运维123 - 安全
type: channel
link: https://www.sddts.cn/index.php/category/%E5%AE%89%E5%85%A8/
description: 安全
items: Web-Check 全能 OSINT 网站分析工具技术分析
items: Therac-25 放射治疗机软件事故深度复盘
items: FastFileLink CLI 技术分析
items: Pulsar网络足迹扫描平台技术分析
items: LWN 遭遇大规模 AI 爬虫攻击事件技术分析
items: 一种更好的 Zip 炸弹非递归压缩攻击技术分析
items: Parrot OS 7.0 正式发布：底层重写与安全工具全面升级
items: OpenRT：多模态大模型红队测试框架
items: DumpChromeSecrets Chrome数据提取工具技术分析
items: nasa42/Webterm 终端穿透访问技术分析

Web-Check 全能 OSINT 网站分析工具技术分析
type: item
date: 2026-01-19T01:37:31+00:00
description: Web-Check 全能 OSINT 网站分析工具技术分析一、概述1. 项目背景Web-Check 是由开发者 Lissy93（Alicia Sykes）创建的开源 OSINT（Open Source Intelligence，开源情报）工具。该项目旨在为安全研究人员、渗透测试人员、网站运维人员提供一个综合性的网站分析平台，通过单一界面获取目标网站的全方位技术情报。A. 项目定位类型：All-in-one OSINT 工具许可证：MIT 开源许可目标用户：安全研究人员、渗透测试人员、红队成员、网站管理员、系统运维人员B. 核心价值传统网站分析通常需要使用多个独立工具分别查询 DNS、SSL、服务器信息等，Web-Check 将这些功能整合到统一平台，大幅提升分析效率。2. 关键数据A. 项目热度GitHub Stars：30.2kGitHub Forks：2.4k贡献者：29 人支持者：GitHub Sponsors 平台活跃B. 技术栈TypeScript：65.5%JavaScript：18.5%Astro：11.7%SCSS：2.1%HTML：1.1%Dockerfile：0.6%C. 部署方式在线 Demo：https://web-check.as93.net官方网站：https://web-check.xyzDocker 镜像：支持一键部署云平台：Netlify、Vercel 一键部署二、核心功能1. 功能模块概览Web-Check 集成了 20+ 个检测模块，涵盖网站分析的各个维度。以下是核心功能分类：A. 基础信息收集IP 信息：获取目标 IP 地址、地理位置、ISP 信息DNS 记录：解析 A、AAAA、MX、TXT、CNAME 等各类 DNS 记录Whois 查询：域名注册信息、注册人、注册时间等域名信息：域名年龄、注册商、DNS 服务器B. 安全分析SSL 证书链：SSL/TLS 证书详细信息、颁发机构、有效期安全配置：HTTP 安全头、CSP、HSTS 等配置检测防火墙检测：识别 WAF、防火墙规则恶意软件检测：检查域名是否被列入黑名单C. 服务器分析服务器位置：物理位置推断开放端口：常用端口扫描Traceroute：路由跳数追踪关联主机名：同服务器托管的其他域名（需 Shodan API）D. 技术栈识别Tech Stack：识别前端框架、后端技术、CMS、服务器软件HTTP 头：响应头分析、服务器指纹识别Cookie：Cookie 设置分析爬虫规则：robots.txt、sitemap.xml 解析E. 内容分析页面地图：网站结构可视化关联页面：内外链分析社交媒体标签：Open Graph、Twitter Card 等元标签截图：网页截图获取F. 性能与质量网站性能：加载时间、资源大小质量指标：Lighthouse 分数（需 Google API）碳足迹：估算网站碳排放G. 高级功能重定向链：追踪 HTTP 重定向路径TLS 密码套件：支持的加密套件分析TLS 安全配置：TLS 版本、协议配置TLS 握手模拟：模拟连接过程DNS 安全扩展：DNSSEC 记录查询历史存档：Wayback Machine 历史记录全球排名：网站流量排名估算封锁检测：检测是否被防火墙封锁邮箱配置：SPF、DMARC、DKIM 记录2. 系统架构graph TB User[用户] --> WebUI[Web 界面] WebUI --> API[API 服务] API --> DNS[DNS 查询模块] API --> SSL[SSL 分析模块] API --> Server[服务器探测模块] API --> Scanner[爬虫与分析模块] API --> External[外部 API 集成] DNS --> Response[(分析结果)] SSL --> Response Server --> Response Scanner --> Response External --> Response Response --> WebUI External -.Shodan/Google/WhoAPI.-> ExternalAPI[第三方服务]3. 数据流向sequenceDiagram participant U as 用户 participant W as Web UI participant A as API 层 participant M as 分析模块 participant E as 外部服务 U->>W: 输入目标域名 W->>A: 发起分析请求 A->>M: 调用多个检测模块 M->>E: 查询外部 API（可选） E-->>M: 返回增强数据 M-->>A: 返回模块结果 A-->>W: 汇总分析数据 W-…

Therac-25 放射治疗机软件事故深度复盘
type: item
date: 2026-01-18T03:36:28+00:00
