追溯到古代，最早的密码用于军事和外交通信，以保护敏感信息不被敌方获取。例如，古希腊的斯巴达使用简单的替换密码，而凯撒密码则是古罗马的一种著名加密方法。商业秘密：随着商业活动的增加，商人们也开始使用密码来保护交易信息和商业秘密。计算机和网络的兴起：20世纪中叶，计算机技术的快速发展和互联网的普及使得信息的传输和存储变得更加便捷，但同时也带来了信息安全的挑战。

东市买骏马，西市买鞍鞯，南市买辔头，北市买长鞭。出自《木兰辞》中的诗句展现了充分竞争的自由市场中，供给方各司其职的状态。在同一市场内，消费者往往会从不同供应商处获取不同商品和服务，就像当下扎入垂直行业、走向定制化的大模型服务一般。如果仔细观察诸如百度、阿里、科大讯飞等大模型服务商透露的产业方向的商业化进展，我们不难发现虽然其客户列表中重量级选手不少，但这些客户们往往“只取一瓢饮”，以探索的方式从点开始大模型及AIGC方面的合作。

ngrep 目前能识别以太网，PPP，SLIP，FDDI，Token Ring和无效接口上的IPv4/6，TCP，UDP，ICMPv4/6，IGMP 和 Raw 协议，可按照常见的数据包窃听工具（如tcpdump和snoop.ngrep）那样去BPF 规则过滤。它包含Snort，Suricata，Bro，OSSEC，Sguil，Squert，Snorby，ELSA，Xplico，NetworkMiner和许多其他安全工具。Pompem——是一款开源工具，便于搜索自动化的设计，可利用主要数据库的漏洞。

NetExec (nxc) 是一款功能强大的自动化网络安全评估与漏洞测试工具，是 CrackMapExec-已停止维护 (CME) 的现代继任者，现已被渗透测试人员和红队成员广泛使用，可被用于多种协议下的渗透测试中，目前支持的协议如下。该公众号分享的安全工具和项目均来源于网络，仅供安全研究与学习之用，如用于其他用途，由使用者承担全部法律及连带责任，与工具作者和本公众号无关。这也是耗费了大白近四个月的时间，吐血整理，文章非常非常长，觉得有用的话，希望粉丝朋友帮忙点个**「分享」

关注+星标，每天学习前端新技能。

大模型（LLM，Large Language Model）的构建流程，特别是OpenAI所使用的大语言模型GPT构建流程，主要包含四个阶段：预训练、有监督微调、奖励建模和强化学习**。这四个阶段各自需要不同规模的数据集、不同类型的算法，并会产出不同类型的模型，同时所需的资源也有显著差异。