- 博客(213)
- 收藏
- 关注
RSS订阅原创 【SRC】EDU实战篇7：未授权访问挖掘思路与业务甄别
根据功能推断其他可能存在的接口，通过 /baoxiu/{动词} 推测可能存在 created（存在）/bohui（驳回，存在）/upload（存在）/cancel（不存在）；可能是系统分配的用户名，前面部分一样后面随机，那用户名可以由系统分配，密码又要有复杂度，系统会不会搞个和用户名一样的，这样也方便。下载 xxx_backend 的源码，发现存在一个接口前面文档没写的 /sys_user/list，这一步我让 AI 帮我筛选的。过解析 JWT 可知，该方式创建的用户，是 ROLE_001 权限。
2026-08-24 19:49:47
18
原创 【SRC】EDU实战篇6：XSS规则边界与利用验证技巧
1、借助 AI 尝试生僻标签注入。2、借助 XSS 接收平台的短地址，绕过手机对XSS弹窗的限制。3、上传接口尝试请求体修改文件类型绕过。4、EDU 仅考虑存储型 XSS。
2026-08-19 17:20:36
71
原创 【SRC】EDU实战篇5：OSS 特征识别与权限联动利用技巧
1、关注站点的资源获取方式，判断是否为存储桶。2、遍历存储桶内容，使用浏览器插件，批量下载使用上述 python 脚本。3、关注上传功能，可能存在 OSS 配置泄漏。4、结合前端信息尝试解密响应，人社站点其实也泄露了华为OSS的，但是访问发现OSS已失效。
2026-08-19 17:19:22
25
原创 【SRC】EDU实战篇4：敏感信息泄漏-自定义字典挖掘与业务接口溯源思路
1、目录遍历的字典要结合业务场景来构造。2、配置、测试的目录泄漏需要检查，不放过。3、当前站点没显示，尝试旁站找关联，不被接口名称劝退。4、发现一个危害不大的泄漏，尝试批量关联。
2026-08-19 17:18:24
16
原创 【SRC】EDU实战篇3：基础信息泄漏的隐性风险与组合利用思路
1、操作文档、用户手册，容易泄漏个人信息。2、三方token不要放过，可能可以获取认证凭据。3、结合指纹工具，猜测默认路径，可能泄漏硬编码信息。4、公开资料仔细查看，可能泄漏意料外的资产，这点目前 AI 很难帮你做。
2026-08-19 17:17:26
21
原创 【SRC】EDU实战篇2：验证码爆破实战与踩坑要点
1、专注 4 位验证码爆破（edu src 审核明确告诉我 6 位不收）。2、调整脚本线程数以提高爆破速度。3、调整验证码大小和爆破初始验证码，以加速命中。
2026-08-19 17:15:55
16
原创 【SRC】EDU实战篇1：弱口令之新站挖掘与横向资产排查
1、多关注新站点，弱口令概率大。2、发现弱口令，尝试横向查询子域名、其他端口是否存在类似弱口令。3、多记录弱口令和登录框的URL路径，作为以后的 Fuzz 资源。
2026-08-19 17:15:04
18
原创 【SRC】EDU实战篇·序章：写给每一个还在路上的你
基础思路系列已经讲完了"该怎么想"，从信息收集到各类漏洞的挖掘方法论。但理论再扎实，不落地也只是空中楼阁。从这一篇开始，我们进入实战篇——不讲方法论，只讲真实发生过的挖洞故事。不过在翻开第一个案例之前，有些话我想先和大家聊聊。这些话不涉及技术，却比任何技术都重要。因为决定你能在SRC这条路上走多远的，从来不是Payload库有多厚，而是心态、思路和对这件事的理解。如果你正准备认真看下去，请先花2分钟读完这篇序章。写这篇序章，不是想立Flag，也不是想灌鸡汤。
2026-08-17 09:47:08
580
原创 【SRC】基础思路篇20：APK安全测试与AI Skill思路完全指南
从第1篇的信息收集，到第19篇的RCE，再到本篇的APK应用安全，本系列构建了一套完整的SRC挖掘体系。逆向打开黑盒，应用安全核查客户端，接口安全复用Web方法论，隐私合规补全合规视角。把这条链路固化为Skill，让AI替你记忆、替你执行、替你沉淀，你只需专注于判断与拓展——这才是AI辅助测试的正确打开方式。每测一个App，都是Skill的一次进化；每进一次化，你的攻击面就更广一层。