description: Therac-25 放射治疗机软件事故深度复盘一、事件概述1. 事件背景1985 年 6 月至 1987 年 1 月期间，加拿大原子能有限公司（AECL）制造的 Therac-25 放射治疗机发生了 6 起严重的辐射过量事故。这是软件工程史上最致命的软件故障案例之一，直接导致 4 人死亡、2 人重伤。2. 影响范围A. 影响用户数6 名患者接受过度辐射治疗，其中 4 人因辐射伤害死亡，2 人终身残疾。B. 影响时长1985 年 6 月首起事故至 1987 年 1 月最后一起事故，持续约 19 个月。C. 影响功能机器在电子束治疗模式下出现致命故障，患者接受的辐射剂量比正常值高出 100 倍。3. 严重程度这是医疗设备软件安全领域最严重的灾难性事故之一，成为软件工程、计算机伦理和医疗设备安全教育的经典教材。二、事件时间线1. 第一阶段事故（1985 年 6 月 - 1986 年 1 月）A. 1985 年 6 月：肯尼迪将军医院首起事故加拿大安大略省肯尼迪将军癌症中心发生第一起已知过量辐射事故。患者接受治疗时出现异常灼伤，但 AECL 最初声称机器不可能出错。B. 1985 年 7 月：汉密尔顿诊所事故美国佐治亚州汉密尔顿诊所发生类似事故。AECL 仍拒绝承认软件问题，归咎于用户操作。C. 1985 年 12 月：雅基马山谷医院事故华盛顿州雅基马山谷纪念医院发生第三起事故。此时 FDA 开始介入调查。2. 第二阶段事故（1986 年 - 1987 年 1 月）A. 1986 年：初步修复尝试AECL 发布软件补丁，增加了互锁机制和错误提示，但未能根除问题。B. 1987 年 1 月：最后一起致命事故加拿大一名患者因辐射过量死亡，这是第六起也是最后一起已知事故。C. 事后调查1987 年后，独立专家 Nancy Leveson 教授开始深入调查，最终于 1993 年发表里程碑式论文《An Investigation of the Therac-25 Accidents》。timeline title Therac-25 事故时间线 1985年6月 : 肯尼迪将军医院首起事故 患者严重灼伤 1985年7月 : 汉密尔顿诊所事故 AECL 否认软件问题 1985年12月 : 雅基马医院事故 FDA 开始调查 1986年 : AECL 发布软件补丁 增加互锁机制 1987年1月 : 最后一起致命事故 加拿大患者死亡 1993年 : Leveson 发表调查论文 揭露系统性问题三、问题分析1. 直接原因A. Race Condition（竞争条件）软件存在经典的并发编程错误。当操作员快速输入治疗参数时（特别是快速修改参数后立即执行），共享变量可能被不一致地更新，导致机器状态混乱。具体表现为：操作员在 8 秒内输入治疗参数按 Enter 键确认时，软件正在执行其他任务系统未能正确更新治疗模式参数导致机器在错误模式下以最大功率输出辐射B. 算术溢出软件中存在变量溢出 bug，特定条件下会导致安全检查失效。C. 用户界面设计缺陷机器频繁显示无关紧要的错误提示操作员习惯性忽略错误信息关键错误信息被淹没2. 根本原因（5 Whys 分析）A. 为什么出现 Race Condition？答：软件设计时未充分考虑多任务并发场景。使用汇编语言编写，代码复杂度高，难以正确处理时序问题。B. 为什么没有及时发现？答：AECL 过度依赖软件测试，未进行系统级的硬件-软件联合测试。测试用例未能覆盖快速参数输入场景。C. 为什么移除硬件互锁？答：Therac-25 设计理念是软件化降低成本。早期型号 Therac-6 和 Therac-20 有硬件互锁保护，但 Therac-25 完全依赖软件安全控制，导致硬件保护层被移除。D. 为什么事故持续发生？答：AECL 缺乏透明的故障报告机制。医院之间的事故信息未能有效共享，导致重复事故发生。E. 为什么监管未能预防？答：当时的医疗设备监管体系对软件安全的认识不足，缺乏针对软件密集型医疗设备的专门审查标准。3. 深层反思A. 软件工程认知局限1980 年代中期，软件工程作为一门学科仍在发展，业界对软件复杂性和系统性风险的认识不足。AECL 错误地认为软件可以完全替代硬件安全机制。B. 系统性失效这不是单一的代码 bug，而是系统性失效的典型案例：设计哲学错误：过度依赖软件，移除硬件保护开发流程缺陷：缺乏严格的软件验证和测试企业文化问题：回避问题、拒绝承认错误监管体系漏洞：缺乏有效的医疗设备软件审查四、技术深度分析1. Therac-25 系统架构graph TB subgraph 输入系统 A[键盘输入] B[参数编辑] end subgraph 控制系统 C[处理单元] D[模式控制] E[剂量监测] end subg…

FastFileLink CLI 技术分析
type: item
date: 2026-01-17T15:48:50+00:00
description: FastFileLink CLI 技术分析一、概述1. 项目背景FastFileLink CLI (ffl) 是一个开源的命令行文件传输工具，由开发者 nuwainfo 创建，旨在解决跨设备、跨网络环境下的文件传输痛点。该项目基于 Apache 2.0 许可证发布，在 GitHub 上获得约 50 个星标。2. 核心定位ffl 的核心定位是「将任意文件或文件夹转换为安全的 HTTPS 链接」，实现点对点（P2P）文件传输。它填补了传统文件传输方式（如云盘、邮件附件、FTP 等）在便捷性、安全性和性能方面的空白。二、系统架构1. 技术栈核心语言：Python (69.8%)前端技术：JavaScript (11.0%)、CSS (10.5%)、HTML (8.0%)关键依赖：aiortc（WebRTC）、Cosmopolitan Libc（APE）、python-mbedtls（加密）2. 工作原理graph TB subgraph 发送方 A[本地文件] --> B[HTTP 服务器] B --> C[WebRTC 信令服务器] end subgraph 网络层 C --> D{NAT 穿透} D -->|成功| E[直连 P2P 通道] D -->|失败| F[中继隧道] end subgraph 接收方 E --> G[浏览器/CLI 下载] F --> G end3. 