爱豆文档 - 信息技术文档下载平台 - idocdown.com （部分文档，免费下载）

. . . . . .

黑名单只防了 AWS？Directus 默认配置下 SSRF 直通国产云 metadata

# 黑名单只防了 AWS？Directus 默认配置下 SSRF 直通国产云 metadata > 一句话结论：Directus 的 SSRF 默认黑名单 IMPORT_IP_DENY_LIST 只写了两条——本机代表地址 0.0.0.0 和 AWS 的 169.254.169.254，而腾讯云的 metadata 地址是 169.254.0.23、阿里云是 100.100.100.200，全都不在名单里；实测在默认配置的 Directus 12.2.0 上，链 A（低权限账号的 /files

2026-10-25 15:29:05

inspect 逃逸：FastGPT 沙箱的黑名单防线为什么不可靠

# inspect 逃逸：FastGPT 沙箱的黑名单防线为什么不可靠 > 一句话结论：FastGPT v4.14.8 的 Python 沙箱有四层防护（模块黑名单、AST 静态检查、open 守卫、import 守卫），但四层都是「黑名单 + 藏引用」同一个套路：黑名单漏了 inspect，AST 只拦双下划线属性不管 f_globals，两个守卫的原始引用 _original_open/_original_import 就明晃晃放在模块全局——六行 payload 即可穿透全部四层，在 v

2026-10-25 15:22:25

APP抓包-模拟器Android9+

# APP抓包-模拟器Android9+ > 一句话结论：Android 9+ 模拟器抓 HTTPS 的完整链路是「Magisk Delta 供 root → LSPosed 承载模块 → TrustMeAlready 破证书不信任 → Charles 做中转代理 → Postern 把模拟器流量塞进代理 → Burp 导入 Charles 证书后做流量分析」，其中三个最容易翻车的点是：装 Magisk 前必须先挂载可写的 /system、装完必须从 Magisk 主页点 X 再重启、旧的 s

2026-10-25 15:20:09

CTF PWN 入门基础详细教程

# CTF PWN 入门基础详细教程 > 一句话结论：PWN 的本质是「在受限的进程内存里，用输入劫持控制流」——先吃透编译链接装载、ELF 段表、栈帧布局与调用约定，再按 ret2text、ret2shellcode、ret2syscall、ret2libc、格式化字符串这条主线逐个击破，最后用 checksec 认识 NX、ASLR、Canary、PIE、RELRO 五层防护与对应的绕过思路。 > 排版说明：本文为兼容纯文本存储环境做了等价书写——原文中的反斜杠转义序列一律改为十六进制字

2026-10-25 15:18:54

通过UDRL看前置式反射DLL注入

# 通过UDRL看前置式反射DLL注入 > 一句话结论：UDRL（User Defined Reflective Loader）不是新技术，而是反射 DLL 注入（RDI）的演进版。它解决的不是「怎么把 shellcode 送进去」，而是「进去以后 beacon.dll 怎么被加载」——用自定义加载器替换 Beacon 内置的默认 Reflective Loader，改掉内存里的 PE 映射痕迹，从而绕开安全厂商对标准 RDI 的特征捕获。本文以 CS 泄露套件里的 UDRL 为例，用 VS

2026-10-25 15:13:42

奶龙杯 CTF Pwn 方向四道题目 WriteUp 汇总

# 奶龙杯 CTF Pwn 方向四道题目 WriteUp 汇总 > 一句话结论：四道 pwn，分别练的是「静态链接 ROP + 栈对齐」、「ret2text 后门函数」、「RWX 自修改代码绕 seccomp 的 ORW」，以及「格式化字符串泄露 Canary 与 Libc + 栈溢出 ROP」。本文逐题拆解保护、漏洞点、利用思路与完整脚本。 > 排版说明：为规避排版转义问题，所有脚本里的字符串统一用单引号书写，字节字面量（如 syscall 机器码 0x0f 0x05、换行）用可读形式描述

