今天我在服务器上发现了一条异常日志：

这属于明显的自动化抓鸡工具尝试利用某个通用漏洞进行扫描探测，一旦命中漏洞就执行脚本安装一系列的恶意木马病毒，最近小龙虾挺火的，正好阿里云推出的 JVS 小龙虾，有 7 天免费试用，还有云端小龙虾，无需本地安装即可使用，假如服务器被这种新型病毒感染，它能不能给处理掉呢？

小插曲：这个攻击 IP 上没有我服务器适配的程序，于是我通过网络空间搜索引擎找了一个，语法：title="Index of /" && body="mips"

为此，我做了一个大胆的尝试，找了一个干净的测试服务器，手工安装了最新的病毒样本，启动之后，将整个应急过程交给阿里云的 JVS 小龙虾，我是这样跟它说的：

我的服务器 xxxxxx，root 密码 xxxxx，被恶意攻击，植入木马，帮我处理木马并分析它的行为，输出完成报告，如果你不会请自行搜索并安装skill。

上图为小龙虾的分析过程，通过远程登录系统执行一些命令来了解情况，已经看到其发现了恶意文件 /tmp/arm7，由于我设置的密码比较简单，所以小龙虾还帮我重置了密码，由于恶意软件是我自己安装部署，所以它还把我登录使用的 ssh 公钥给清除了，毕竟我是攻击者嘛，清除结果如下;

由于阿里云 JVS 小龙虾的清理很彻底，导致我也无法连接服务器了，哈哈，还好我没有退出 SSH！看看服务器的恶意文件还在不：

确认恶意文件已经被删除清理完成，但是设置的密码很有意思，存在被猜解的可能：

如果你正好有被入侵的服务器，不妨让阿里云 JVS 小龙虾帮你处理一下。接下来这个事儿还没完，既然已经做完应急处置， 那么接下来就该溯源攻击者的了，这种事儿，也直接扔给 JVS 小龙虾来完成：

继续帮我溯源攻击者的 IP 地址，输出攻击者画像报告，输出完成报告，如果你不会请自行搜索并安装skill。

阿里云 JVS 小龙虾竟然把我准确溯源出来了，这也太强了，确实是我干的（我承认），哈哈：

除了这些结果以外，还让我震惊是它与 ATT&CK 框架中的 TTPS 相结合，提供了映射关系：

所以说，这个阿里云的 JVS 小龙虾还是挺强的，经过很短的时间就能将服务器上的恶意软件识别出来并准确处理，还带自动加固，最终完成准确的溯源分析，如果让我来做，不要说能不能完成这么有深度、专业的事儿，就算能做，也得一两天才能完成，而阿里云的 JVS 小龙虾，仅用了几分钟就完成了。

最后推荐一下阿里云的 JVS 小龙虾，新注册即送 7 天免费体验云端小龙虾资格，并额外赠送 200 积分，注册地址：

https://jvs.wuying.aliyun.com/

点击阅读原文直达官网。为了回馈一直以来支持信安之路的粉丝朋友，我特地为大家申请了 10 份兑换码权益，通过在本文留言关于你对于小龙虾的理解和认识，我们会选择点赞量最高的前十条留言发放兑换码，留言截止日期至 2026 年 4 月 10 日中午 12 点，赶紧来留言吧！

最后说明一下兑换码的权益介绍及兑换方式，兑换码兑换方式：

1）请前往阿里云 JVS Claw 官网（https://jvsclaw.aliyun.com）或者手机应用市场搜索 “JVS Claw”

2）登录注册后，在首页兑换码入口输入兑换码，完成积分（1600）兑换

兑换码及绑定规则：

1）一个兑换码只能绑定一次，绑定后失效

2）请在兑换码有效期内绑定，有效期过后兑换码失效，兑换时间：即日起至 2026 年 4 月 25 日 23:59 前

3）完成绑定后，JVS Claw 积分立即到账，不可解绑、转赠、提现

4）绑定后积分可在 JVS Claw 官网、客户端使用，14 天有效。

阅读原文

跳转微信打开

今天有个热点话题，一个 github 十几万 star 的项目被投毒，2026年3月31日凌晨，一场针对流行 HTTP 客户端库 Axios的供应链攻击在 npm 仓库上演。

攻击者窃取了核心维护者 jasonsaayman 的 npm 账户权限，短短几小时内发布了两个恶意版本（axios@1.14.1 和 axios@0.30.4），并通过一个看似“无关”的依赖包 plain-crypto-js@4.2.1植入了跨平台远程访问木马（RAT）。好消息是，攻击窗口极短（恶意包仅存活约 2-4 小时），npm 及时下架了恶意版本，目前已无直接风险。但这次事件再次敲响供应链安全的警钟。

下面我们一步步拆解整个攻击过程、恶意代码行为、发现机制，以及你作为开发者或安全人员该如何应对。

攻击时间线

• 2026-03-30 05:57 UTC：攻击者先用新账户 nrwise@proton.me发布了一个“干净”的 decoy 包 plain-crypto-js@4.2.0，目的是制造正常的发布历史，避免被一眼看出是新建账号。

• 2026-03-30 23:59 UTC：同一账户发布恶意版 plain-crypto-js@4.2.1，加入 postinstall 钩子（安装后自动执行 node setup.js）。

• 2026-03-31 00:21 UTC：攻击者用被盗的 jasonsaayman 账户发布 axios@1.14.1（1.x 主线）。

• 2026-03-31 01:00 UTC：同一账户发布 axios@0.30.4（0.x 旧分支），同时覆盖新老用户。

• 2026-03-31 03:15 UTC：npm 官方发现后迅速下架两个恶意 axios 版本，并将 latest 标签回滚到安全版本 1.14.0。

• 2026-03-31 04:26 UTC：npm 进一步发布安全占位包，彻底阻断 plain-crypto-js@4.2.1 的安装。

整个攻击窗口不到 3 小时，却覆盖了 Axios 两个主要版本线，下载量巨大（Axios 每天百万级安装）。

攻击者到底是怎么得手的？

关键在于 npm 账户凭证被窃取，而非 GitHub 仓库被入侵：

1、攻击者将 jasonsaayman 的注册邮箱改成 ifstap@proton.me（攻击者控制的 ProtonMail）。

2、使用长期有效的 npm 访问令牌（classic token）手动发布包，而绕过了Axios 官方的 GitHub Actions + OIDC 可信发布机制。

3、证据：合法的 1.x 版本都有 gitHead 字段和 OIDC 签名，而恶意 1.14.1 完全没有这些字段，也没有对应的 GitHub commit/tag。

开发者小贴士：以后看到 npm 包版本突然“手动发布”（没有 CI/CD 痕迹），一定要警惕！

恶意代码如何“悄无声息”植入？

攻击最狡猾的地方在于“幽灵依赖”（phantom dependency）：

1、在 axios@1.14.1 和 0.30.4 的 package.json 里偷偷加了一行：

"plain-crypto-js": "^4.2.1"

2、但 Axios 源码里完全没有 import 或 require 这个包！它唯一的作用就是触发 npm 的 postinstall 钩子。

3、安装流程：npm install axios@1.14.1 → npm 自动拉 plain-crypto-js@4.2.1 → 执行其 postinstall: "node setup.js" → 木马启动。