核心组件A. WebRTC 传输层使用 aiortc 库实现 WebRTC 协议支持 DTLS 加密传输自动 NAT 穿透尝试B. 隧道系统内置 default 隧道（免费无限带宽）支持第三方隧道：Cloudflare、ngrok、localtunnel、loophole、Dev Tunnel、Bore自动故障切换机制C. 加密模块基于 AES-256-GCM 的端到端加密使用 python-mbedtls 替代 cryptography 以兼容 APE每个数据块使用唯一 IV、标签和 AAD三、核心功能1. 传输模式A. P2P 直连模式（优先）使用 WebRTC 数据通道直接点对点传输，无需中继适用于双方同时在线且 NAT 可穿透的场景B. 中继模式（自动降级）当 NAT 穿透失败时自动启用通过 HTTPS 隧道中继数据保证传输成功率C. 服务器托管模式（授权功能）支持临时上传到服务器适用于双方无法同时在线的场景支持零知识加密2. 文件类型支持单文件传输文件夹传输（流式处理，无需预先压缩）标准输入流（stdin）传输支持断点续传3. 安全特性A. 端到端加密sequenceDiagram participant S as 发送方 participant R as 接收方 participant T as 中继服务器 S->>R: 密钥交换（带外通道） S->>T: 加密数据块 T->>R: 转发加密数据 R->>R: 本地解密 Note over T: 零知识：无法解密数据B. 认证机制HTTP Basic Auth 保护下载链接支持自定义用户名和密码防止未授权访问C. Tor 支持通过 SOCKS5 代理支持 Tor 网络自动禁用本地 P2P 发起完全阻断 WebRTC 信令隐藏真实 IP 地址四、技术亮点1. 跨平台可执行文件（APE）A. Cosmopolitan Libc 集成ffl 提供单文件可执行版本（ffl.com），可在多个平台上运行，无需依赖。这是通过 Cosmopolitan Libc 实现的，其优势包括：零依赖部署跨平台兼容（Windows、Linux、macOS、Android/Termux）单文件分发B. 技术挑战与解决方案为了将 Python 项目打包为 APE，开发者解决了以下技术难题：移除 libffi/ctypes 的 C 扩展依赖抽象加密逻辑层，在 cryptography 和 python-mbedtls 间切换替换 aiortc 的 DTLS 实现以兼容 mbedTLS修复 Android/Termux 下的网络行为异常2. 智能传输策略A. 传输模式选择逻辑flowchart TD A[开始传输] --> B{双方在线?} B -->|是| C{NAT 可穿透?} B -->|否| D[服务器托管模式] C -->|是| E[P2P 直连] C -->|否| F[中继模式] E --> G[传输完成] F --> G D --> GB. 带宽优化策略文件大于 500MB 时自动路由到无限带宽基础设施防止高额服务器成本付费用户可使用最近的高性能节点3. 自动化友好设计A. 生命周期控制--max-downloads：指定下载次数后自动关闭--timeout：空闲超时自动关闭--json：输出 JSON 格式供脚本…

Pulsar网络足迹扫描平台技术分析
type: item
date: 2026-01-17T06:03:15+00:00
description: Pulsar 网络足迹扫描平台技术分析一、项目概述1. 项目背景A. 项目简介Pulsar 是一个自动化的网络足迹扫描平台，专为红队、渗透测试人员和漏洞赏金猎人设计。该平台专注于发现组织的公开资产，即使在对其基础设施了解最少的情况下也能有效运行。B. 核心特点100% 免费，无需任何 API 密钥提供网络数据可视化功能基础漏洞评分系统可用作自定义漏洞扫描器适用于广泛且未知的扫描范围C. 项目状态项目已于 2022 年 5 月 24 日被作者归档，仅进行安全补丁和修复。作者表示由于社区支持不足和关注度低，不再继续开发该项目。2. 目标用户红队成员渗透测试人员漏洞赏金猎人安全研究人员二、技术架构1. 技术栈A. 前端技术Vue.js 2.6.11：前端框架JavaScript：主要编程语言（占比 47.5%）CSS：样式表（占比 27.3%）B. 后端技术Django 3.2.12：Web 框架Django Rest Framework：API 框架Python 15.0%：后端逻辑Nginx：反向代理服务器Gunicorn：WSGI HTTP 服务器C. 容器化部署Docker：容器化平台Docker Compose：容器编排基于多容器架构的 PaaS 平台2. 系统架构graph TB Client[客户端浏览器] -->|HTTPS| Nginx[Nginx 反向代理] Nginx -->|WSGI| Gunicorn[Gunicorn 应用服务器] Gunicorn -->|WSGI| Django[Django REST Framework] Django -->|读写| PostgreSQL[(PostgreSQL 数据库)] Django -->|存储| Redis[(Redis 缓存)] Django -->|队列| Celery[Celery 任务队列] subgraph 扫描引擎 Amass[OWASP Amass] ZMap[ZMap] Nmap[Nmap] CloudEnum[CloudEnum] SSHAudit[SSH Audit] WhatWeb[WhatWeb] end Celery -->|调用| Amass Celery -->|调用| ZMap Celery -->|调用| Nmap Celery -->|调用| CloudEnum Celery -->|调用| SSHAudit Celery -->|调用| WhatWeb Django -->|查询| RIPEstat[RIPEstat API] Django -->|查询| NVD[NVD 数据馈送]3. 