2026-08-10 12:47:44
398
原创 【Frida Android】实战篇20：AI辅助脱壳实战
环节关键产出读官方源码理解 MultiDexCode 格式、XOR 算法、资产特征AI + Skill静态采集、XOR 判断、key 推导、填回、验证辅助脚本等（沉淀在 Skill 目录）人工确认jadx-gui 目视验证反编译结果一句话总结：dpt-shell 是函数抽取壳，运行时"填回指令"的动作我们静态就能完成，AI 负责把"解析 → 解密 → 填回 → 修复 → 验证"串成自动化流水线，Skill 负责把这次经验固化下来，让下次脱壳更快、让版本更新不慌。
2026-08-10 12:29:27
54
原创 【SRC】基础思路篇19：RCE远程代码执行漏洞挖掘完全指南
类型成因典型场景命令注入用户输入拼接到系统命令os.system、exec调用代码注入用户输入被动态执行eval、反射调用反序列化反序列化数据触发代码执行Java、PHP、Python反序列化文件上传上传可执行文件WebShell上传框架漏洞已知框架漏洞利用模板注入模板引擎执行代码SSTIJNDI注入JNDI引用加载恶意类RCE漏洞是SRC漏洞挖掘的"终极目标"，也是技术难度最高的漏洞类型。信息收集要深：技术栈、框架、组件、接口、源代码都是RCE挖掘的线索。
2026-08-03 15:40:25
343
原创 【SRC】基础思路篇18：URL跳转漏洞挖掘完全指南
URL跳转漏洞虽看似简单，但在SRC实战中通过精心组合可形成高价值攻击链。场景识别要全：登录、退出、分享、扫码、OAuth等所有跳转场景都要测参数收集要全：常见跳转参数清单要熟记，没有参数就主动添加绕过思路要多：子域名、路径、字符、协议、编码等多种绕过方式都要尝试组合利用要强：URL跳转 + XSS、URL跳转 + OAuth劫持等组合提升价值链式思维要活：白名单域内的开放重定向可作为中转跳板。
2026-08-03 15:37:50
220
原创 【SRC】基础思路篇17：CORS跨域安全测试完全指南
CORS漏洞是SRC漏洞挖掘中的高频问题，其危害程度取决于可读取的敏感数据类型。测试覆盖要全：所有返回敏感数据的接口都应测试CORS配置Origin变体要全：任意域名、子域名、NULL Origin都要测试链式思维要强：单个漏洞可能无法利用，组合利用威力大危害评估要准：根据可读取数据类型评定等级，认证Token泄露最严重通过本文介绍的方法和思路，相信读者能建立起完整的CORS漏洞挖掘思维体系，在SRC实战中发现更多高质量漏洞。
2026-08-03 15:34:58
379
原创 【SRC】基础思路篇16：AI应用安全测试小结
随着大语言模型（LLM）和AI应用的快速普及，越来越多的企业将AI能力集成到产品中。AI对话、AI生图、AI知识库、AI智能体等功能正在成为Web应用的标准配置。然而，AI技术栈的引入也带来了全新的安全风险——提示词注入、内容安全绕过、AI相关的SSRF、XSS、信息泄露等问题层出不穷。本文将系统性地介绍AI应用的安全测试方法论，帮助读者建立完整的AI安全测试思维体系。对比项传统Web应用AI应用输入校验基于规则和正则基于自然语言理解攻击面参数、接口、文件提示词、上下文、多模态输入。
2026-07-27 11:24:56
431
原创 【SRC】基础思路篇15：JWT安全测试完全指南
JSON Web Token（JWT）是现代Web应用中广泛使用的身份认证机制。它通过将用户信息编码在Token中，实现了无状态的身份验证。然而，JWT的实现方式多种多样，许多开发者在密钥管理、算法选择和签名验证等环节存在安全疏忽，导致JWT成为SRC漏洞挖掘中的高频突破口。本文将系统性地介绍JWT的安全测试方法论，帮助读者建立完整的JWT渗透测试思维体系。JWT由三部分组成，通过点号（Header：声明签名算法和Token类型Payload：包含用户身份信息和声明Signature。