这种“只在依赖里出现、不在代码里使用”的手法，非常隐蔽，普通 grep 源码都发现不了。

木马（RAT）到底干了什么？

plain-crypto-js@4.2.1 里的 setup.js 是一个高度混淆的 dropper（投放器），支持 macOS / Windows / Linux三平台：

1、连接 C2 服务器（http://sfrclak.com:8000/6202033）下载第二阶段 payload。

macOS：用 AppleScript 写临时文件，下载 RAT 二进制到 /Library/Caches/com.apple.act.mond，静默执行

Windows：用 PowerShell + VBScript 隐藏窗口，下载 .ps1 脚本，伪装成 wt.exe

Linux：直接 curl 下载 Python 脚本到 /tmp/ld.py。

2、自清除：执行完后删除自身痕迹，并把自己的 package.json 替换成干净版本，增加取证难度。

一句话：安装即感染，无需手动运行任何命令，属于典型的供应链后门。

GitHub 社区的快速响应

• 社区第一时间在 Axios 仓库 #10604 报告问题，并附上 StepSecurity 分析链接。

• 维护者迅速 pinned 该 issue，尝试触发干净版本发布（1.14.2），并呼吁 npm 吊销所有 token。

• 多家知名项目（Streamlit、Laravel、Apollo 等）已紧急 pin 版本或 revert 依赖。

目前恶意包已从 npm 下架，GitHub 账户权限问题仍在处理中。

给开发者的实用建议

1、立刻检查：npm ls axios 或 yarn why axios，确认自己项目里没有 1.14.1 / 0.30.4。

2、锁定安全版本：

"axios": "^1.14.0" // 或明确 "1.14.0"

推荐使用 npm audit 或 dependabot 自动监控。

3、养成好习惯：

• 开启 npm audit fix --force 前先看变更。

• 使用 pnpm 或 yarn 的 lockfile + 严格版本锁定。

• 生产环境建议走内部镜像或 Snyk/StepSecurity 等供应链扫描工具。

4、监控异常：关注 postinstall 脚本、网络外联（尤其是陌生域名）。

给安全从业人员的进阶思考

• 供应链攻击趋势：2024-2026 年此类“维护者账户+postinstall RAT”攻击频发（类似 event-stream、colors.js 等）。核心是凭证泄露而非代码仓库入侵。

• 检测要点：

• 恶意 shasum：axios@1.14.1 (2553649f232204966871cea80a5d0d6adc700ca)

• C2 域名：sfrclak.com

• 文件路径：/Library/Caches/com.apple.act.mond、/tmp/ld.py、%TEMP%\6202033.ps1 等。

• 包元数据：无 OIDC、无 gitHead、手动发布。

• 依赖图：新增未被引用的包 + postinstall 钩子。

• IOC（可直接用于规则）：

• 防御升级：建议组织引入 npm 发布双因子 + OIDC 强制、SBOM 生成、持续供应链扫描（OSV / Dependency-Track）。

总结

这次攻击虽然被及时遏制，但暴露了开源维护者单一凭证的风险。Axios 作为数百万项目的基石，一次短暂入侵就可能波及全球开发者。供应链安全不是“别人家的事”——每一次 npm install 都是信任链的一环。希望这次事件能推动更多团队从“被动打补丁”转向“主动供应链防御”。

如果你正在用 Axios，或者负责项目依赖安全，欢迎把这篇文章转发给团队，一起把风险降到最低。遇到新动态我会继续跟进！

参考：

https://www.stepsecurity.io/blog/axios-compromised-on-npm-malicious-versions-drop-remote-access-trojan

https://github.com/axios/axios/issues/10604

跳转微信打开

今日未发现新的 SRC 活动上线，不过明天有两场白帽子活动，欢迎大家踊跃参加：

今天要分享的是 SRC 资产监控系统的一个功能更新，新增了企业备案 APP 和程序资产，如图：

不想挖 web 了，看看小程序和 APP 也是个不错的选择，最后欢迎大家注册体验 SRC 资产监控系统，使用上有任何问题都可以跟我反馈：

注册地址：http://src.xazlsec.com（注册码：XAZLSEC 有效期自 4 月 30 日，过时后不再对外随意注册）

如果你想体验一下非 10 积分的 SRC 项目，可以选择小积分充值，10 积分等于 10 元，联系我即可，新加入知识星球、新续费知识星球以及当前知识星球有效期内的同学，可以联系我获得 100 积分赠与。

跳转微信打开

今日未发现新的 SRC 活动上线，目前在活动期内的 SRC 如下：

今天来分享个好玩儿，昨天收集了一些 js map 泄露的路径，为了方便测试，做了一点研究，JavaScript 的 .map 文件是 Source Map（源码映射）文件，用于将压缩、编译后的代码映射回原始源代码。

也有不少网站在发布系统时，没有将 .map 文件删除，导致 map 文件泄露，有了这个 map 文件就可以将混乱的 js 代码还原出来，比如原本的 js 文件内容是这样的：

在 js 的后面增加 .map 后缀，返回的内容是这样的：

接下来可以使用工具将 map 文件进行还原，我用的是一个脚本：

github.com/rarecoil/unwebpack-sourcemap

还原后的代码是这样的：

目录源码一目了然，这代码阅读起来就方便多了，也不知道大家能不能看出我的编辑器，用的是 Trea 集成了 AI 的编辑器，写起代码来很方便，SRC 资产管理系统就是用它一点一点完成的，如果没有它，我也写不出 SRC 资产管理系统。

今天的重点不是用它来写代码，而是用它分析代码中的安全风险，比如上面我已经还原出了 js 的源码，那么接下来就交给 AI 来完成代码分析，找出其中的安全风险，比如告诉它：

帮我只分析 output 目录下的所有文件，找出其中可利用的安全风险点，形成详细的报告

它设计的分析计划如下：

它在思考的过程也极具学习价值，看看如何分析其中的安全风险，部分结果如图：

可以基于分析的结果进行下一步的动作，比如验证风险能否被利用，除此之外，还可以让 AI 帮我们整理其中的 API 接口，然后编写脚本，完成接口的请求并使用 burp 的代理，这样就可以在 burp 上查看是否存在未授权访问的接口问题，比如下面就是 AI 梳理出来的 api 接口列表：

至于还能怎么用，大家自己去玩儿吧，这里只做抛砖引玉，剩下的就看你自己喽。

最后欢迎大家注册体验 SRC 资产监控系统，使用上有任何问题都可以跟我反馈：

注册地址：http://src.xazlsec.com（注册码：XAZLSEC 有效期自 4 月 30 日，过时后不再对外随意注册）

如果你想体验一下非 10 积分的 SRC 项目，可以选择小积分充值，10 积分等于 10 元，联系我即可，新加入知识星球、新续费知识星球以及当前知识星球有效期内的同学，可以联系我获得 100 积分赠与。

跳转微信打开

真诚推荐！

大家好，这里是信安之路！

最近有不少兄弟留言让我再开放一期【AI网站】的永久无限卡名额。

老粉都知道，在去年8月之后，官方已经关闭了永久套餐的付款渠道，并且也取消了【AI网站】永久套餐，这几个月以来购买都是399/年。

但是公众号最近来了不少新朋友，每天都在后台催我，让我增加一些【AI网站】永久套餐的名额，再加上今年2月份【AI网站】进行重大更新，趁新功能上架之前，再给大家一个福利！