组件说明A. Web 服务层Nginx：处理 HTTPS 连接，静态文件服务，反向代理Gunicorn：管理 Django 应用进程，处理并发请求Django：提供 REST API，用户认证，任务调度B. 数据存储层PostgreSQL：持久化存储扫描结果、用户数据、配置信息Redis：缓存频繁访问的数据，任务队列代理C. 任务队列层Celery：异步任务处理，扫描任务调度支持定时任务和后台任务执行D. 扫描引擎层集成多个开源扫描工具通过统一的接口调用各类扫描器支持自定义扫描器扩展三、核心功能1. 资产发现功能A. 子域名发现使用 OWASP Amass 进行子域名枚举：被动信息收集主动DNS 枚举证书透明度日志查询搜索引擎爬取B. 顶级域名发现跨 TLD 资产识别新注册域名检测域名变体发现C. 云资源发现集成 CloudEnum 工具：AWS 资源发现Azure 资源发现GCP 资源发现存储桶识别云虚拟机发现2. 漏洞扫描功能A. 基础漏洞扫描端口扫描（ZMap）服务指纹识别（Nmap）Web 技术栈识别（WhatWeb）SSH 配置审计（SSH Audit）B. 漏洞评分系统基础漏洞严重程度评分资产关联性分析弱点识别与优先级排序C. NVD 数据集成实时漏洞数据库查询CVE 信息匹配漏洞影响评估3. 数据可视化功能A. 网络拓扑图资产关系可视化攻击面展示依赖关系图B. 扫描结果展示仪表板视图扫描进度追踪历史数据对比4. 协作与导出功能A. 多用户协作基于 OAuth 的认证角色权限管理团队共享空间B. 数据导出支持多种格式导出REST API 访问批量数据导出5. 任务调度与通知A. 定时扫描周期性任务调度自定义扫描策略扫描策略优化B. 通知系统邮件通知扫描完成提醒异常情况告警四、集成工具分析1. OWASP Amass功能：子域名枚举工具特点：多种数据源集成高度可配置支持被动和主动枚举社区活跃维护2. ZMap功能：高速网络扫描器特点：单台机器可扫描整个互联网适用于大规模端口扫描低调的网络负载3. Nmap功能：网络探测和安全审…

LWN 遭遇大规模 AI 爬虫攻击事件技术分析
type: item
date: 2026-01-17T02:47:37+00:00
description: LWN 遭遇大规模 AI 爬虫攻击事件技术分析一、新闻概述1. 标题LWN（Linux Weekly News）遭受大规模 AI 爬虫攻击，网站响应性严重受影响2. 发布时间2025 年 1 月 16 日3. 来源social.kernel.org（Jonathan Corbet 的联邦社交媒体帖子）二、核心内容1. 事件摘要A. 主要内容Linux Weekly News（LWN）正在遭受史上最严重的爬虫攻击，这是一场涉及数万个 IP 地址的分布式拒绝服务攻击，导致网站响应性下降。B. 核心亮点攻击规模涉及数万个 IP 地址，属于 DDoS 级别的爬虫攻击攻击来源疑似为 AI 数据采集公司（如 Bright Data 及其竞争对手）网站运营方考虑设置访问障碍作为应对措施社区讨论揭示这是技术网站面临的普遍问题2. 关键信息A. 受影响网站LWN（Linux Weekly News）— Linux 社区知名技术新闻网站B. 攻击特征数万个 IP 地址同时发起请求符合 AI 训练数据爬取的行为模式造成网站响应延迟C. 涉及产品/技术AI 数据采集工具网络爬虫技术Bright Data 等数据代理服务3. 背景介绍A. LWN 简介LWN 是 Linux 社区的重要技术新闻站点，创立于 1998 年，以高质量的 Linux 内核和技术报道闻名。采用订阅制模式运营，部分内容免费开放。B. 相关上下文这是当前 AI 数据采集热潮中的典型事件。AI 公司需要大量训练数据，但未授权的大规模爬取严重冲击原创内容网站的生存环境。三、详细报道1. 主要内容A. 事件描述Jonathan Corbet（LWN 创始人）在 social.kernel.org 发布贴文称，LWN 正在遭受最严重的爬虫攻击。这是一场 DDoS 级别的攻击，涉及数万个 IP 地址，已经影响到网站的正常响应。Corbet 表示：有很多事情想做，但防御 LWN 免受 AI 垃圾数据的侵扰并不在优先列表上。真心不想在 LWN 和读者之间设置障碍，但可能不得不这么做。B. 攻击来源在社区讨论中，Corbet 指出无法确定具体是哪家公司发起的数据采集，但实际攻击很可能来自 Bright Data 或其同样恶劣的竞争对手之一。Bright Data 是一家知名的网络数据采集公司，提供代理服务器和数据采集服务，常被用于大规模网页数据获取。C. 社区反应社区成员的回复揭示了这是行业普遍问题：Tristan Colgate-McFarlane 指出，搜索引擎优先展示被盗内容，这正在扼杀原创作者的点击率和广告收入，并阻止真正用户访问原始内容。多位社区成员表示遭遇类似问题，包括 WordPress 登录尝试、PHP 漏洞扫描等，部分来自 Microsoft IP 地址。有建议采用 CAPTCHA 验证、订阅者专用服务器、注册用户限制等防御措施。D. LWN 的应对思路Corbet 表示，订阅者可以通过 subscriber.lwn.net 访问专用服务器，避开爬虫队列。但限制新用户体验（如仅允许注册用户访问）可能影响网站发展，因为每个人都是从未注册用户开始的。2. 技术细节A. 攻击模式分析graph LR subgraph "AI 爬虫攻击流程" A[AI 数据公司] --> B[代理 IP 池 数万个地址] B --> C[分布式爬虫] C --> D[LWN 服务器] end subgraph "影响" D --> E[带宽耗尽] D --> F[响应延迟] D --> G[正常用户受影响] endB. 攻击特征规模：数万个 IP 地址同时请求类型：分布式拒绝服务（DDoS）目的：AI 训练数据采集特征：无视 robots.txt、高频请求C. 技术应对方案讨论社区讨论中提到的防御措施：方案优点缺点CAPTCHA 验证有效区分人类和机器人影响用户体验，可能被绕过订阅者专用服务器已实施，效果良好仅适用于付费订阅者注册用户限制可筛选部分爬虫机器人可能自动注册IP 封锁直接阻断攻击源IP 池庞大，难以完全封锁3. 数据与事实A. 攻击规模IP 地址数量：数万个（tens of thousands）攻击类型：DDoS 级别影响：网站响应性下降B. 社区反馈贴文互动：14 收藏、210 转发、230 回复受影响范围：不仅 LWN，多个小型网站面临同样问题C. 历史背景LWN 创立于 1998 年，是 Linux 社区老牌技术媒体采用订阅制模式，部分内容免费开放首次遭遇如此大规模的 AI 爬虫攻击四、影响分析1. 行业影响A. 生态系统危机AI 数据采集热潮正在破坏互联网内容生态。原创内容创作者面临双重打击：内容被盗用、流量被劫持。搜索引擎优先展示 AI 生成的二手内容，进一步挤压原创者的生存空间。…