2026-07-27 11:16:51
366
原创 【SRC】基础思路篇14：云安全测试完全指南
随着企业数字化转型的深入，越来越多的业务系统迁移到云平台。云环境在带来便利的同时，也引入了新的安全风险——对象存储配置错误、云凭证泄漏、存储桶劫持、配置中心接管等问题频发。在SRC漏洞挖掘中，云安全问题往往能够从一个入口点扩散到整个云基础设施，造成远超单一Web漏洞的危害。本文将系统性地介绍云安全测试的核心方法论，帮助读者建立完整的云安全测试思维体系。对比项传统环境云环境攻击面单一Web服务器Web + 对象存储 + 容器 + 配置中心 + 数据库凭证管理本地配置文件。
2026-07-20 10:39:45
274
原创 【SRC】基础思路篇13：微信小程序安全测试完全指南
在SRC漏洞挖掘中，微信小程序正逐渐成为不可忽视的重要攻击面。由于小程序的封闭运行环境和微信生态的便捷登录特性，许多开发者在安全设计上容易产生认知偏差——认为"小程序环境安全，无需严格校验"。这种认知导致了大量逻辑漏洞、越权漏洞和身份认证漏洞的存在。本文将系统性地介绍微信小程序的安全测试方法论，帮助读者建立完整的小程序渗透测试思维体系。核心区别对比项Web应用微信小程序运行环境浏览器微信内置WebView + JSBridge登录方式账号密码/第三方OAuth微信一键登录/手机号快捷登录。
2026-07-20 10:34:09
536
原创 【SRC】基础思路篇12：逻辑漏洞完全指南
在SRC漏洞挖掘中，逻辑漏洞是最考验安全测试者业务理解能力的一类漏洞。与SQL注入、XSS等有明确技术特征的漏洞不同，逻辑漏洞源于业务流程设计缺陷，不存在通用的扫描工具能自动发现。支付金额篡改、优惠券滥用、身份伪造、权限绕过……每一个逻辑漏洞的背后都是对业务流程的深度理解。本文将系统性地介绍逻辑漏洞的常见类型、检测方法和实战技巧，帮助读者建立系统化的逻辑漏洞挖掘思维体系。核心概念：逻辑漏洞是指业务流程设计上的缺陷，导致用户可以绕过正常的业务规则，执行超出预期的操作。
2026-07-13 08:11:17
475
原创 【SRC】基础思路篇11：并发与条件竞争完全指南
在SRC漏洞挖掘中，并发与条件竞争（Race Condition）是一类容易被忽视但危害极高的漏洞类型。当服务端缺乏原子性校验和幂等性设计时，攻击者可以通过同时发送多个请求，在系统状态还未同步的"时间窗口"内完成非法操作。并发漏洞常见于支付、优惠券领取、积分兑换、验证码发送等高频业务场景，往往能直接造成资损。本文将系统性地介绍并发漏洞的原理、常见场景、工具使用方法和实战技巧。核心概念。
2026-07-13 08:08:21
325
原创 【SRC】基础思路篇10：越权与未授权访问完全指南
在SRC漏洞挖掘中，越权和未授权访问是最常见也是最危险的漏洞类型。攻击者可以通过越权漏洞访问其他用户的数据或执行超出权限的操作，通过未授权访问漏洞无需登录即可访问敏感资源。充分掌握越权和未授权访问的挖掘方法，能帮助我们快速发现高价值漏洞。本文将系统性地介绍越权和未授权访问的常见类型、检测方法和实战技巧。越权和未授权访问是SRC漏洞挖掘中最常见也是最危险的漏洞类型。从简单的参数枚举到复杂的攻击链构建，每一种类型都可能带来严重的安全风险。
2026-07-05 11:15:45
502
原创 【SRC】基础思路篇9：信息泄露完全指南
在SRC漏洞挖掘中，信息泄露是最基础也是最重要的漏洞类型。信息泄露漏洞往往不需要复杂的技术手段，却能带来巨大的安全风险。充分掌握信息泄露的挖掘方法，能帮助我们快速获取敏感信息，为后续的漏洞利用打下基础。本文将系统性地介绍信息泄露的常见类型、检测方法和实战技巧。信息泄露是SRC漏洞挖掘中最基础也是最重要的环节。从简单的配置文件泄露到复杂的AI大模型信息泄露，每一种类型都可能带来严重的安全风险。本文系统地介绍了信息泄露的常见类型、检测方法和实战技巧，希望能帮助读者建立完整的信息泄露挖掘思维体系。
