- 简介
- 目录大纲
- 最新文档
任意文件上传checklist
一些无用的知识 1. 文件类型验证 □ 上传扩展名已修改的文件。 □ 检查验证是否仅依赖 Content-Type。 □ 测试双重扩展名：image.jpg.php、image.php.jpg。 □ 检查大小写变体：.PHP、.pHp。 □ 验证 MIME 类型与文件签名（magic bytes）。 □ 测试补充可执行/解析扩展名：.phtml、.php5...……
xiaodi - 2026年10月29日 14:42
身份认证通杀漏洞挖掘
免责声明 本报告仅用于安全研究和授权测试，未经授权的渗透测试行为是违法的，切勿用于其他用途，请确保在合法授权的情况下进行安全测试，出现任何后果与本人无关。 前言 师傅们好久不见，最近陆陆续续打了不少，这个产出算近期比较大的，前前后后打了小一周。所以从头到尾整理了一下思路和想法，希望能够一起学习，碰撞思路。也恳请大佬批评指点，小子不胜感激，如有小子能帮忙的，必当竭尽所能。 猎杀时刻 前面写了...……
xiaodi - 2026年10月29日 14:40
人脸识别类绕过方式
一、前言 目前很多小程序，网站都会实名认证并且大多数会使用人脸识别验证，这里实践测试，挖掘到多个人脸识别漏洞绕过的案例。一下简单讲解三个漏洞类型案例。 二、正文 这里是某个AI面试功能点，你填写身份证姓名信息进行实名认证后，会发送一个面试链接信息。 这里点击会跳转至小程序，输入手机号即可，这里其实已经存在一个漏洞点了，那就是手机号可以随意绑定，没有对手机号做校验 最后来到这一步，拍摄人...……
xiaodi - 2026年10月25日 10:32
身份认证通杀漏洞挖掘
免责声明 本报告仅用于安全研究和授权测试，未经授权的渗透测试行为是违法的，切勿用于其他用途，请确保在合法授权的情况下进行安全测试，出现任何后果与本人无关。 前言 师傅们好久不见，最近陆陆续续打了不少，这个产出算近期比较大的，前前后后打了小一周。所以从头到尾整理了一下思路和想法，希望能够一起学习，碰撞思路。也恳请大佬批评指点，小子不胜感激，如有小子能帮忙的，必当竭尽所能。 猎杀时刻 前面写了...……
xiaodi - 2026年10月25日 10:31
EDUSRC挖掘不一样点
声明 本文章所分享内容均已脱敏处理且修复，仅用于网络安全相关的技术讨论和学习，注意，切勿用于违法途径，所有渗透测试都需要获取授权，违者后果自行承担，与本文章及作者无关，请谨记守法。 前言 edu网站，可对使用第三方系统的网站进行测试，也可以从学校或者教育局进行测试，都是非常容易测试的点。 漏洞测试 如下小程序 这个小程序是使用的第三方系统，并且域名并不是学校备案的，只是小程序学校备案，所以...……
xiaodi - 2026年10月21日 15:40