临时增加20个永久无限量使用【AI网站】的名额！

原价399/年，今天前20个名额可免费升级为399长期VIP！多一个名额都没有，真的尽力了！

现在仅需399即可使用以下所有功能：

☑ AI智能对话 

☑ AI写代码 

☑ AI绘画 

☑ AI改图/换装 

☑ AI做PPT 

☑ AI读PDF 

☑ AI思维导图 

☑ 持续更新——所有新功能上线后永久免费使用

▼长按扫码购买授权码

399获取长期VIP资格，限量20人

因为咱们集成的功能实在太全太强，为了让大家明白这玩意儿到底有多香，咱们拆开来一个个唠：

二、顶流模型AI对话，助你一臂之力

玩AI的都知道，顶流的几家无非就是这三巨头。

在我的AI平台里，这些对话模型不仅全部接入，而且全是满血版！只要官方有更新，我们基本第二天就能同步上线。

人物模特一键换装，在这里轻松可以实现，是不是叼爆了。

看完之后是不是瞬间被惊艳到了！

所以，之前想买却没抢到名额的朋友，这次真的别再犹豫了！只有20个名额，抢完即止！

▼长按扫码购买授权码

399获取长期VIP资格，限量20人

三、价格粉碎机：399元=长期无限使用权益

用过各种AI工具的兄弟应该最明白，智能对话 + 代码生成 + AI绘画 + 智能改图 + AI办公这种全能套餐，外面随便订一两个工具，一个月的费用就远不止399了。

简单算笔账，假如你自己去分别开通这些功能：

• AI对话工具，一个月150块

• AI编程工具，一个月150块

• AI绘画工具，一个月200多块

三个加起来，一个月就要500多，一年就是6000多块钱，简直离大谱！

而有了我们这款AI，每年在AI工具的花费上再也不需要小万元了。

仅需399元不限量使用，我们包你用到爽！

强悍的文字模型和多模态对话 + 顶配图片模型 + 逆天的修图模型 + 史诗的全能文档解析 + 一生成键PPT……=399元，终身不限随意用

提别提醒：满20人立即关闭终身会员通道，绝不返场！

▼扫码锁定长期使用权益

399元长期使用，仅剩20席

四、AI仿真对话，强悍到无法比拟！

我们选择的模型，皆是目前顶流的一批AI大模型，综合实力在各种比分排行榜上屠榜的存在，专治各种疑难杂症和逻辑问题、科研、论文等问题。

不管你是要写一份严谨的劳务合同、合伙协议，还是生活中需要打个欠条，它都能信手拈来。它不仅逻辑缜密，还能主动帮你规避风险，自动完善细节，简直比请个律师还贴心。

此外，我们还完美支持模型的多模态功能。

遇到不会做的难题？看到看不懂的代码？直接截图扔给它，它瞬间就能给你解析得明明白白。

前阵子家里搞装修需要挑选石材，试着用它的多模态功能去辨别石材图片，它竟然能帮我挑纹路/看品相，其专业程度直接给我看跪了，太牛了

专业级别的编程AI我们也有！在编程界，这个模型就是神一般的存在。写代码、查Bug、写网页，它说第二没人敢说第一。

你想做一个企业官网？把需求告诉它，几秒钟代码就生成了，复制粘贴就能跑，几乎零Bug。

我们的平台还支持代码实时预览，平台里写好的网页，不用部署环境，直接在对话框就能看到运行效果，只要选择我们平台使用AI对话的用户，体验简直爽翻天

再比如：文章、文案、脚本，样样信手拈来。

比如想快速产出一篇公众号推文，小红书爆款笔记。

只需要一句简单描述，它就能立刻输出一篇结构完美、文风自然的高质量内容。

几乎不用二次修改，省心到离谱！

它通过一次性投入，解决了以上多个平台高额订阅费的问题。

说句掏心窝的话，这个价格、这个阵容，市面上找不到第二家。名额一旦抢完，真就没有下次了。

▼扫码抢购，手慢无

名额告急，仅剩20人

五、AI绘图原生绘画，无限畅用

在AI绘画界，从0-1生图领域，这个模型就是永远的神，不接受反驳。

只需输入几个关键词，它就能从无到有创造出惊艳的画作。无论是高端海报、创意插画，还是写实人像、二次元动漫，对它来说都是小菜一碟。

看看这生成的真人照片，细节逼真到毛孔可见：

再看这产品设计图，简直是省钱神器！比如你想设计一款茶包包装，打上“茶包”二字，它给出的效果图堪比百万年薪的设计师作品。

再比如给车厘子做个宣传图，用AI几秒钟出图，不仅省下了高昂的设计费，效果还极其吸睛。

原生绘图接口，功能一个不少：文生图、图生图、高清放大、局部重绘、风格变换……官方有的，我们全都有！

相比原生会员订阅的按时长付费、且限制用量的套餐，我们的AI简直良心到爆！完全没有用量焦虑！

▼扫码上车，开启无限创作

399元长期使用，仅剩20席

六、修图能力，精准高质

我们平台的修图功能真正做到了【指哪改哪】、【不毁原图】，每一处修改都精准细腻，无任何违和感！

给大家举几个实用示例，一看就懂：

去马赛克/修复画质： 以前觉得不可能的事，现在用聚合AI的顶流修图模型，轻松复原。

真人转手办/二次元： 上传照片，一句话指令，秒变精致手办风格。

老照片修复： 别再去某宝花冤枉钱了，10秒钟让模糊老照片焕发新生。

AI试衣/换装： 电商人的福音！不用请模特，直接把衣服“穿”到AI模特身上，省时又省力。

线稿上色： 随手画个草图，它能帮你渲染成精美的室内设计图或插画。

放大看看这个线稿转效果图的质量，这简直是给设计师装上了核动力引擎！

这么好用的模型，其他地方想用都找不到入口，而我们的AI平台全部支持，并且长期更新、不限用量使用！

▼扫码拥有黑科技

399元长期使用，仅剩20席

七、打工人的救星：AI一键PPT

我们AI平台自研的PPT功能，只能用“卧槽”来形容。

老板让你写报告？把主题发给它，它自动调用大模型梳理逻辑、生成大纲，并自动排版成精美的PPT。

内置1000+模板： 各行各业都有，告别到处找模板的烦恼

实时预览： 眼看着PPT在你面前自动生成，这感觉太治愈了。

多种导入方式： 支持纯文本、网址、文件导入，AI自动分析并制作

另外，AI还支持全能文档解析： 扔进去PDF、Word、Excel，它能深度阅读并回答你的任何问题。

就这一个功能，帮你省下的加班时间都值回票价了！

▼扫码解放生产力

399元长期使用，仅剩20席

八、全平台云同步，随时随地畅联

为了支持不同客户端使用体验，我们的AI平台完美适配 安卓、iOS、Windows、网页端。

不管你是在公司用电脑，还是回家躺床上用手机，聊天记录和创作数据全部云端同步，无缝切换，灵感永不断线，399元终身享受便捷！

九、超值赠品：下单即送3000元AI搞钱干货

为了让大家不仅能用上AI，还能用AI赚到自己的第一桶金，我特意准备了三份重磅大礼：

福利1：送价值799元《AI搞钱实操教程》

下单后找客服领取。教程实时更新，涵盖市面上最新的AI变现玩法。无论你是哪个行业，都能找到结合点，里面全是实战案例和拆解，拿来就能用。

福利2：送价值599元《AI写作变现全套心法》

这是我们团队耗时两个月整理的独家秘籍，10万字干货。包括AI写网文、AI做电商文案、AI生成带货视频脚本等，手把手教你变现。

福利3：送价值699元《AI公众号爆文写作指南》

两万字精华，专门教你怎么用AI写出10万+爆文。从提示词技巧到账号运营，全流程覆盖。

注意：以上福利仅限通过此文下单的朋友领取！

▼扫码下单，领取全套教程

399元长期使用，仅剩20席

十、最后唠两句

这20个长期会员的名额，是我们争取了好几次才得来的，主要目的也是为了回馈热爱我们的粉丝。机会永远只留给果断的人，用399元，换取原本需要几万元才能享受的顶级AI服务，这笔账怎么算都划算。