2026-07-05 11:12:41
265
原创 【SRC】基础思路篇8：文件操作漏洞挖掘完全指南
在SRC漏洞挖掘中，文件操作漏洞是常见的高危漏洞类型，包括文件上传、文件读取、文件下载等。一旦成功利用，攻击者可以获取敏感信息、执行恶意代码甚至完全控制服务器。本文将带你全面了解文件操作漏洞的测试思路、漏洞类型和实战技巧。发现过程定位上传功能：登录系统找到图片上传业务模块验证前端校验：仅校验e.type，可通过Burp绕过构造恶意文件：创建HTML文件，包含XSS脚本和DNSLog回连Burp修改上传：构造，拦截后删除.jpg后缀验证漏洞触发：访问上传后的HTM文件，脚本执行成功关键技巧。
2026-06-29 12:04:47
284
原创 【SRC】基础思路篇7：SSRF服务器端请求伪造完全指南
在SRC漏洞挖掘中，SSRF（服务器端请求伪造）是一种非常危险的漏洞类型。攻击者可以利用SSRF让服务器向内部网络发起请求，从而获取敏感信息或进行进一步攻击。本文将带你全面了解SSRF的测试思路、漏洞类型和实战技巧。发现过程分析URL路径中的关键字/proxy/发现路径包含图片压缩参数收到服务器请求，确认SSRF漏洞存在关键技巧：关注URL路径，不要只关注参数。SSRF是一种非常危险的漏洞类型，掌握SSRF测试技巧对于SRC漏洞挖掘至关重要。仔细分析每个功能点、关注URL参数和路径、灵活运用绕过技巧。
2026-06-29 11:59:58
386
原创 【SRC】基础思路篇6：SQL注入漏洞挖掘完全指南
在SRC漏洞挖掘中，SQL注入是最严重的漏洞类型之一。一旦成功利用，攻击者可以读取、修改甚至删除数据库中的数据，甚至可能获得服务器的完全控制权。本文将带你全面了解SQL注入的测试思路、漏洞类型和实战技巧。发现过程参数分析：发现接口rid=2602'触发数据库报错WAF检测：被安全狗WAF拦截绕过尝试：使用连接符绕过rid=2602;select 1/0确认堆叠注入存在rid=2602;关键技巧：使用EXECUTE()替代EXEC绕过WAF检测。修改默认UA编辑修改的值。
2026-06-22 12:07:33
479
原创 【SRC】基础思路篇5：XSS跨站脚本攻击完全指南
在国内的SRC平台中，XSS漏洞往往不被重视，通常被评为低危漏洞。然而在国外的安全社区和漏洞奖励计划中，XSS被视为重要的安全问题，尤其是存储型XSS常常被评为中高危。尽管国内评级较低，但掌握XSS测试技巧依然非常重要——它不仅能帮助你发现更多漏洞，还能提升你在国际安全社区的竞争力。本文将带你全面了解XSS的测试思路、漏洞类型和实战技巧，让你快速掌握XSS安全测试的核心方法。发现过程探测WAF规则，发现<script>和onerror被拦截枚举浏览器事件属性，发现可用。
2026-06-22 12:03:48
304
原创 【SRC】基础思路篇4：验证码安全测试完全指南
在SRC漏洞挖掘中，验证码是很多授权功能的重要防线，但也是漏洞高发区。本文将带你全面了解验证码相关的测试思路和实战技巧，让你快速掌握验证码安全测试的核心方法。发现过程在测试0元购漏洞时，点击"补兑"按钮后收到两条相同的短信使用Burp Suite重放下订单请求，再次收到相同短信连续重放多次，确认漏洞存在漏洞成因下订单接口每次请求都会触发短信发送短信发送无次数限制和时间间隔限制缺乏请求去重机制验证码是SRC漏洞挖掘的重要环节，通过本文的学习，相信你已经掌握了验证码相关的核心测试思路。
2026-06-17 09:52:19
388
原创 【SRC】基础思路篇3：登录框安全测试完全指南
