登录社区云，与社区用户共同成长
邀请您加入社区
据《AI时代网络安全产业人才发展报告》显示，2025年全球网络安全人才缺口已攀升至480万，同比增长19%，而中国网络安全人才缺口年增速达40%，数据安全工程师需求激增300%，供需矛盾成为制约行业发展的关键瓶颈。AI驱动的自动化防御系统可将70%的常规威胁处置任务自动化，导致传统安全运维岗位需求下降15%-20%，但同时催生AI安全训练师、大模型安全审计师等新兴岗位，这类岗位的技能要求涵盖机器学
在现代企业环境中，域控（Domain Controller）和Active Directory承担着核心身份认证与权限管理的职责。几乎所有中大型企业都会部署域环境来集中管理用户、计算机和资源。因此，一旦攻击者能够突破域控，就意味着可以控制整个网络。域渗透不仅是红队演练、APT攻击的常用手段，也是防御人员理解对抗的关键环节。学习域渗透之前，需要具备一定的网络基础（TCP/IP、路由、DNS）以及Wi
控制平面与数据平面分离SDN控制器架构南向接口与北向接口OpenFlow协议基础NFV与传统网络设备的区别VNF（虚拟网络功能）类型业务链（Service Chaining）概念网络自动化工具（Ansible、Puppet、Chef）API与编程接口意图驱动网络（Intent-Based Networking）网络安全产业就像一个江湖，各色人等聚集。
本文介绍基于Microsoft Agent Framework实现的Agent Skills集成方案，采用渐进式披露设计优化Token使用，通过AIContextProviderFactory模式实现无侵入式集成。项目提供完整安全机制，默认禁用危险操作并采用白名单策略，支持线程序列化和依赖注入。开发者可轻松为AI Agent添加可复用专业技能，使Agent能够完成更复杂任务，源码已开源。
2025年的网络安全战场已经演变为"AI对AI"、“速度对速度"的对抗格局。在这样的环境下，渗透测试不再只是合规的"必选项”，更是企业安全能力的"试金石"和"预警系统"。对从业者而言，这既是最好的时代——人才缺口巨大，薪资水平持续攀升；也是最富挑战的时代——技术迭代加速，角色定位剧变。唯有持续学习、主动转型，才能在这场变革中保持竞争力。对企业而言，渗透测试应从"项目式"向"运营式"转变，将其作为持
这篇文章介绍了谷歌官方文档中总结的10个AI Agent商业应用场景。AI Agent不仅是更聪明的聊天机器人，而是能完成一整件事的"数字同事"，会找资料、做分析、做决定并执行动作。文章详细介绍了AI Agent在资料查找、文件处理、创意生成、专家速成等场景中的应用，强调AI的下一阶段是更"能干活"，未来将是多个Agent协作的时代，最值钱的能力是设计工作流程而非简单写Prompt。
Meta以15-20亿美元收购通用Agent公司Manus，引发AI行业震动。此次交易不仅为Manus提供了理想退出路径，也让市场重新评估AI应用层公司的价值。业内人士认为，在技术趋同背景下，具备工程化落地与商业化能力的Agent公司正成为巨头争夺的战略资产。这一事件既激励了AI创业者，也让部分从业者担忧创业窗口收窄。对小白程序员而言，Agent赛道展现了新的发展机遇，但需注重工程化能力与商业化路
堆友平台推出的"来收"海报Agent是一个AI海报生成工具，解决了传统AI生图的版权和编辑难题。用户只需输入提示词并上传产品图，AI即可生成专业海报，并提供可溯源的版权素材生成选项，下载时附赠版权授权书。该工具支持文字和图片的自由编辑，提供版本回溯功能，并配有大量模板供参考。目前产品刚上线限时免费，适合非专业人士使用，打破了专业设计壁垒。
大语言模型是基于海量文本训练的"超级概率预测机器"，通过Transformer架构的"注意力机制"实现语言理解。随着参数规模增长，模型会展现"涌现能力"如代码生成。大模型已成为程序员辅助工具，但存在幻觉和偏见等局限。有效使用的关键在于"提示工程"，通过提供背景、设定角色和明确格式来获得高质量结果。