空前优惠倒计时：

满20人前 ➞399元终身使用

满20人后 ➞长期会员通道关闭，只剩年卡

▼不想拍断大腿，就赶紧扫码

399员长期使用，仅剩20席

🎉评论区互动抽奖 🎉

今天高兴，给兄弟们再送一波福利！ 欢迎在底部评论区留言，聊聊：“你最想用我们的AI平台来帮你解决什么具体问题？”

我们将从精选留言中抽取3位走心粉丝直接赠送价值近2000元的『年度会员』一个！

抽奖暗号：留言越真诚和真实中奖率更高哦！冲冲冲~

跳转微信打开

SRC 活动上新，度小满全域翻倍活动，快来挖洞：

周末上线了一个新的功能，字典查询，当你在测试网站功能时，一定会用到 fuzz 功能，比如 Host 碰撞所需的 dns 字典，目录枚举时使用的目录字典，参数发现使用的常用参数字典等等，功能如图：

所有数据均来自实战过程积累的接口、字典经过统计去重后得出的结果，下面一一简单展示下能力：

1、Dns 字典，所有插入子域名库的子域名，会提取前缀作为字典插入到字典表，新插入一个子域名，相对应的字典命中次数加一，可以基于最新哦啊命中次数查询，也可以选择 top 多少个，可一键复制，导入 burp 直接开始 fuzz，非常方便，如图：

2、目录字典分为一级目录、备份文件名、通用漏洞接口、备份后缀以及功能文件名，分别适用于目录枚举的各种场景，数据来自于多年测试漏洞积累的漏洞接口中提炼而来

3、参数字典分为功能类参数、编号类参数、文件类参数、搜索类参数以及其他，适用于不同功能接口的参数名枚举，好不好用，只有试过才能知道

4、载荷字典，用于测试常见的 sql 注入和 xss 漏洞，总结那些好用但不好记忆的 payload，在测试功能漏洞时，一键复制，然后自动化枚举，让漏洞发现更简单

5、手机号字典，这里收录的是国内手机号码段及归属城市，在做手机号枚举时，可以选择北京这类超一线城市号段进行，成功的概率更大，也可以根据业务归属地，选择适合的号段进行测试

6、中文名字典，常用于用户名枚举，比如常见的邮箱地址，使用中文名命名的场景，非常有用

7、管理员用户名字典，主要以数据库服务字典、设备认证以及后台管理员等默认账号密码，数据来源于历史公布的通用系统、设备、服务的默认口令以及常用口令，还支持仅显示用户名或者密码的方式，便于进行口令破解

8、密码字典，默认账号密码无法破解的情况下，已知用户名，可以使用该字典，根据密码设置规则，提取相关字典进行测试，数据来源于大量密码字典分类提取统计所得

以上演示获取的数据量都是 top 10，可以更改 top 数量中的配置，获取全部或者指定数量的字典，大部分排序是通过使用频率来进行，该功能不对任何人开放，需要满足两个条件之一：

1、剩余积分超过 30 分

2、当前解锁有效项目超过 3 个

最后欢迎大家注册体验 SRC 资产监控系统，使用上有任何问题都可以跟我反馈：

注册地址：http://src.xazlsec.com（注册码：XAZLSEC 有效期自 4 月 30 日，过时后不再对外随意注册）

如果你想体验一下非 10 积分的 SRC 项目，可以选择小积分充值，10 积分等于 10 元，联系我即可，新加入知识星球、新续费知识星球以及当前知识星球有效期内的同学，可以联系我获得 100 积分赠与。

跳转微信打开

今天没有新上的 SRC 活动，今天给大家分享一个平台的更新，先来看看当前 SRC 活动：

为了方便测试，在 SRC 平台，增加了工具导航页面，将挖 SRC 的常用工具集成到这里，可以一键跳转：

项目库有点小更新，增加了项目搜索，找 SRC 更方便：

最后欢迎大家注册体验 SRC 资产监控系统，使用上有任何问题都可以跟我反馈：

注册地址：http://src.xazlsec.com（注册码：XAZLSEC 有效期自 4 月 30 日，过时后不再对外随意注册）

如果你想体验一下非 10 积分的 SRC 项目，可以选择小积分充值，10 积分等于 10 元，联系我即可，新加入知识星球、新续费知识星球以及当前知识星球有效期内的同学，可以联系我获得 100 积分赠与。

跳转微信打开

今天又有个 SRC 上新活动了，京东 SRC 高危/严重漏洞双倍积分、中通 SRC 也是双倍积分还累加奖励，平台已准备好资产，快来挖吧：

今天来聊聊测试网站时，需要了解哪些关键信息，当你已经解锁某个 SRC 后，在资产库通过筛选功能，找出其相关的资产，比如：

通过右侧的图片栏可以一目了然的看出网站功能是否正常，选择看起来功能正常的网站作为测试目标进行测试时，可以打开详情页了解一些基本情况，比如是否是通用系统，如图：

指纹识别的结果是一个路由器，截图虽然展示不全，但是也能看到 LANSwitch 这样的文字，了解的一看就知道是一个网络设备，可以打开网站确认一下：

确实是华为的设备，针对这类通用系统的测试，只需要找出其历史出现过的漏洞进行验证测试即可，如果不存在历史漏洞，可以忽略它，不需要花太多时间进行测试。

因为这是一个 IP 站，需要确认其是否是目标资产，之前也发过如何判断一个 IP 站的归属，可以再次复习一下《多种方式确认 IP 资产归属》,这个案例，直接看 C 段证书就能看出来，整个 C 段都是目标的，如图：

或者查看 C 段网站列表，基本都是目标的资产：

上面说的是通用类网站系统，这种不属于目标自研系统，使用的是一些网络设备、开源软件、商业系统类产品，只需要测试历史漏洞即可，如果是自研系统，可能需要我们自己手工一一测试其功能。比如：

指纹识别出来 oss 以及 react-app，这种网站我们需要关注其 js 中隐藏的信息，比如各类 APIKEY、接口等信息，在测试之前，可以先看看平台已经获取到的信息，比如接口：

这里接口收集的可能不全，要完整测试还是需要自己做一次完整接口提取，这里做个大概了解即可，而且提取的结果组合可能存在错误，因为有些网站有一个共用路径然后拼接接口，比如 /api/ 之类的，需要具体情况具体分析，接口来源 js 也都有展示。