一种更好的 Zip 炸弹非递归压缩攻击技术分析
type: item
date: 2026-01-16T07:12:38+00:00
description: 一种更好的 Zip 炸弹非递归压缩攻击技术分析一、技术概述1. 研究背景Zip 炸弹是一种恶意压缩文件，通过高度压缩技术在小体积文件中隐藏巨大数量的解压数据，导致解压程序耗尽系统资源。传统的 zip 炸弹依赖递归解压，即多层嵌套 zip 文件，但大多数现代解压程序并不支持递归解压。2. 核心创新David Fifield 于 2019 年提出了一种非递归 zip 炸弹构造方法，通过在 zip 容器内重叠文件实现超高压缩比。该方法仅需一次解压轮次即可完全展开，压缩比可达 2800 万倍（10 MB 压缩文件可解压出 281 TB 数据）。3. 技术意义该技术揭示了 zip 格式规范和实现中的安全漏洞，展示了格式歧义性可能被滥用的方式。研究对文件解析器设计和安全防护具有重要参考价值。二、Zip 文件结构分析1. 基本组成Zip 文件由中央目录和文件条目组成：graph TB subgraph Zip文件结构 A[Local File Headers] --> B[File Data] B --> C[More Files...] C --> D[Central Directory] D --> E[End of Central Directory Record] end D -->|反向指针| A D -->|反向指针| C2. 关键组件中央目录头：46 字节 + 文件名长度，包含文件元数据和向后指针本地文件头：30 字节 + 文件名长度，包含压缩/解压大小信息文件数据：使用 DEFLATE 算法压缩的实际数据三、核心攻击技术1. 第一个洞察：文件重叠通过让多个中央目录头指向同一个本地文件头，实现数据内核的重复利用：graph LR subgraph 重叠文件结构 CDH1[Central Directory Header 1] CDH2[Central Directory Header 2] CDHN[Central Directory Header N] LFH[Single Local File Header] KD[Compressed Kernel Data] end CDH1 -->|指向| LFH CDH2 -->|指向| LFH CDHN -->|指向| LFH LFH --> KD压缩比分析：首个文件引用：内核大小 + 头部开销后续文件引用：仅需 47 字节（中央目录头）压缩比接近 1,000,000 / 47 ≈ 21,2772. 第二个洞察：引用本地文件头为解决文件名不匹配问题，使用 DEFLATE 非压缩块来"引用"后续的本地文件头：graph TD subgraph 引用重叠结构 CDH1[CDH File A] --> LFH1[LFH File A] CDH2[CDH File B] --> LFH2[LFH File B] CDHN[CDH File Z] --> LFHN[LFH File Z] LFH1 --> QB1[Quote Block] QB1 --> LFH2 LFH2 --> QB2[Quote Block] QB2 --> LFH3 LFHN --> KD[Kernel Data] end工作原理：DEFLATE 流包含压缩块和非压缩块非压缩块以 5 字节头部开始，指示"原样输出接下来的 n 个字节"将后续本地文件头作为非压缩块数据，使其既作为代码结构又作为文件内容四、技术优化1. 内核压缩优化使用自定义 DEFLATE 压缩器 bulk_deflate：专门针对重复字节字符串优化压缩比比 zlib 高约 26 kB，比 Zopfli 高约 15 kB仅支持特定长度：517 + 258^k（k ≥ 0）2. 文件名优化为兼容性考虑，使用 36 字符集（0-9，A-Z）生成文件名：避免 CP 437 和 UTF-8 编码差异跳过文件系统特殊字符最长文件名放在最后（因其被引用次数最多）3. 内核大小优化数学模型表明最优分配约为：内核大小 ≈ 文件大小 / 2文件头部开销 ≈ 文件大小 / 2输出大小随输入大小二次增长4. 格式限制利用Zip 格式限制：最大文件数：2^16 - 1（兼容性考虑为 2^16 - 2）最大解压文件大小：2^32 - 1 字节（兼容性考虑为 2^32 - 2）在限制下达到的最大压缩比：2800 万倍五、实际攻击样本样本文件压缩大小解压大小压缩比zbsm.zip42 kB5.5 GB129,000 倍zblg.zip10 MB281 TB28,000,000 倍zbxl.zip46 MB4.5 PB98,000,000 倍（Zip64，兼容性较差）与传统 42.zip 对比（42,374 字节）：递归解压：4.5 PB（1060 亿倍压缩比）单层解压：0.6 M…

Parrot OS 7.0 正式发布：底层重写与安全工具全面升级
type: item
date: 2026-01-16T05:46:52+00:00
