登录社区云，与社区用户共同成长
邀请您加入社区
这个项目是一个由大型语言模型（LLM）ReAct 代理驱动的示例聊天机器人，使用 Langchain 实现。帮助安全研究人员、开发者和爱好者理解并实验 ReAct 代理中的提示注入攻击。用户输入 ──► LLM 推理 ──► LLM 决定：调哪个工具、传什么参数 ──► 后端无校验执行▲这里既没有「输入可信度」判断，也没有「参数合法性」校验Flag 1打「LLM 决策的依据」——伪造工具返回，让模
MCP（Model Context Protocol）让 Agent 能安全地连接外部系统：数据库、API、缓存、日志、文档平台。但连接外部资源是危险的——一个错误的 SQL 可能删表，一个不脱敏的日志可能泄露用户信息。这篇文章讲清楚 MCP 的安全架构设计。
编译器与操作系统配合漏洞挖掘和模糊测试已经发展了很多年，可以看到很多大牛在基础领域为漏洞挖掘做出的努力
最近回看Blackhat里和智能体、移动基座相关的议题，最大的感受是：新系统、新架构层出不穷，OpenHarmony这类分布式系统慢慢铺开，如果还沿用老办法，靠零散踩点、随机Fuzz碰运气，效率会越来越低。Android经过多年沉淀，漏洞类型、攻击面、权限模型、IPC机制、组件暴露缺陷已经有非常成熟的知识库。但OpenHarmony刚起来，公开POC、成熟挖掘经验偏少。同类设计属性，往往会衍生同类
使用了namp端口和存活主机扫描 ，dir目录扫描， FUZZ参数扫描 ， MSF反弹连接，LINUX内核提权。完成了从访问页面->获取后台管理员权限 -> 获取操作系统权限 -> 获取root权限的全过程。
介绍了Linux内核的Rootkit攻击以及系统调用表的提取
SQLMap是一款功能强大的开源SQL注入工具，能够自动检测和利用SQL注入漏洞。它支持多种数据库（MySQL、Oracle等），可自动识别注入点（GET/POST/Cookie等），并能枚举数据库信息、提取数据甚至执行系统命令。常用命令包括基本检测、查看数据库/表/字段、数据导出等，支持代理/WAF绕过。但需注意：未经授权测试违法，可能造成服务崩溃，且遇到强WAF时需配合其他工具。建议仅用于授权
Redis 默认不要求身份验证，攻击者可以直接连接到 Redis 实例并执行任意命令。：如果 Redis 监听在公共 IP 地址上，攻击者可以通过网络远程访问 Redis 实例。
观察报错信息，发现sql的报错信息有点不一样，确定它已经带入查询了，但报错信息中的or被吞了，所以怀疑是把or给过滤掉了，尝试双写后成功绕过（所以以下sql语句中如果语句报错就尝试双写解决，经过后面测试，过滤掉了or，select，by，union，from，where等）不要执着于错误的库（引以为戒本人在geek库中找了20min，在查询ctf库内容时忘记限定为ctf库导致仍然在geek库中查询
最近做安全测试，遇到了SQL盲注的漏洞，从发现漏洞，确认漏洞，协助开发复现漏洞，验证漏洞一整套流程下来，有了亿点点收获，下面分享给大家，希望对软件测试同学有所启发，难度不大，小白看完也能上手的那种。
1、kali中使用sqlamp 访问靶机OWAS中页面进行SQL注入提示：unable to connect to the target URL2、看了网上的都是扯淡增加代理访问sqlmap -u "http://192.168.111.132/mutillidae/index.php?page=user-info.php&username=zhuzhu&password=1234
本文将以 EMQ X 为例，介绍如何使用模糊测试工具来发现 MQTT 服务器对协议实现上可能存在的缺陷和漏洞。
教程亲测可用。本文使用的是xftp6+UE（用来修改配置文件）。如果是使用xftp+notepad++，请绕道，哈哈哈哈。如果我们想要在windows系统传输一些文件到Linux系统，就需要一个传输工具，推荐使用xftp6。第一步：下载方式1：（使用网上提供的教程，或者使用我的链接均可以）链接：https://pan.baidu.com/s/1X3sREW-ZOAqEbndHlgWWhw提取码：0
目录需求简介：准备环境：开始安装：安装Windows Server 2003 R2安装域控制器：安装Internet信息服务安装证书服务安装Internet验证服务配置服务器：新建用户和加组：对证书服务器的配置：Internet验证服务的配置：实机测试RADIUS服务器：使用思科无线AP-CAP-3602i来验证效果：使用优倍快（UBNT）Unifi UAP-AC-LR来验证效果：思科交换机WS-