本文详解RAG系统中的数据召回流程，包含查询优化、混合检索、结果后处理、对话记忆管理和上下文管理五大核心模块。通过多阶段处理确保召回准确性，采用向量相似度与标量过滤结合策略，并实现智能重排序和上下文压缩。系统具备灵活参数调优能力，可应对低置信度召回、记忆冲突等异常场景，为多轮对话提供连贯、精准的知识支持。
文章分析了RAG系统在多轮对话中的语义理解局限，指出其"先检索再增强"的固定流程导致上下文关联性问题。虽然通过记忆功能和问题改写可部分改善，但仍无法完全解决独立对话与语义模糊场景的挑战。相比之下，Agent更符合人类思维模式，能自主判断是否需要数据召回，避免了RAG的机械性，展现出更大的灵活性和适应性。
上下文工程是解决大模型上下文窗口限制的关键技术。模型上下文窗口有固定大小限制（以token计），包含输入和输出，多轮对话时易超限导致模型"失忆"。上下文工程需处理历史记录压缩、提示词结构设计和参考文档处理等问题，目的是在有限上下文内让模型表现更好，输出高质量回答。
传统RAG和多模态RAG以及Agent是不同维度上的东西，并不能混为一谈。自大模型开始大规模应用以来，RAG技术就是其中一个重点应用方向，虽然一直有人说RAG只是一种过渡手段，但不管怎么说RAG是目前很重要的一个应用技术，而且适用于多种领域，如客服，咨询，检索等。但是，随着技术的发展RAG技术也经过了几轮迭代，包括RAG，Graph RAG和Agentic RAG等；而随着多模态技术的发展，多模态
摘要：本文通过Pikachu靶场实战分析了三种XSS漏洞类型：1)反射型XSS通过未过滤的输入直接执行JS代码；2)存储型XSS将恶意脚本存入数据库，造成持续影响；3)DOM型XSS通过前端DOM操作实现攻击，可利用URL传播。文章详细演示了各类漏洞的利用方法，包括构造payload、分析源码及攻击场景，特别指出DOM型XSS通过恶意URL也能造成严重危害。最后预告将继续探讨XSS漏洞的实际应用场
本文介绍了在Pikachu平台上测试不同类型XSS漏洞的方法。对于反射型XSS(GET)，通过修改输入框长度限制或直接在URL注入脚本；POST型XSS可直接注入脚本成功。存储型XSS直接注入脚本即可触发。DOM型XSS可通过javascript伪协议实现。对于过滤情况，使用img标签的onerror事件绕过。当遇到htmlspecialchars过滤时，可在a标签中使用javascript伪协议
本文介绍了XSS跨站脚本攻击的基本原理和防范方法。XSS漏洞源于浏览器混淆“数据”和&“代码”，将用户输入当作代码执行。文章分析了四种XSS上下文环境（文本、属性、JavaScript和URL环境），并通过pikachu靶场演示了反射型XSS攻击。同时讲解了浏览器同源策略和Cookie安全机制等防护措施。最后展示了如何突破前端输入限制，成功执行XSS攻击。文章为后续深入探讨XSS漏洞类型奠定了基础
是一种常见的Web安全漏洞，攻击者通过向网页注入恶意脚本，使其在受害者的浏览器中执行。由于JavaScript可以访问Cookie、LocalStorage、DOM等敏感数据，XSS通常用于窃取用户信息、劫持会话、钓鱼攻击等。XSS是Web安全中最经典的漏洞之一，理解其原理和防御方法对CTF比赛和实际开发都至关重要。建议搭建靶场（如DVWA、XSS Game）进行实战练习，并关注最新绕过技术（如S
作为渗透测试WEB方向的人来说，可能大家的第一影响就是WEB入门简单。相比较二进制，逆向，物联网，车联网，协议这些方向来说，确实难易程度不能和这些进行比较。但是WEB也是安全防护设备最多的。比如入侵防御系统（IPS）、DDoS 高防设备、辅助防护工具漏洞扫描、日志审计系统、负载均衡器、VPN与身份认证系统等等，当然还有最重要的WEB 应用防火墙（WAF）。0x01除了上述提及的BOT防护、身份认证
XSS（跨站脚本攻击）是Web安全中危害较大的漏洞类型，主要分为反射型、存储型和DOM型。攻击者通过构造恶意脚本（如<script>alert('xss')</script>）在前端执行，可窃取Cookie或进行钓鱼。防范措施包括输入过滤和输出转义。文中演示了多种XSS攻击方式，包括反射型（GET/POST）、存储型留言板、DOM型以及过滤绕过技巧（如使用onclick事件