description: Parrot OS 7.0 正式发布：底层重写与安全工具全面升级一、新闻概述1. 标题Parrot OS 7.0 正式发布：底层重写与安全工具全面升级2. 发布时间2025 年 1 月（根据微信文章发布时间）3. 来源民工哥技术之路（微信公众号）二、核心内容1. 事件摘要A. 主要内容Parrot OS 团队发布了代号为 Echo 的 7.0 版本，这是一次重大升级更新，涵盖系统基础、工具集、AI 探索及多架构支持等方面。B. 核心亮点基于 Debian 13「Trixie」构建，搭载 Linux 6.12 LTS 长期支持内核采用运行在 Wayland 之上的 KDE Plasma 6 桌面环境新增大量安全工具，包括 ConvoC2、goshs、evil-winrm-py、AutoRecon 等首次引入 AI 工具分类，包含 HexStrike AI 安全测试工具首次提供 RISC-V 架构的预构建 rootfs2. 关键信息A. 版本号Parrot 7.0（代号 Echo）B. 重要数据基于 Debian 13「Trixie」Linux 6.12 LTS 内核KDE Plasma 6 桌面环境首次支持 RISC-V 架构C. 涉及产品Parrot OS 安全操作系统3. 背景介绍A. 前置版本Parrot 6.x 系列版本B. 相关上下文Parrot OS 是面向安全研究人员、渗透测试学习者及专业安全发行版用户的 Linux 操作系统，具有标志性的终端绿配色风格。三、详细报道1. 主要内容A. 系统基础升级Parrot 7.0 基于最新的 Debian 13「Trixie」构建，默认搭载 Linux 6.12 LTS 长期支持内核。这一升级在稳定性、安全性和硬件兼容性方面均有明显提升。桌面环境采用运行在 Wayland 之上的 KDE Plasma 6，并针对性能进行了精简优化，在保证流畅度的同时减少资源占用。整体视觉风格延续 Parrot 标志性的终端绿配色。B. 工具集大幅更新新增工具涵盖多个安全领域：ConvoC2：针对 Microsoft Teams 的红队利用工具goshs：使用 Go 编写的轻量级 HTTP 服务器evil-winrm-py：基于 Python 的 Windows 远程命令执行工具AutoRecon：支持多线程的自动化网络侦察工具bpf-linker：简洁高效的 BPF 程序静态链接器PKINITtools：用于 Kerberos PKINIT 与 AD CS 中继攻击Chisel：常用于防火墙穿透的 Go 语言隧道工具BloodHound.py：BloodHound 的 Python 数据采集组件TruffleHog：用于扫描代码与系统中的敏感信息泄露这些工具覆盖了信息收集、横向移动、权限提升和数据分析等多个关键环节。C. AI 工具首次引入Parrot Security 版本首次引入 AI Tools 分类，包含 HexStrike AI 这一基于人工智能的安全测试工具。开发团队明确表示，不打算用 AI 取代安全研究人员，而是希望通过这些工具探索提示注入、防护策略以及大语言模型的安全边界。graph LR A[安全研究人员] --> B[AI Tools] B --> C[HexStrike AI] C --> D[提示注入探索] C --> E[防护策略研究] C --> F[安全边界测试]D. 多架构支持Parrot 7.0 官方首次提供 RISC-V 架构的预构建 rootfs，进一步扩大系统的适用范围。E. 细节改进parrot-tools 元软件包默认安装更多常用工具Parrot Updater 被完全重写为基于 Rust 的图形化程序Docker 与 WSL 镜像同步更新新增脚本可将现有 Debian 系统直接转换为 Parrot2. 技术细节A. 系统架构graph TB subgraph 用户层 A[KDE Plasma 6 桌面环境] B[Parrot Updater Rust 重写] end subgraph 显示层 C[Wayland 显示服务器] end subgraph 应用层 D[AI Tools] E[安全工具集] F[parrot-tools 元包] end subgraph 系统层 G[Linux 6.12 LTS 内核] end subgraph 基础层 H[Debian 13 Trixie] end A --> C B --> C C --> D C --> E C --> F D --> G E --> G F --> G G --> H H --> I[RISC-V 支持] H --> J[传统架构支持]B. 技术栈对比技术组件Parrot 6.xP…

OpenRT：多模态大模型红队测试框架
type: item
date: 2026-01-16T01:27:54+00:00
description: OpenRT：多模态大模型红队测试框架一、概述1. 简介OpenRT 是一个开源的红队测试框架，专门用于评估多模态大语言模型的安全性。该项目由 AI45Lab 开发，集成了 37 种以上的攻击方法，覆盖黑盒和白盒测试场景。A. 核心特性模块化架构：基于插件的组件注册表，支持灵活组合和扩展。丰富的攻击方法：包含 37+ 种攻击技术，涵盖以下类别：白盒攻击：GCG、Visual Jailbreak黑盒优化与模糊：AutoDAN、GPTFuzzer、TreeAttack、SeqAR、RACE黑盒 LLM 驱动优化：PAIR、ReNeLLM、DrAttack、AutoDAN-Turbo黑盒语言与编码：CipherChat、CodeAttack、Multilingual、Jailbroken、ICAt、FlipAttack、MouseTrap、Prefill黑盒上下文欺骗：DeepInception、Crescendo、RedQueen、CoA黑盒多模态：FigStep、IDEATOR、HIMRD、Jailbreak、Multimodal、MMLE黑盒多智能体：ActorAttack、Rainbow Teaming、X-Teaming、EvoSynth多模态支持：同时支持文本和图像攻击向量。全面评估：关键词匹配和 LLM Judge 评估机制。配置驱动：使用 YAML 配置文件定义实验参数。2. 项目信息项目详情作者AI45Lab许可证AGPL-3.0论文arXiv:2601.01592项目主页https://ai45lab.github.io/OpenRT/GitHub Stars188+主要语言Python二、环境准备1. 