2026最新李跳跳软件下载及12000条规则分享
本文介绍了VMware Workstation Pro 25H2的下载安装及汉化Kali Linux的完整教程。内容包括：从123云盘或官网下载安装包；解压后开启虚拟机，初始账号密码均为kali；通过终端修改root密码并执行汉化命令；解决安装后无鼠标光标问题的方法（更改硬件兼容性为Workstation17.x）。最后重启系统即可完成中文环境配置。教程详细说明了每个步骤的具体操作和注意事项。
什么是CC攻击？如何通过链接数和端口检查cc攻击的网站？
burpsuite_pro_v2024.9版本+load-key.jar+burpsuite官网下载链接
1、首先导出bp证书2、将cacert.der证书在kali中转换使用openssl生成pem格式证书,并授予最高权限生成pem证书的hash将证书重命名为：9a5ba575。
测接口正确性不可避免要连数据库验证数据正确性。此文以个人理解整理jmeter连接数据库，数据验证，数据供后续请求使用的方法。
查了一下，IG5220BAA，这颗主控IC采用12纳米制造工艺，是英韧21年推出的定位次旗舰的PCIe4.0主控，支持4个NAND通道，每个通道最大兼容4CE，理论性能读取5.1GB/s、写入5GB/s。PCI4.0固态硬盘首次被提出是在2017年，发展到今年，PCIe 4.0固态硬盘的价格已经接近PCIe3.0了，但是在读写速度上相较于PCIe3.0提升巨大，同时也可以兼容PCIe3.0。这个1
首先是在海鲜市场上收了两片带板的nw929（双面的）
假货特别挑选了大小形状很相似的瑞昱RTS5772DL（这里没有贬低瑞昱公司的意思，只是揭秘假货），但是瑞昱主控是正方形四角尖尖的，三星凤凰主控则是如后图中所示有近圆角和削边，标签纸的覆盖位置、揭开标签之后主控表面激光打标也不一样，切记！假盘的颗粒可能是单面四颗粒无缓存布局，或者是双面颗粒布局，而正品的颗粒是紧挨着排列的，而且是三星自产自封装的颗粒，如果发现了不是三星的丝印，那基本上是假的没跑。需要
手头这个固态是点序AS2258主控，颗粒是PF603(B27A)，板子上总共4个颗粒，B27A制程，突然不认盘，只能找开卡软件，网上找了很多，也试过了很多，都不行。，没有作任何设置和更改，居然开卡成功，我还还特意跑圈，也通过了，所以记录下。
根据合肥沛睿官网介绍，RMS5772作为沛睿旗舰级PCIe Gen4 SSD控制器，采用13x13mm BGA封装，支持NVMe 1.4 规范，内置第三代 LDPC纠错算法，可适配3D TLC/QLC NAND，支持多达8个闪存通道（每通道最高可支持1066MT/s），顺序读写性能最高顺序读取6000MB/s， 顺序写入6000MB/s；随机读写性能最高随机读取780K IOPS， 随机写入700
冷静一天后，认为这种情况肯定是软件的问题可能性大，硬盘估计不会有太大问题，那就先从软件来源和选项设置开始找原因，经过多次不断实验，最后终于找到就是软件设置问题，具体原因请大侠们解释一下。不管是修复ssd还是diy固态硬盘都相对来说比较容易成功，因为此主控的开卡软件比较齐全，而且开卡设置也不复杂，所以如果你也喜欢自己diy固态硬盘，建议采用慧荣主控的板子来做。背景桌面丑的一逼，寒酸样，大家尽管嘲笑，
冷静一天后，认为这种情况肯定是软件的问题可能性大，硬盘估计不会有太大问题，那就先从软件来源和选项设置开始找原因，经过多次不断实验，最后终于找到就是软件设置问题，具体原因请大侠们解释一下。其实开卡的时候经常有些固态莫名其妙的不行，要多改改参数测试，这里建议去量产部落下载开卡软件，其他地方的真的不能用，改来改去各种错误。第二部，打开开卡工具软件，如果软件没有设置过，显示是错误红色的，只有固件匹配后才行
burpsuite_pro_v2022.3版本（jdk18、burpsuite_pro_v2022.3、burp-load-key.jar、burpsuite2022-08-1版本、burpsuite2022-09-5版本、burpsuite2022-12-6版本下载
三三的BurpSuite学习（一）
ISO 26262-1:2018 对Functional Safety Concept（功能安全概念）即：为实现安全目标而规定的功能安全需求，以及将这些需求分配到系统架构设计的规范。第 1 步：从安全目标导出功能安全需求（FSR）— "要做什么才能达成安全目标？第 2 步：将 FSR 分配到架构要素— "谁来实现这些需求？是否可以 ASIL 分解？第 3 步：定义安全验证标准— "怎么证明安全目标