然后关于 js 中的敏感信息，可以查看网站 js 信息标签下的内容，抓取到的 js 会在这里展示，尤其关注一下命中关键信息的部分：

了解大概之后，就可以对其进行手工测试了，最后总结一下，重点需要关注的几个部分：

1、是否是目标资产，最好先去 SRC 官网了解测试范围以及测试规范

2、是否是通用系统，可以指导我们的测试方向

3、关注接口和 js 信息，了解其网站架构，制定不同的测试方案

最后欢迎大家注册体验 SRC 资产监控系统，使用上有任何问题都可以跟我反馈：

注册地址：http://src.xazlsec.com（注册码：XAZLSEC 有效期自 4 月 30 日，过时后不再对外随意注册）

如果你想体验一下非 10 积分的 SRC 项目，可以选择小积分充值，10 积分等于 10 元，联系我即可，新加入知识星球、新续费知识星球以及当前知识星球有效期内的同学，可以联系我获得 100 积分赠与。

跳转微信打开

今天分享一个被大家忽略的漏洞，地图 API 的 key 泄露问题，目前还有大量网站存在该风险，不过由于危害不足没有得到重视，在此之前，看看今天有哪些 SRC 有活动：

系统调用地图 key 是付费的，但是价格好像也不高，如果 key 泄露，可以被他人调用刷取额度，导致资金损失，但是成本好像不太高，危害不太够，国内三大地图企业 API 格式及价位。

高德地图

一万次调用 30 块，被盗刷的危害也就是经济损失。案例：

高德 webapi

https://restapi.amap.com/v3/direction/walking?origin=116.434307,39.90909&destination=116.434446,39.90816&key=这里写key

高德 jsapi

https://restapi.amap.com/v3/geocode/regeo?key=这里写key&s=rsv3&location=116.434446,39.90816&callback=jsonp_258885_&platform=JS

高德小程序定位

https://restapi.amap.com/v3/geocode/regeo?key=这里写key&location=117.19674%2C39.14784&extensions=all&s=rsx&platform=WXJS&appname=c589cf63f592ac13bcab35f8cd18f495&sdkversion=1.2.0&logversion=2.0

百度地图

按年付费，如果被盗刷的危害，每日额度别消耗完后，服务提供不可用。案例;

百度 webapi

https://api.map.baidu.com/place/v2/search?query=ATM机&tag=银行&region=北京&output=json&ak=这里写key

百度 webapi IOS 版

https://api.map.baidu.com/place/v2/search?query=ATM机&tag=银行&region=北京&output=json&ak=这里写key=iPhone7%2C2&mcode=com.didapinche.taxi&os=12.5.6

腾讯地图

固定配额，被盗刷的危害，每日额度别消耗完后，服务提供不可用。案例：

腾讯 webapi

https://apis.map.qq.com/ws/place/v1/search?keyword=酒店&boundary=nearby(39.908491,116.374328,1000)&key=这里写key

SRC 监控平台，发现大量网站存在地图 API key 泄露的情况：

由于危害不足，没有引起大家的注意，各大 SRC 可能不收录相关风险，你是否交过类似漏洞，是否被收录，欢迎留言！

最后欢迎注册体验：

平台地址：http://src.xazlsec.com（注册码：XAZLSEC）

如果你想体验一下非 10 积分的 SRC 项目，可以选择小积分充值，10 积分等于 10 元，联系我即可，新加入知识星球、新续费知识星球以及当前知识星球有效期内的同学，可以联系我获得 100 积分赠与。

跳转微信打开

今天要分享的是白帽子测试安全规范，在此之前还是要分享一下当前有奖励活动的 SRC 有哪些：

之前一月份出台了一份《网络犯罪防治法（征求意见稿）》目前还处于征求意见的阶段，其中有一段与所有白帽子相关，如图：

如果这个规定正式发布，那么所有白帽子在测试目标之前都需要获得网信部门的批准和授权，那么对于挖企业 SRC 来说是否有影响？昨天已经有 SRC 出台了相关测试规范，要求测试企业资产之前，需要先申报获得审批后才可以进行测试：

后面还明确提供了需要申请的信息填写规范，还比较详细，相当于是实名测试：

对于企业而言，可以有效控制白帽子的测试影响，对于未授权测试导致生产事故的白帽子可以追责，而对于白帽子而言，测试每一个系统都要进行授权申请，无异是增加了白帽子工作量，整体来看是行业的进步，能够降低一些黑灰产人员冒充白帽子做一些恶意测试。关于此，你有什么看法？欢迎留言讨论。

最后欢迎注册体验：

平台地址：http://src.xazlsec.com（注册码：XAZLSEC）

如果你想体验一下非 10 积分的 SRC 项目，可以选择小积分充值，10 积分等于 10 元，联系我即可，新加入知识星球、新续费知识星球以及当前知识星球有效期内的同学，可以联系我获得 100 积分赠与。

跳转微信打开

今天要分享的是如何确认 IP 的归属，在此之前还是要分享一下当前有奖励活动的 SRC 有哪些：

要确认 IP 的归属，主要通过域名解析记录、端口证书信息、同 C 段下的资产信息已经网站中的蛛丝马迹。

子域名解析

这个最常见，如果只有一个域名解析到该 IP 地址，那么可以确定该 IP 的归属，如果多个域名解析到该 IP，且这些域名都不属于一个公司，那么这个 IP 可能是云服务的 IP 地址，不属于任何一方域名，而是属于云服务提供商，比如 CDN 服务或者云 WAF 等 SaaS 服务。比如：

IP 存在解析记录关联，也可以通过那些收录大量解析记录的网站反查 IP 解析记录，比如：

我们再来测试一个云服务的 IP 地址：

我们可以看到有一万多个域名解析，这就是明显的区别，在我们的 SRC 平台在收集资产的时候，已经对云服务的 IP 做了自动化识别，尽可能减少针对云服务 IP 的端口监控，从而降低噪声，提高测试效率。

端口证书

这种方式需要目标给端口配置证书后才可利用，证书配置的端口可能是任意一个开放的端口，所以在获取证书信息时，需要先做端口扫描，然后再针对端口提取证书信息，这部分工作已经集成到 SRC 平台的自动化信息收集中，比如：

有这个作为资产证明的依据也是完全可以的。

同 C 段资产

如果相同 C 段下的 IP 关联到的证书域名同属于一个公司，那么这个 IP 段就有可能是该公司所注册，那么这个 C 段下的所有 IP 地址都属于该公司，比如：

这个方法可能存在误报的情况，那么可以再检查一下同 C 段下的网站资产是否同属一个公司，如果存在一个例外，那么这个 C 段属于该企业的结果就不再成立，比如：

发现一个公司 深圳市晶瑞系统科技有限公司，经过爱企查查询该公司并不属于上面的平安银行，所以可以确定该 C 段不属于目标：

所以在测试 IP 资产时，一定要先确认一下 IP 站点是否属于该公司，如果不属于，请忽略它，不做无用功，作为一个通用性平台，可能无法做到资产完全正确，一定存在各种例外的情况，所以需要你在测试之前，确定好范围以及当前测试目标的归属问题。