系统要求Python 3.8+支持 OpenAI API 兼容接口2. 安装步骤方案一：从源码安装git clone https://github.com/AI45Lab/OpenRT.git cd OpenRT pip install -e .方案二：从 PyPI 安装pip install openrt3. 配置 API设置环境变量：export OPENAI_API_KEY="your-api-key" export OPENAI_BASE_URL="https://api.openai.com/v1" # 可选：自定义端点三、项目架构1. 目录结构graph TB Root[OpenRT/] --> Core[core/] Root --> Attacks[attacks/] Root --> Models[models/] Root --> Datasets[datasets/] Root --> Evaluators[evaluators/] Root --> Judges[judges/] Root --> Strategies[strategies/] Root --> Configs[configs/] Root --> Examples[examples/] Root --> Data[data/] Root --> Results[results/] Attacks --> Blackbox[blackbox/] Attacks --> Whitebox[whitebox/] Blackbox --> Opt[optimization/] Blackbox --> LLM[llm/] Blackbox --> Linguistic[linguistic/] Blackbox --> Contextual[contextual/] Blackbox --> Multimodal[multimodal/] Blackbox --> Multiagent[multiagent/] Core --> Orchestrator Core --> Registry核心组件说明：core/：核心框架，包含编排器和注册表attacks/：攻击方法实现blackbox/：黑盒攻击（35+ 种）whitebox/：白盒攻击（GCG、Visual）models/：模型抽象层datasets/：数据集管理evaluators/：评估器judges/：评判器strategies/：策略组件configs/：实验配置文件examples/：使用示例data/：测试数据results/：实验结果2. 工作流程sequenceDiagram participant U as 用户 participant C as Config participant O as Orchestrator participant A as Attack participant M as Target Model participant J a…

DumpChromeSecrets Chrome数据提取工具技术分析
type: item
date: 2026-01-15T12:21:20+00:00
description: DumpChromeSecrets Chrome数据提取工具技术分析一、概述1. 简介A. 是什么DumpChromeSecrets 是由 Maldev Academy 开发的 Chrome 浏览器数据提取工具，专门用于从现代版本的 Chrome 中提取敏感数据，包括刷新令牌、Cookie、保存的凭据、自动填充数据、浏览历史和书签。B. 核心特点支持 Chrome 127+ 的 App-Bound 加密绕过通过进程注入和 DLL 注入技术提取数据使用 Early Bird APC 注入技术通过命名管道进行进程间通信C. 项目状态该项目已停止维护，推荐使用其继任者 DumpBrowserSecrets，支持更多浏览器。2. 技术背景A. Chrome 加密机制演进从 Chrome 127 版本开始，Google 引入了 App-Bound Encryption（应用绑定加密）机制，将 Cookie 加密密钥与 Chrome 应用身份绑定。这一机制显著提高了数据提取的难度。B. 传统的数据提取方式在 Chrome 127 之前，主要使用 DPAPI（Data Protection API）解密主密钥，然后使用该密钥解密 Cookie 和登录数据。二、Chrome 加密机制分析1. App-Bound Encryption 原理A. 加密密钥存储App-Bound 加密密钥（名为 app_bound_encrypted_key）存储在用户数据目录的 Local State 文件中，格式为 JSON。graph TD A[Local State 文件] --> B[app_bound_encrypted_key] B --> C[DPAPI 加密] C --> D[需要 IElevator 解密] D --> E[最终密钥] E --> F[解密 Cookie/登录数据]B. IElevator COM 接口Chrome 的提升服务通过 IElevator COM 接口提供了解密能力，只有 Chrome 自身的进程上下文才能调用该接口。这是 App-Bound 加密保护的核心机制。2. 数据存储结构数据类型数据库路径格式加密方式App-Bound 密钥User Data\Local StateJSONDPAPI + IElevatorCookieUser Data\Default\Network\CookiesSQLiteAES-256-GCM (v20)登录凭据User Data\Default\Login DataSQLiteAES-256-GCM (v20)令牌User Data\Default\Web DataSQLiteAES-256-GCM (v20)自动填充User Data\Default\Web DataSQLite无历史记录User Data\Default\HistorySQLite无书签User Data\Default\BookmarksJSON无三、工具架构设计1. 