本文详细介绍了注册登录界面测试用例的设计方法，涵盖功能测试、界面测试、性能测试、兼容性测试、易用性测试和安全测试六大方面。通过等价类划分、边界值分析、判定表等方法，设计了正向和反向测试用例，包括正确信息注册成功、邮箱注册成功等正向用例，以及手机号格式错误、验证码过期等反向用例。文章采用思维导图清晰展示各测试维度的关键点，并提供了完整的测试用例表格，包含用例编号、输入数据、操作步骤和预期结果等要素，
本文介绍了微电网的概念及其应用背景，包括可再生能源利用、供电可靠性提升、电力损耗减少等优势。重点阐述了微电网实时仿真技术，通过PXIBox硬件平台实现us级精度的实时仿真，可模拟风力发电、光伏发电、储能系统等组件的运行特性。该方案支持自闭环测试，能评估能量调度控制器的性能，优化能源管理和供需平衡策略。实时仿真还可进行风险评估，增强系统可靠性。
本文对主流大语言模型进行了多语言越狱提示词的安全性测试，重点评估了其在英文攻击下的防御表现。测试发现，GPT、Claude和豆包模型展现出跨语言的强健语义级安全防御，而部分模型则存在明显的“语言偏科”隐患。文章为开发者提供了评估与加固模型多语言安全性的实战指南。
Apache Spark 3.4.0之前版本存在命令注入漏洞，该漏洞源于如果ACL启用后，HttpSecurityFilter中的代码路径可以允许通过提供任意用户名来执行模拟，这将导致任意shell命令执行。
Vulhub靶机 Apache Druid（CVE-2021-25646）（渗透测试详解）
我自己在通关linux环境下的DVWA靶场命令执行漏洞的过程中遇到了很多问题，于是写了这篇文章分享一下自己的思路。
hydra 是一个网络账号破解工具，支持多种协议，集成在kali中。Hydra原理：由于每一个服务对应一个端口号，所以如果监测到目标主机开启了该服务，那么就可以利用该工具来进行暴力破解密码。
随着网络安全行业的不断内卷，相关的认证数量也不断增加。有的业内大佬已经斩获多张证书以彰显自己在行业内的不俗实力和超凡的学习能力，而还站在网络安全门口的同志们看到琳琅满目的认证也不知道自己该从哪个认证着手考试。本文收集常见的网络安全相关的认证证书，涉及中国网络安全测评中心、中国网络安全审查技术与认证中心、(ISC)²、国际信息系统审计协会、云安全联盟CSA、EXIN以及APMG等众多国内外知名机构的
本文详细描述了Vulfocus靶场中uWSGI 目录穿越（CVE-2018-7490）复现过程
本文详细描述了Vulfocus靶场中weblogic wls-wsat组件远程命令执行（CVE-2017-3506）复现过程
本系列文章主要讲解道路车辆功能安全 ISO 26262标准的相关知识。（支持过程）
随着互联网技术的飞速发展，网络安全问题也日益凸显。在众多网络攻击方式中，跨站脚本攻击（Cross-Site Scripting, XSS）因其广泛性和高危性，成为了网络安全领域的一个重要研究课题。XSS 攻击通过在网页中注入恶意脚本，使攻击者能够窃取用户信息、劫持用户会话、篡改网页内容等，给用户和企业带来巨大的安全隐患。本文将深入探讨 XSS 漏洞的原理，并通过具体的实例演示如何复现这一漏洞，希望
首先，对于高质量的软件测试，用例设计不仅需要考虑明确的显式功能性需求，还要涉及兼容性、安全性和性能等一系列的非功能性需求，这些非功能性需求对软件系统的质量有着举足轻重的作用。其次，优秀的测试工程师必须具有宽广的知识面，才能设计出有针对性、更易于发现问题的测试用例。最后，软件测试的用例设计是不可穷尽的，工程实践中难免受制于时间成本和经济成本，所以优秀的测试工程师需要兼顾缺陷风险和研发成本之间的平衡。
本文主要介绍了渗透测试的场景流程，及子流程的分析。
本文将演示如何利用BurpSuite来构造文件上传引起的xss漏洞。
微信红包测试点
银行还款业务相关测试点
5、使用 jmeter -g 文件路径 -o输入报告的地址、 命令导出测试报告、注意：文件路径是指你创建jtl文件的路径！最后命令输出的报告就和聚合报告一致啦。1、下面是jmeter的聚合报告和使用命令导出的报告对比、可以发现jmeter的聚合报告和命令导出的报告完全不一致！4、执行脚本会有一个弹框弹出、点击Overwrite existing file。2、解决方法：在桌面创建一个新的文件夹、文
安全性测试
——安全性测试
联系我们（工作时间：8:30-22:00）
400-660-0108 kefu@csdn.net
北京朝阳AI社区
openEuler 社区
开源鸿蒙跨平台开发者社区
乐奇 Rokid 开放社区