网站页面

国内的网站发布需要在页面中增加备案号等信息，那么如果 IP 站点页面存在备案号信息，可以通过备案号反查来确认，比如：

通过备案号查询归属，点击备案号的链接，直接可以去官方查询：

网站也许没有陪孩子备案号，但是还有一些 logo、图片、文字等信息，也可以作为确认归属的证据，比如：

还可能有一些引用了大量目标 js 信息的情况，比如：

通过查看网站详情页，多方面数据组合可以很快确认目标资产的归属，测试起来一目了然。最后欢迎注册体验：

平台地址：http://src.xazlsec.com（注册码：XAZLSEC）

如果你想体验一下非 10 积分的 SRC 项目，可以选择小积分充值，10 积分等于 10 元，联系我即可，新加入知识星球、新续费知识星球以及当前知识星球有效期内的同学，可以联系我获得 100 积分赠与。

跳转微信打开

今天要分享是本周 SRC 平台的一个小更新，在此之前还是要分享一下当前有奖励活动的 SRC 有哪些：

本周对网站详情页做了一个小更新，增加了网站的变更记录，如果网站后续发生变更后，可以直观的看到，主要变更包括标题变更、截图变更、指纹变更、server 信息变更等，如图：

上面的案例是刚发现的资产还未截图，所以没有截图变更记录，下面的案例就是比较完整的案例：

最后欢迎注册体验：

平台地址：http://src.xazlsec.com（注册码：XAZLSEC）

如果你想体验一下非 10 积分的 SRC 项目，可以选择小积分充值，10 积分等于 10 元，联系我即可，新加入知识星球、新续费知识星球以及当前知识星球有效期内的同学，可以联系我获得 100 积分赠与。

跳转微信打开

今天来分享一下在开发 SRC 资产管理系统时，如何给网站去重，从而降低测试范围提高测试效率的，在此之前还是要分享一下当前有奖励活动的 SRC 有哪些：

回到正题，我的去重方法其实很简单，在获取完网站的基本信息包括 header、body 后，提取网站固定字段后，进行 md5 哈希计算，以此作为网站的唯一性校验。

以 src 平台作为案例，获取到的 header 信息为：

Content-Length: 6567
Accept-Ranges: bytes
Connection: keep-alive
Content-Type: text/html; charset=utf-8
Cross-Origin-Opener-Policy: same-origin
Date: Thu, 12 Mar 2026 02:54:38 GMT
Keep-Alive: timeout=4
Proxy-Connection: keep-alive
Referrer-Policy: same-origin
Server: openresty
Vary: Cookie
Via: CHN-SXlinfen-CUPN1-CACHE13[104],CHN-SXlinfen-CUPN1-CACHE34[100,TCP_MISS,102],CHN-HEshijiazhuang-GLOBAL1-CACHE62[56],CHN-HEshijiazhuang-GLOBAL1-CACHE68[46,TCP_MISS,49]
X-Ccdn-Cachettl: 0
X-Ccdn-Origin-Time: 46
X-Ccdn-Req-Id-46b1: 1395fcb56c6cdb9350d467a348895142
X-Content-Type-Options: nosniff
X-Frame-Options: DENY
X-Hcs-Proxy-Type: 0

从 header 中提取 header key，也就是以冒号分割，前面的那一列，比如：

Content-LengthAccept-Ranges....

然后提取几个固定的字段内容，比如 Server 的内容 openresty、Content-Type 的内容 text/html; charset=utf-8，还有网站的响应状态码。

然后从 body 内容中提取出标题，比如：开启 SRC 漏洞赏金之旅，除此之外还需要根据不同的网站类型，提取域名或者 IP 作为关键词。

在 SRC 系统上，针对网站资产划分为三类：域名网站、IP 网站以及组合网站。

域名网站就是通过域名直接访问的网站，IP 网站就是通过 IP+端口组合起来访问的网站，而组合网站就是通过 Host 碰撞，通过 IP+80 或者 IP+443 然后变换请求 header 中的 Host 字段枚举出来的网站（这部分也是咱们平台的特色功能）。

根据不同的网站类型，提取域名或者 IP，当网站类型是域名网站和组合网站时，通过提取主域名+headerkey+关键字段内容+标题来获取哈希值，如图：

而 IP+端口的 IP 网站则通过 IP+headerkey+关键字段内容+标题来获取哈希值，如图：

headerkey 的获取，就是提取相应 header 中的所有 key，来组成一个字符串，最终根据不同的网站类型结合哈希值来确保没有重复的网站，这样的效率相对较高，但是也可能会存在漏报和误报的情况。

最后推荐大家重点关注下组合网站的资产，可能会发现一些隐藏在内网的资产以及 CDN、云 WAF 背后的真实网站，说不定一下就能发现隐藏漏洞，最后欢迎注册体验：

平台地址：http://src.xazlsec.com（注册码：XAZLSEC）

如果你想体验一下非 10 积分的 SRC 项目，可以选择小积分充值，10 积分等于 10 元，联系我即可，新加入知识星球、新续费知识星球以及当前知识星球有效期内的同学，可以联系我获得 100 积分赠与。

跳转微信打开

报喜，昨天注册平台并解锁某讯 SRC 项目的用户，仅 1 小时，首个某讯超低危漏洞确认了：

今天准备给大家聊聊这个系统的定位问题，很多同学把它理解成自动信息收集的平台，其实，并非一个单纯的信息收集平台，在开始之前，先看看当前有效的 SRC 活动有哪些（没有收录的欢迎提供活动地址）：

当前有活动的项目都是优质项目，如果你要开始挖 SRC，可以选择其中任意一个，可以价值最大化。

这个系统设计之初是方便我做手工测试的资产管理，当我测试完一个系统之后，我可以给这个资产打个标记，写个备注，表明我已经测试过，无需再次测试，当资产发生变化时，再进行测试，所以应该是一个测试记录管理系统。

随着数据和信息的收集，其实服务器成本、时间成本都挺高的，而且有上万的系统可以测试获得赏金，自己一个人又测试不过来，所以独乐乐不如众乐乐，于是设置开发了用户系统，为每一个使用系统的人都可以有自己独立的测试记录，成为一个 SRC 挖洞的 SaaS 平台。

经过多年的发展，通过自动化手段发现 SRC 漏洞的可能性越来越小，手工挖洞势在必得，但是在自己想要挖一个项目之前，首先需要做的就是获取资产，当你选择自己做信息收集时，服务器成本和时间成本都不低，不是为了学习而去信息收集，倒不如花点小钱，订阅一个项目来的划算。

前面的几篇文章已经介绍了不好关于该平台的所涉及的技术内容，平台在信息收集方面已经涵盖了 SRC 所关心的子域名、IP、C 段 IP、网站指纹、JS 关键词匹配、接口收集等等重要内容，数据还在持续更新中，针对网站的截图和 JS 信息匹配所消耗的时间比较长，这是一个非常漫长的过程。

该平台只提供了资产浏览以及给资产打标记和备注的功能，让挖洞变得更加专注，无需关心任何信息收集的事儿，只需要打开网站按照自己的 CheckList 完成测试即可，挖到漏洞，一键直达 SRC 提交地址，真心好玩儿，不信你试试。