作为SRC（安全响应中心）测试的入门场景，登录框是最常见也是最容易发现漏洞的地方。本文将带你从零开始，一步步掌握登录框测试的核心思路和实战技巧。源于适配新版Burpsuite接口（兼容高版本JDK）新增对data:image格式图片的识别支持集成验证码识别库ddddocr注意：该工具适用于Windows环境，Macbook M1(X)系列设备暂不兼容。登录框测试是SRC入门的最佳起点，通过不断实践和总结，你会发现很多看似复杂的漏洞其实都源于简单的逻辑缺陷。耐心观察、大胆尝试、善于总结。
2026-06-17 09:48:49
272
原创 【SRC】基础思路篇2：漏洞挖掘之信息收集全面攻略
信息收集是漏洞挖掘的基础，也是决定测试成败的关键因素。全面的工具链：掌握多种信息收集工具敏锐的洞察力：能从海量信息中发现有价值的线索系统的方法论：建立完整的信息收集思维体系持续学习：关注新工具、新技术、新方法通过本文介绍的方法和渠道，相信您能建立起一套高效的信息收集流程，为后续的漏洞挖掘工作打下坚实基础。
2026-06-10 16:11:57
430
原创 【SRC】基础思路篇1：SRC挖洞vs企业安全测试的核心区别
测试角度：SRC是纯黑盒，企业测试是黑盒+白盒测试界定：SRC以平台标准为准，企业测试以合规要求为准测试流程：SRC需要自力更生，企业测试有团队支持测试报告：SRC注重实战POC，企业测试注重全面合规作为安全研究员，需要根据不同场景调整测试思路和方法，才能在不同环境中发挥最大价值。
2026-06-10 15:56:50
243
原创 BurpSuite插件 OneScan 扩展版安装与实战指南
OneScan是一款面向BurpSuite的递归目录扫描插件，最初开发目的是批量挖掘隐藏Swagger接口文档，后续迭代新增敏感目录泄漏、未授权/越权自动化检测能力。原版 vaycore/OneScan（https://github.com/vaycore/OneScan）：初代开源项目，作者停更，最高版本v1.7.0，纯Java开发、无额外环境依赖，仅保留基础目录扫描，无法解析JS动态渲染页面，不支持前端防重放站点扫描；
2026-06-03 22:27:46
281
原创 渗透测试必备！PayloadsAllTheThings：全球最全攻击载荷资源库
swisskyrepo/PayloadsAllTheThings凭借其清晰的结构化组织、全面的内容覆盖和及时的更新机制，成为了全球安全行业最具价值的Payload资源库之一。无论是刚入门的安全新手，还是经验丰富的渗透测试工程师，都能从这个仓库中获取实用的技术资源。你还用过哪些好用的安全工具？欢迎在评论区留言交流～
2026-06-03 16:18:52
408
原创 【漏洞学习】PHP+Windows环境通用文件上传漏洞深度剖析
直接 getshell绕过上传校验，上传并解析PHP脚本，获取服务器控制权。文件篡改/劫持覆盖站点现有PHP文件，植入后门、篡改页面内容。通用高危不依赖特定CMS，凡Windows+PHP+黑名单上传场景均可能受影响。隐蔽性强无明显异常特征，常规日志难以发现。此漏洞是PHP与Windows系统特性冲突仅校验后缀≠安全，必须结合文件名净化、存储隔离、环境限制多重防护。该思路至今仍适用于Windows服务器上传漏洞挖掘，是Web安全入门必学经典漏洞。本文是「Web安全」系列内容，点击。
2026-05-28 09:00:48
388
原创 【漏洞学习】Discuz! 高危设计缺陷深度剖析：Windows短文件名导致数据库泄露
在Web安全领域，CMS系统因部署广泛、代码开源，长期是漏洞挖掘的重点目标。Discuz!作为国内最主流的论坛程序，历史上暴露出大量高危漏洞。本文聚焦——Discuz!存在的Windows短文件名设计缺陷，该漏洞可直接导致数据库备份文件被非法下载、数据泄露，对理解文件路径安全、系统层特性利用具有极高学习价值。该漏洞属于无需登录、无需交互、一键利用数据泄露：直接拖库，获取全站核心数据权限提升：通过数据库密钥获取后台/服务器权限隐蔽性强：无日志痕迹，不易被管理员发现Discuz!