在此前《》时，小众软件写过：很多人都想随时随地地，或者访问里的文件、公司内部 OA 系统，甚至小主机、路由器等设备。但由于没有公网 IP，这些设备都处于，无法直接访问。这，就需要了。小众软件的青小蛙整理了内网穿透常见的 10 大应用场景，结合内网穿透工具，来演示给大家看看。：通过内网穿透访问公司内部资源（如ERP、OA系统），实现异地办公和高效协作：公司内部文件的共享和访问、数据备份：直接远程控制
公司需求是在PC端后台系统实现一个智能问答功能，类似于阿里《析言GBI》一样的功能，在获取结果的步骤中有通过后端流式返回的sql语句，以及分析结果，前端需要流式接收后端数据，之后在前端拼接好之后在页面中显示。方案三：使用 Server-Sent Events (SSE)方案五：可复用的 Composition API 实现。方案一：Fetch API实现。方案二：使用 WebSocket 实现实时
XXE漏洞全称（XML External Entity Injection），即XML外部实体注入漏洞，XXE漏洞发生在应用程序解析XML输入时，没有禁止外部实体的加载，导致可加载恶意外部文件，造成：文件读取、命令执行、内网端口扫描、攻击内网网站，DOS攻击 等危害.（xxe漏洞触发的点往往是可以上传xml文件的位置的，没有对上传的xml文件进行过滤，导致可上传恶意xml文件.）
*工具实战：**集中训练抓包工具（Wireshark）、渗透测试工具（Nmap）、漏洞扫描工具（Nessus 基础版）的使用，结合模拟场景练习工具应用（掌握基础扫描逻辑，为 SRC 漏扫工具进阶做准备）。实战技能训练：开展漏洞扫描、漏洞利用、电商系统渗透测试、内网渗透、权限提升（Windows、Linux）、代码审计等实战训练，结合运维中熟悉的系统环境设计测试场景（强化红蓝对抗攻击端技术能力）。红
ReAct是一种将推理(Reasoning)与行动(Acting)结合的AI范式，让大模型交替生成思考(Thought)和行动(Action)。它解决了纯推理模型(CoT)的幻觉问题和纯行动模型缺乏高层规划的缺陷。ReAct通过协同推理与行动，提高了解决复杂任务的能力，增强了模型的可解释性和可控性。实验表明，ReAct在知识密集型任务和决策制定任务中表现优异，且通过微调可显著提升小模型性能。这一范
近万名人类和9种大语言模型完成同一个创意测试，发现：（1）虽然某些AI的平均表现接近甚至超过人类，但人类中的佼佼者展现高于AI的创造力；（2）AI倾向于反复使用相同的词汇组合，缺乏真正的多样性；（3）当研究者让AI模仿爱因斯坦或达芬奇这样的天才时，它的表现反而变差了。研究团队使用发散关联任务（Divergent Association Task）测量创造力。这个任务要求参与者说出十个名词，这些名词
AI Agent（智能体）自主感知：能够理解当前环境和任务需求自主决策：能够制定执行计划并动态调整自主执行：能够调用工具完成实际任务用一句话总结：Agent = LLM（大脑） + 工具（手脚） + 记忆（经验） + 规划（智慧）一个工具的标准结构"""执行数学计算"""try:result = eval(expression) # 实际生产中不要用evalreturn f"计算结果：{resul
后台总收到私信：“学网安该先看 Linux 还是先学 Burp？”“找了一堆教程，越学越乱怎么办？”—— 其实不是你学得慢，是没找对循序渐进的路径。很多人一上来就跟风学工具、刷漏洞，结果基础不牢，后期遇到问题全卡壳。今天分享一套亲测有效的网安快速入门 3 步法，按这个节奏学，效率至少翻一倍，新手也能清晰知道每一步该学啥、学完能干嘛。
昨天的文章介绍了过去三年AI领域的演进趋势，内容稍短，很多细节都是一笔带过，阅读感受其实并不好。今天这篇文章，聊聊过去三年，AI领域的技术逻辑变化趋势。特别声明：本文关于AI技术演进的顺序并非严格遵循时间节点，但大体的顺序是线性叙事。原因有两方面：1-阅读感受的流畅性；2-技术发展的必然性。关键时间节点和与之对应的代表性技术/产品顺序，可参考下图：2022年ChatGPT刚出现时，它最令人惊叹的能