注册地址：http://src.xazlsec.com（注册码：XAZLSEC）

新加入星球、新续费星球以及星球有效期内的同学都可以联系我领取 100 积分，100 积分可以解锁平台任意项目比如阿里、腾讯等超大型 SRC：

跳转微信打开

跳转微信打开

今天来分享一下 SRC 监控系统关于一个网站都能看到哪些信息，在此之前，先看一下当前有效的 SRC 活动：

如果有 SRC 活动没有统计到的，欢迎公众号后台私信活动链接，我会及时更新至平台，让更多人看到。

当你已经注册了 SRC 赏金平台，每一位新用户会有 10 个积分可以解锁任意一个十积分的项目作为测试：

平台地址：http://src.xazlsec.com/（注册码：XAZLSEC 有效期至 4 月 30 日）

在解锁完项目之后，资产库中会展示所有已解锁项目的网站资产：

随便打开一个网站的详情页，我们可以看到很多相关信息，比如最基本的信息：

能够从图中看到标题、截图、指纹、服务器类型以及归属公司等等，下方不同标签下有更详细的相关联信息：

上图是主域名相关的信息，比如注册服务商、过期时间、DNS 的一些解析记录，是否泛解析等，再来看一下子域名信息标签下的内容：

子域名标签下除了关联 IP、CNAME 等基本信息外，还包含了所有相同主域下的所有子域名的解析记录，通过链接可以直接跳转查询相关资产，接下来看相似网站标签下：

相似网站是通过标题作为比对方式，统计相同公司下与当前网站标题一致的所有网站，这里的信息可以帮助我们发现 CDN、WAF 背后的真实地址，当然，也不是百分之百一样，因为会存在标题一样系统不同的情况在，接下来看 C 段端口信息：

当同 C 段扫描到端口之后，会在此处一一列出，因为有些公司是存在申请 C 段的情况，那么如果该 C 段存在一些高危端口时，也是可以作为目标资产进行测试的，上图的案例中无端口信息，是还没有扫描出数据来，随着时间的推移，数据会越来越多的，接下来看 C 段证书信息：

这里记录了与当前网站同属一个 C 段的所有 IP 上配置的证书信息和端口开放数量的统计，可以一目了然，该段是否属于该公司，接下来看 C 段网站列表：

这里统计了同属一个 C 段下的所有网站资产，经过三个 C 段信息统计，对与目标网站相关的 C 段能有个非常详细的了解，接下来看网站接口信息：

在信息收集过程中，会从网站首页和 JS 中提取 URL 接口进行保存，如果从网站中提取到接口，那么就会在这里进行展示，为了方便测试，可以使用导出 CSV 功能，一键导出，最后是 JS 信息：

图中关于 JS 拦截部分其实并非真的拦截，只是匹配到了一些固定规则，比如 jquery 这种不需要分析的 js，在测试时无需关注的通用 js 库，会在这里展示，当你点击详情时，可以看到该 js 的作用：

JS 资源列表中的 js 就是比较关键的，尤其是状态为命中关键信息的部分，这部分信息来自于规则匹配，在信息收集时制定的关键规则，比如：

其中可以看到 source map 的路径，一些用户的邮箱名，手机号等等，看着是不是非常有用，等等，我好像发现信息泄露的漏洞了，随便选了个案例，就发现了漏洞，真是太好玩儿了，还等什么，赶紧来体验吧！

对了，新加入信安之路知识星球或者续费知识星球可以获得 100 积分的赠送，还在有效期的同学也可以注册完找我领 100 积分。

平台地址：http://src.xazlsec.com/（注册码：XAZLSEC 有效期至 4 月 30 日）

跳转微信打开

今天来聊一聊从主域名如何扩展出更多的网站资产，我收集的网站资产除了常规的通过 IP 访问或者通过域名访问之外，还有一个比较特色的资产就是组合网站，通过访问 IP，修改 Host 来访问网站，这类网站可能是内部系统也可能是 CDN、WAF 背后的真实网站，也就是绕过 CDN、WAF 之后的网站。在此之前，先来看一下 SRC 活动有哪些：

主域名到网站需要经历几个步骤，同时对应 IP 站点、域名站点以及组合站点的类型：

1、主域名到子域名的扩展

这个技术没啥新的东西，都是老生常谈的技术点，主要分为主被动收集，主动收集也就是主动探测，也就是子域名枚举技术，被动收集就是无需主动探测的情况下，使用别人已经整理好的数据。

主动收集

为了更好的收集子域名，我在插入子域名时，会将域名前缀插入到数据库，作为一个动态更新的数据，应用到后续的枚举中：

在自动化枚举时，选择频率大于某个数值的字典列表进行枚举，可以让数据动态化，具备更好的效率，在子域名枚举时使用的工具是 ksubdomain 老版本，新版本的问题在于虽然速度快，但是结果存在混乱的情况，所以选择了一个结果比较准确的版本。

在子域名枚举时，会遇到泛解析的域名，大大影响枚举的效率，所以需要对主域名检查是否存在泛解析，只对不存在泛解析的主域名进行枚举，而存在泛解析的域名直接用于后续的网站爆破操作。

我会对每一个新增的主域名，做一次 whois 查询以及 DNS 查询，主要查询主域名相关的注册有效时间、MX 记录、NS 记录以及是否存在泛解析。

基于这些信息，可以判断其是否存在 spf 配置错误问题。

被动收集

关于域名信息，首批信息来自于我这几年的积累，积累的过程已经包含了子域名枚举、第三方数据以及历史爬虫收集到的子域名，所以就没有再做被动收集的事儿，如果没有任何积累那么就需要自己去收集，可以收集的平台很多，比如 rapiddns、各大网络空间搜索引擎、各大搜索引擎等，常用的工具比如 Oneforall、subfinder 等知名工具。

关于这部分就不多说了，对于系统上的数据，都是多年积累下来的数据。

2、子域名到 IP 再到 IP 段的扩展

在插入子域名时，同时也会查询子域名的 cname 记录以及 IP 地址，通过 cname 记录可以发现一些子域名接管的问题，而 IP 地址可能存在非企业真实 IP 而是云服务的 IP，针对云服务的 IP 是没有必要做端口监控的，因为它的端口基本固定，而且还存在开放所有端口的情况，导致端口扫描的结果非常多，大大影响扫描效率。

因此，我还对所有解析的 IP 进行了云服务的识别，主要识别方式通过 cname 记录规则以及同 C 段证书信息来判断：

将所有 IP 划分为 C 段，判断归属依据主要是端口 banner 和 cname 记录的域名，我整理的 cname 规则如下：

上面是通过子域名解析的 IP 来扩展 IP 段，还可以通过主域名去网络空间搜索引擎中搜索 IP 段，我这里主要使用的是 shodan 去查同一个主域名的 IP 段进行扩展。

最后基于收集到的 IP 段进行端口扫描，最后基于端口去获取网站信息进行更新。

3、网络空间中主域名证书到 IP 再到 host 枚举的扩展

为了发现更多的隐藏资产，当一个 IP 的 https 端口上配置了域名证书时，我会提取该域名下的所有子域名以及提取出现频率比较高的字典，通过 host 碰撞技术来发现更多网站资产，也就是组合网站类型的来源：

截图中就有无法直接访问的系统，需要修改 host 来请求网站，更多好玩的信息欢迎注册体验：

平台地址：http://src.xazlsec.com（注册邀请码：XAZLSEC 有效期至 4 月 30 日）

跳转微信打开

今天来分享一下我的 SRC 资产监控系统中关于 SRC 初始资产（就是符合 SRC 收录条件的主域名）的收集方式，在此之前，先来看一下今天有效的 SRC 活动有哪些：