2026-05-28 08:52:25
557
原创 【Black Hat】零点击劫持AI代理：从提示注入到企业核心数据泄露
随着Microsoft Copilot Studio、Salesforce Einstein、Google AI助手等企业级AI代理大规模落地，AI代理已承担邮件自动处理、客户支持、CRM对接、内部数据检索等核心业务。但BlackHat安全峰会研究团队证实：当前主流AI代理存在架构性安全缺陷，攻击者可通过零点击间接提示注入，完全劫持AI代理行为，窃取企业核心数据，且无需用户点击、确认、打开任何文件，攻击隐蔽性极强。
2026-05-27 16:20:26
408
原创 【Web安全】JWT常见安全漏洞总结
在当今的Web开发中，JSON Web Token（JWT）作为身份认证与授权的常用凭证，广泛应用于前后端分离、微服务等架构。然而，由于服务端配置不当、算法使用不规范等原因，JWT容易出现多种漏洞，被攻击者利用来实现越权访问或伪造身份。JWT由Header（头部）、Payload（载荷）、Signature（签名）三部分构成，主要用于实现无状态的身份验证。正常情况下，服务端通过校验签名来确认JWT的完整性与合法性。
2026-05-19 18:32:12
736
原创 【Black Hat】BingBang 案例复盘：Azure AD 配置失误攻陷 Bing
大家好，今天带来BlackHat 经典 BingBang 攻击案例深度拆解。这是一次由Azure AD 多租户配置缺陷引发的高危入侵：安全研究员仅靠错误配置，就拿下 Bing 后台 CMS，实时篡改搜索结果、植入 XSS，甚至窃取用户 Outlook/Teams/SharePoint 全量数据。本文结合大会内容，还原漏洞原理→攻击链路→实战演示→修复建议，适合云安全、身份认证、渗透测试方向学习。BingBang 是云身份安全教科书级案例。
2026-05-19 18:29:12
606
原创 【漏洞学习】网盘高危漏洞深度剖析：存储型XSS与CSRF的组合攻击
在Web安全领域，各类漏洞不断涌现，今天我们聚焦于一个极具代表性的案例——2014年百度云网盘的存储型XSS + CSRF组合漏洞。此漏洞在当年影响广泛，对于深入理解组合攻击思路具有重要价值，无论是新手学习入门，还是资深人士巩固知识，都十分值得深入探究。数据泄露：可窃取受害者网盘内的文件列表、敏感文件（如文档、照片），造成个人信息泄露；数据破坏：能够任意删除、重命名受害者网盘文件，导致数据丢失，影响用户正常使用；攻击扩散：可通过受害者的网盘分享，进一步传播恶意链接，扩大攻击范围，形成连锁危害。
2026-05-16 14:20:35
822
1
原创 【漏洞学习】聊天机器人安全漏洞实战：服务器端JavaScript注入探秘
为啥设process.query为null呢？回到chatbot.ts文件，要是bot值为null，机器人就没响应。所以我们先设它为null，又添加了新用户到数据库。这样既禁用了聊天机器人，还注册了自己的用户。以上就是这次分享的SSJI漏洞利用实战。对Node.js安全测试或聊天机器人漏洞挖掘感兴趣的话，强烈推荐用OS 2 Shop靶场练习，能在不破坏真实系统的情况下，学会服务器端代码注入技巧。原文链接：https://www.youtube.com/watch?
2026-05-16 13:32:19
471
原创 漏洞侦察新范式：从业务逻辑到主应用攻击面分析
漏洞侦察新范式，主打从业务逻辑入手，分析主应用的攻击面，与传统方法有显著区别。对比维度传统方法新范式关注点资产覆盖业务逻辑效率低（大量无效扫描）高（精准定位）漏洞质量以低级别为主以高危为主时间投入长（全面扫描）短（聚焦核心）技术要求工具驱动理解驱动。
2026-05-09 16:02:31
365
原创 【Web安全】AI自动化实现前端加密算法逆向分析
借助TRAE工具的solo模式，输入特定的网站登录相关信息，它就能自动模拟用户操作，通过抓包、分析前端代码等一系列操作，逆向分析出登录请求中密码字段的加密方式，并输出用于加解密的Python脚本。核心就是利用TRAE工具自动化处理复杂的加密分析流程，大大提高效率。维度传统方式TRAE方式效率手动分析，耗时费力自动化分析，快速高效准确性容易遗漏关键代码系统化搜索，准确性高复杂度需要深入理解前端代码无需深入理解，一键输出门槛需要较强的逆向能力降低入门门槛。
2026-05-09 15:59:43
1034
一款用于代码安全审计的 IDEA 插件：快速识别SpringBoot项目代码中所有接口是否有权限注解、快速识别所有拦截器实现类
2025-08-25
【Web安全技术】WebGoat v8.2.2版本全解：基于Java的开源安全测试平台环境搭建与常见漏洞实践指南
2025-07-02
网络安全靶场 SQL注入实战解析：sqli-labs解题指南
2025-06-27
网络安全-Java开发BurpSuite插件-插件源码
2025-06-23
空空如也
TA创建的收藏夹 TA关注的收藏夹
TA关注的人