本文深入解析大模型安全漏洞，详细介绍了提示注入、API滥用、间接注射等攻击方式及实际案例。文章指出大模型攻击本质源于指令与数据边界模糊，攻击者通过操纵模型诱导其滥用外部API或结合传统Web漏洞执行越权操作。随着技术发展，攻击手段已从早期角色扮演升级为利用对抗性后缀(GCG)、编码与多模态伪装等高级技术，实现从对话误导向系统级逻辑滥用转变，为开发者提供全面防护思路。
本文介绍了九种常见的XSS攻击方式及防护方法。主要包括：1）反射型XSS（get/post）通过输入恶意脚本实现弹窗；2）存储型XSS将恶意代码存入数据库；3）DOM型XSS利用客户端DOM树修改；4）XSS盲打在后台实现攻击；5）XSS过滤的绕过方法（大小写、标签等）；6）htmlspecialchars函数的转义特性及利用；7）href属性输出的JavaScript协议攻击；8）js输出的闭合
前言DNS英文全称Domain Name System，中文意思是域名系统，因此DNS劫持又被称为域名劫持，属于网络攻击的一种，其危害性也是不容忽视的。那么什么是DNS劫持?怎么防止DNS劫持攻击?具体请看下文。什么是DNS劫持?DNS劫持又叫做域名劫持，指攻击者利用其他攻击手段，篡改了某个域名的解析结果，使得指向该域名的IP变成了另一个IP，导致对相应网址的访问被劫持到另一个不可达的或者假冒的网
相信大家在写简历的时候，都有过这种一种困惑，就是不知道该怎么写自己的技能清单，今天我们就给大家提供100条运维工程师简历技能例句，让大家写简历的时候再也不用发愁了。这两年，IT行业面临经济周期波动与AI产业结构调整的双重压力，确实有很多运维与网络工程师因企业缩编或技术迭代而暂时失业。很多人都在提运维网工失业后就只能去跑滴滴送外卖了，但我想分享的是，对于运维人员来说，即便失业以后仍然有很多副业可以尝
其他工具下载百度网盘链接：**pwd=8888。
场景真实化（容器化、实战环境）、能力复合化（跨赛道工具 / 靶场）、技术前沿化（AI、云原生专属资源）。本指南基于 100 + 顶赛实践与最新社区反馈，按 “靶场练手 - 工具攻坚 - 社区成长” 三维度梳理，标注资源难度与适用阶段，避免盲目试错。建议按 “阶段目标 - 赛道需求 - 资源匹配” 逻辑使用本指南，定期更新工具版本与靶场环境，让资源真正转化为解题能力与竞赛优势。
这是某乎用户在发帖感叹测试找工作难得真实案例！这两年，IT行业面临经济周期波动与AI产业结构调整的双重压力，确实有很多运维与网络工程师因企业缩编或技术迭代而暂时失业。很多人都在提运维网工失业后就只能去跑滴滴送外卖了，但我想分享的是，对于运维人员来说，即便失业以后仍然有很多副业可以尝试。
摘要：大语言模型为SQL注入和XSS等Web安全漏洞测试带来革新，能自动生成多样化攻击向量，突破传统依赖规则库和人工经验的局限。通过理解漏洞原理和学习攻击模式，大模型可生成上下文相关的测试Payload，显著提升测试覆盖率和效率。但实际应用中仍需注意误报漏报、语境理解局限等挑战，需结合人工复核与隔离测试环境。未来大模型将与AST分析等结合，推动安全测试向智能化、自动化方向发展。
今天咱们来唠一个轻量级的嵌入式框架 ——，这玩意儿是专为那些跑不了Linux的“小身板”单片机量身定制的轻量级框架。简单来说，它就是给嵌入式开发者准备的“瑞士军刀”，帮你把调试、时间管理、事件处理这些脏活累活全包了，让开发效率直接起飞！项目地址：https://github.com/54zorb/Zorb-Framework项目主页嵌入式开发最头疼啥？！尤其在小内存单片机上，搞个调试输出都得折腾半
着眼未来，规划接班：企业必须立即开始继任计划，以应对老龄化带来的经验流失风险。软硬兼修，重在沟通：加强软技能培训，尤其是沟通与批判性思维，这不仅能提升团队效率，也是赢得董事会支持和资源的关键。拥抱AI，安全先行：积极且负责任地部署AI工具，并确保网络安全团队从一开始就参与AI项目的生命周期与政策制定。关注倦怠，主动管理：企业需采取更积极的措施（如弹性工作制、负荷管理）来缓解网络安全人员的职业倦怠，