2026-10-25 15:11:14

同一个目标，为什么不同搜索引擎看到的东西不一样？——从搜索引擎差异到 Web 攻击面发现

# 同一个目标，为什么不同搜索引擎看到的东西不一样？——从搜索引擎差异到 Web 攻击面发现 > 一句话结论：目标、Query、时间都不变，只换搜索引擎，拿到的攻击面并不一样。不同引擎的抓取、索引、排序体系存在天然信息差；对红队来说，这个信息差会直接转化成「你能不能看到某个资产」，甚至「你能不能发现某个漏洞」。结论不是哪个引擎更强，而是多源情报、差集优先。 > 排版说明：本文为规避排版转义问题，集合与流程示意用 ASCII 箭头与文字描述，正文引用一律使用「」。 ## 一、问题的起点在

2026-10-25 15:08:39

空密码的授权令：MariaDB 纯 SQL 攻击链，从 lowpriv 到容器内命令执行

# 空密码的授权令：MariaDB 纯 SQL 攻击链，从 lowpriv 到容器内命令执行 > 一句话结论：攻击者手里只有一个只有 USAGE 权限的低权限数据库账号，唯一外界通道是 3306 端口的 TCP 连接，然后只用 SQL 语句就把整条链走完：先把自己变成数据库 root，再读出服务进程的内存布局，接着堆利用 + JOP 链，在容器内以 mysql 用户（uid 999）执行任意命令。全链不需要读写 /proc//mem、不需要 root 密码，所有地址都是从目标自己身上

2026-10-25 15:07:47

Mysql JDBC利用FD实现不出网利用

# Mysql JDBC利用FD实现不出网利用 > 一句话结论：MySQL JDBC 的不出网利用常靠 NamedPipeSocketFactory 读本地文件。在 Linux 下没有命名管道，但可以换一条路：先用 Tomcat multipart 上传把一个恶意文件变成服务进程里的一个打开的文件描述符，再用 namedPipePath 指向 /proc/self/fd/N，爆破一下 fd 编号就能让 JDBC 读出这个恶意文件触发反序列化，全程不出网。 > 排版说明：为规避排版转义问题，文

2026-10-25 15:06:23

HTB-Certificate：从空字节截断到黄金证书

# HTB-Certificate：从空字节截断到黄金证书 > 一句话结论：这是一台 Windows Server 2019 域控。入口是一个跑在 XAMPP 里的技能认证网站，靠「zip 解压后不再做内容审查 + 空字节截断后缀」拿到 webshell；再从数据库 bcrypt、pcap 里的 Kerberos AS-REP、ADCS 的 ESC3 委派证书一路提到域管，最后导出 CA 证书自签一张 Administrator 的「黄金证书」读取被 EFS 加密的 root flag。 >

2026-10-25 15:04:59

正规短信也能成为攻击载体：验证码洪泛的终端侧检测与保护

# 正规短信也能成为攻击载体：验证码洪泛的终端侧检测与保护 > 一句话结论：当攻击者借大量正规业务平台对某个手机号做分布式验证码轰炸时，每一条短信都是合法的，传统「单条是不是垃圾」的过滤彻底失效。本文的思路是把判定对象从「短信」提升到「号码上的事件流」，用时间衰减密度 + 分布式协同证据 + 攻击状态机，在终端可见的有限数据里识别出「这个号码正被分布式洪泛」。 > 排版说明：为规避排版转义问题，文中的指数、求和等公式用等价的纯文本与常见符号书写，正文引用一律使用「」。 ## 一、从一次真实

2026-10-25 15:02:50

利用整数溢出绕过 EDR 实现 LSASS 进程内存转储

# 利用整数溢出绕过 EDR 实现 LSASS 进程内存转储 > 一句话结论：本文用一条「看起来无害」的 rundll32 命令把 lsass 全内存 dump 出来。它不出现 MiniDump 字符串、不写 #24，而是喂给 _wtoi 一个三十多位的负数，靠 32 位整数溢出的模运算把这个长数字「折叠」成 comsvcs.dll 里 MiniDumpW 的导出序号 24。作者实测可过虎符与数字核晶。 > 排版说明：为规避排版转义问题，文中 Windows 路径的反斜杠统一写成正斜杠，字符

2026-10-25 15:01:43

跳转到页