组件结构graph TB A[DumpChromeSecrets.exe] --> B[创建 Chrome 进程] B --> C[Early Bird APC 注入] C --> D[DllExtractChromeSecrets.dll] D --> E[调用 IElevator] E --> F[解密 App-Bound 密钥] F --> G[提取 SQLite 数据] G --> H[命名管道] H --> I[输出 JSON 文件]2. 核心组件A. 可执行文件创建无头 Chrome 进程通过 Early Bird APC 注入技术加载 DLL通过命名管道接收提取的数据B. DLL 模块在 Chrome 进程上下文中运行调用 IElevator COM 接口解密密钥从 SQLite 数据库提取并解密数据四、技术实现细节1. Early Bird APC 注入Early Bird APC 注入是一种进程注入技术，其原理是在进程初始化的早期阶段通过异步过程调用（APC）队列注入代码。sequenceDiagram participant EXE as 可执行文件 participant CP as Chrome 进程 participant DLL as 注入的 DLL participant IE as IElevator 服务 EXE->>CP: 创建挂起的 Chrome 进程 EXE->>DLL: 通过 APC 队列注入 DLL DLL->>CP: 在进程上下文中执行 DLL->>IE: 调用 DecryptData IE-->>DLL: 返回解密后的密钥 DLL->>DLL: 解密 SQLite 数据 DLL->>EXE: 通过…

nasa42/Webterm 终端穿透访问技术分析
type: item
date: 2026-01-15T09:23:51+00:00
description: nasa42/Webterm 终端穿透访问技术分析项目概述Webterm 是一个用 Rust 编写的轻量级工具，旨在提供安全的、基于浏览器的远程终端访问能力。该项目主要解决防火墙后、私有网络或动态 IP 环境下的服务器访问问题。项目地址：https://github.com/nasa42/webterm官方状态：早期开发阶段，不建议生产环境使用。核心问题分析问题定义传统 SSH 访问在以下场景存在限制：防火墙限制：入站连接被阻止私有网络：设备仅拥有私有 IP（如负载均衡器或 NAT 后）端口限制：无法开放或转发额外端口动态 IP：家庭服务器 IP 频繁变化客户端限制：受限环境无 SSH 客户端解决方案核心Webterm 通过三层架构解决上述问题：Agent：运行在目标设备上的轻量级二进制程序Relay：无状态中继服务器，仅转发加密数据Frontend：静态前端网站，通过浏览器访问系统架构架构图组件说明组件技术实现作用AgentRust 二进制在设备上运行，保持与 Relay 的持久 WebSocket 连接Relay无状态服务器路由 Agent 与 Frontend 之间的通信Frontend静态网站浏览器端终端界面数据流向用户浏览器 --[WebSocket]--> Relay --[WebSocket]--> Agent --> PTY 会话认证与加密机制认证流程零知识证明认证Agent 使用 Device Name 和 Secret Key 向 Relay 注册Frontend 请求连接时，Relay 向 Agent 转发请求Agent 使用零知识证明验证 Frontend 身份密钥不传输：原始 Secret Key 永不通过网络传输加密方案机制实现方式密钥派生PBKDF2传输加密AES256-GCM中继安全零信任（仅转发加密数据）技术特性性能特点内存占用：空闲时低于 10 MB通信协议：FlatBuffers 高效序列化持久会话：支持数天/数周后重连安全特性端到端加密：所有通信使用 AES256-GCM零信任中继：Relay 无法读取消息内容静态前端：未压缩代码便于审计自托管支持：可自行部署 Relay 和 Frontend功能特性多终端支持：单设备多会话设备子名称：多设备共享同一 Device NameIP 变更容忍：设备 IP 变化不影响连接部署与使用快速安装# 安装 Agent curl -sSfL https://webterm.run/install.sh | bash # 启动 Agent webterm-agent --device-name <DEVICE_NAME> --secret-key <SECRET_KEY>访问终端访问 https://webterm.run 并使用相同凭据连接。与 SSH 对比维度SSHWebterm网络要求需开放端口仅需出站连接客户端SSH 客户端浏览器会话持久否是动态 IP不友好支持审计能力依赖日志流计划支持应用场景远程访问：浏览器安全连接服务器容器管理：无需开放网络端口管理 Docker嵌入式/IoT：树莓派等低功耗 Linux 系统个人设备：家庭服务器或笔记本远程访问发展路线[ ] SSO 单点登录集成[ ] 文件浏览器功能[ ] 审计日志记录[ ] 实时服务器指标[ ] 自定义插件支持[ ] Relay 故障转移与负载均衡技术分析总结优势网络穿透能力强：解决传统 NAT 穿透问题安全性设计完善：零知识证明 + 端到端加密资源占用极低：适合资源受限环境跨平台访问：仅需现代浏览器风险与限制项目早期阶段：功能不完整，API 可能变化依赖中继服务：默认使用 webterm.run 公共中继仅支持 Linux：当前仅支持基于 Linux 的系统架构启示Webterm 的三层架构设计体现了现代 Web 应用在受限网络环境下的创新解决方案：反向连接模式：Agent 主动连接 Relay，避免入站端口需求加密数据平面：中继仅转发，无法窃听状态最小化：Relay 无状态设计便于横向扩展参考资料项目仓库：https://github.com/nasa42/webterm官方网站：https://webterm.run