摘要：随着敏捷开发和DevOps的普及，测试工程师的角色正从技术执行者转变为项目推动者。本文探讨软技能在测试工作中的核心价值，包括沟通能力、团队协作、问题解决等关键领域。研究表明，60%以上的软件缺陷源于沟通问题，而非技术漏洞。文章提出具体培养策略，如模拟演练、持续反馈等，强调软技能与技术的结合是测试人才未来发展的关键。在AI时代，人类的创意沟通和情感智能将成为测试工程师不可替代的优势，帮助从业者
摘要：随着数字包容性需求增长，WCAG标准成为软件测试关键指标。本文系统阐述WCAG四大核心原则（可感知、可操作、可理解、鲁棒性）的测试方法，包括替代文本验证、键盘导航测试等具体技术。提出贯穿开发全周期的实施框架：规划培训、设计介入、自动化与手动结合的测试策略，以及持续优化机制。针对资源有限等挑战，建议采用风险优先级、专家协作等应对方案。实施WCAG不仅能满足合规要求，更能拓展用户群体，体现技术向
工欲善其事必先利其器，我们在日常工作中需要登录服务器。在Pc端工具比较丰富，如Xshell等。而在手机端有没有好用的ssh连接工具呢？
这里填写空白信息即可，也就是红框中的数据库密码、管理员以及管理员密码。，朋友们如果有需要全套《网络安全入门+黑客进阶学习资源包》，可以扫描下方二维码领取（如遇扫码问题，可以在评论区留言领取哦）~，朋友们如果有需要全套《网络安全入门+黑客进阶学习资源包》，可以扫描下方二维码领取（如遇扫码问题，可以在评论区留言领取哦）~再次访问网站首页，这时 “其他人” 也拥有了最高权限，便可以正常执行 XSS Pl
热门领域需求旺盛：人工智能、大数据、云计算、网络安全、芯片设计、自动驾驶等领域技术迭代快，高端人才缺口大。传统互联网岗位饱和：前端、后端开发等基础岗位因前几年扩招导致竞争加剧，中小厂“降本增效”下招聘门槛提高。新兴交叉领域崛起：如AI+医疗、AI+金融、工业软件、机器人等，需要“计算机+行业知识”的复合型人才。
本文使用靶机pikachu练习XSStrike工具检测XSS漏洞。通过反射型XSS(get/post)和存储型XSS三个案例，演示了XSStrike的基本用法，包括-u指定URL、--data提交POST数据、--headers添加Cookie等参数。测试发现靶机存在HTML标签注入漏洞，如details和d3v标签可触发confirm弹窗。代码分析显示漏洞源于未过滤用户输入直接拼接HTML。存储
VNT是一款基于Rust语言开发的开源内网穿透及组网工具，主要用于实现异地设备的虚拟组网和内网穿透。它通过高效的网络技术和灵活的配置，为用户提供了安全、稳定且易于使用的组网解决方案。
SpringBoot +esapi 实现防止xss攻击maven 集成:<!-- 预防XSS攻击工具 --><dependency><groupId>org.owasp.esapi</groupId><artifactId>esapi</artifactId><version>2.2.0.0</version
body标签（很常见，不太会拦截）伪协议各种不太常见标签或HTML5新标签（video，audio等）object标签配合data伪协议变量赋值concat拼接编码绕过以上的方法仅供参考，要根据实际情况进行组合或者变通这两年，IT行业面临经济周期波动与AI产业结构调整的双重压力，确实有很多运维与网络工程师因企业缩编或技术迭代而暂时失业。很多人都在提运维网工失业后就只能去跑滴滴送外卖了，但我想分享的
Token化（Tokenization）是通过不敏感的数据等价替代物Token来替换个人敏感数据，在业务系统中流通来降低数据风险和满足隐私合规的方案。Token化属于去标识化技术的一种。最早出现在支付卡行业（PCI）场景替换银行卡（PANs），目前有趋势替换通用数字化场景中的个人敏感信息（PII）。1.个人唯一标识信息（PII）：任何可以直接、间接关联到具体的自然人的唯一标识信息如身份证件、手机号
xss
——xss
联系我们（工作时间：8:30-22:00）
400-660-0108 kefu@csdn.net
2048 AI社区
火山引擎 ADG 社区
openvela
开源鸿蒙跨平台开发者社区
DAMO开发者矩阵
量化交易与投资社区
EazyDevelop社区