登录 SRC 资产平台就可以看到来源的和活动具体内容，欢迎注册体验：

http://src.xazlsec.com（注册码 XAZLSEC，有效期自 4 月 30 日）

平台一共有五类 SRC：

每一类的资产覆盖范围的收集略有不同，比如漏洞盒子企业和补天专属，会在介绍中固定资产范围，比如：

这里没有明确不收录的情况下，可以对其扩展相同备案号下的主域名。

对于企业 SRC 而言，不同企业的收录范围在平台上的介绍也不尽相同，有的写的比较明确，有的比较模糊，也能有个比较粗略的条件，通过爱企查、天眼查等平台查询，满足股权占比百分 50 以上的子公司都属于收录范围。

所以针对每一家企业都需要去查询股权穿透图，来找寻满足控股要求的所有子公司，然后通过公司名称查询其备案的所有主域名，比如：

点进去之后，可以看到公司网站地址，从而获取该公司的一个主域名：

再通过这个主域名，查询备案号，然后进行反查：

然后通过备案号，查询注册的所有主域名：

点击详情就可以看到主域名信息：

我在做这部分信息收集时，无论其收录范围如何，都会进行主域名的扩展，如果遇到明确的不收录范围时，我会在平台上进行设定黑名单，在资产更新时，自动匹配黑名单规则，不进行插入更新操作：

以上主要是国内的 SRC 主域名资产的收集方式，关于 HackerOne 上的项目，我只收集了明确泛解析域名范围的目标，只有几个网站的收录范围就没有收录，比如：

以上就是关于各个 SRC 项目中主域名范围的来源，后续针对所有主域名进行统一的子域名信息收集，下一篇来聊一聊从主域名到网站资产的进化之路，欢迎注册体验:

http://src.xazlsec.com（注册码 XAZLSEC，有效期自 4 月 30 日）

跳转微信打开

今天元宵节，上线了一个开发了四五个月的系统，用来监控国内外漏赏金平台的网站资产，让用户更专注于漏洞挖掘本身，随时想测，随时测，不再耗费大量时间用于信息收集，系统的核心在于动态更新，持续监控。

目前来说，以功能实现为主，初步完成了一次信息收集，持续监控还未完全上线，还需持续优化完善，当前关键指标：

平台地址（注册邀请码：XAZLSEC，有效期至 4 月 30 日）：

http://src.xazlsec.com/

注册登录之后，可以看到一些基础信息（个人关键指标，SRC 活动信息，测试统计等）：

用户可以根据当前 SRC 的活动来选择目标参与，为了更好的统计每天的测试数量，画了一个趋势图，更好的体现工作过程：

这个表的数据来源是，当你测试完一个网站时，需要对这个网站进行标记，可以是忽略，也可以已测试，

当网站是通用系统时，可以测一测历史漏洞，如果是非正常业务系统，可以选择忽略，这样对于后续新增资产的测试就更有针对性，效率更高。

平台当前收录了 266 个 src 平台，包括五类（补天专属、盒子企业、企业自建SRC、HackerOne、漏洞银行），如图：

根据该 SRC 的收录范围大小进行积分设置，需要监控的资产越多，解锁需要消耗的积分则越大，不过大多数都是 10 积分，新用户注册会赠送 10 积分用于测试体验。

最后一个核心功能就是资产库，这里会展示用户所解锁的所有 SRC 所涉及的网站资产：

每个网站的详情页包含主域名、子域名、IP、IP 段、网站基本信息、截图、接口、JS 等关键信息：

数据如何采集，又有哪些亮点，咱们下一篇文章为大家揭晓，现在你可以去注册体验了，有任何 bug 欢迎联系我进行反馈。

最后提一下注册地址：http://src.xazlsec.com，注册码：XAZLSEC（有效期至 4 月 30 日）

阅读原文

跳转微信打开

又是一年末，从 21 年 3 月离职，成为一名自由职业者，已经接近五个年头了，简单总结一下今年的工作成果吧，我的主要工作包括三个部分：自动化挖洞、维护开发运营产品、自媒体。

从 21 年开始，收入方面一年不如一年，一方面是经济下行导致，另一方面也是自己的选择和努力方面自身原因，别的也不多说了，总结一下主要工作成果吧。

自动化挖洞

今年在补天提交的漏洞数量超过 6 万，总漏洞提交数超过了 10 万，自我感觉贡献不小，还挺有成就感的，毕竟为国内互联网的安全努力贡献了一份力量，让国内的互联网更安全，如图：

毕竟是公益漏洞，收入方面就不说了，这些漏洞的发现和提交都已经实现自动化，今年除了维护和更新自动化工具外，其他都交给电脑 24 小时运转，个人精力方面消耗不算太多。为此补天给了一个领奖的机会，再一次去现场领了个奖，老齐亲自颁奖：

去现场当着那么多人领奖，相当有成就感，不信，你也可以试试！

维护开发运营安全产品

我目前主要开发和运营的产品有四个，已经上线的有三个，第一个就是成长平台，今年注册的人比较少，参与学习提交学习报告也不多，一共也就审核了 54 份报告，AI 的冲击下，大家更没有沉下心学习的激情了。今年也用 AI 给成长平台换了个首页：

另外一个就是专门给【信安之路知识星球】有效期内成员开发的内部文库系统，文档数从年初的 5000+ 增加到如今的 8400+，文档数增加了三千多，如图：

这部分工作消耗的精力比较多，也比较累，虽然在 AI 时代，知识获取仅需一个问题，但是文库作为一个体系化学习的工具，也还是有存在的必要，对我而言，将所学所感形成文档整理编辑出来，也是一件非常有意义的事儿，顺带能帮助一些人就足够了。

在一个就是 POC 管理系统，从年初收录的 4217 个，到现在的 6374 个，更新了接近两千个，这部分工作主要还是依靠 AI 的能力，将大量非 nuclei 模板转为 nuclei 模板文件，大大提升了工作效率，但也是耗费了大量时间和精力的，如图：

以上就是去年就已经开发上线的三个系统，今年最后两个月开始开发一个新的系统，将我多年自动化的经验转换为一个可以自动化监控资产的系统，也计划将其作为一个 C 端产品对外开放，首页：

用户只需解锁某个 SRC 即可监控其所有资产，包括子公司的资产，进入 SRC 后，可以看到所有网站地址，包括网站的各种信息，比如标题、截图、接口等，主要用于手工测试参考，可以给网站设置状态以及增加备注，如图：

目前系统还是在开发中，进度差不多有百分之八十了，争取尽快上线，所有代码均由 AI 完成，核心逻辑需要自己来掌控，其中涉及到的技术点还是挺多的，如图：

上面的脑图中标红的就是已完成的工作，未标则是未完成的工作，还有不少工作要做，我会先用一段时间后才会上线该系统，自己都不用的系统，也没必要给别人去用了，不是吗？

自媒体

今年自媒体部分的工作做的应该是历年最少了，今年没有接到一个广告，自己发的技术文章也没多少，感觉进入了一个恶性循环，越没收入，越没动力更新，越没动力更新，越没收入，整个一个躺平的状态。今年具体发了哪些文章，大家还是去公众号主页去看吧。

这个文章作为 2025 年的最后一篇，一方面汇报一下自己的工作成果，一方面给 2025 年画个句号。2026 年我的计划是将 SRC 资产监控系统完善上线运行，然后基于这套系统获得赏金，然后在此过程中，整理输出大量文档，同时分享所学所感，希望形成一个正向循环，即获得不错的收入，又能帮助到一些人，2025 加油！！！

阅读原文

跳转微信打开