WSIStreamer 云原生 WSI 流媒体服务器技术分析一、项目概述1. 项目背景WSIStreamer 是一个现代化的云原生全切片图像瓦片服务器。全切片图像通常体积巨大（1-3GB+），传统查看器需要下载整个文件才能显示单个瓦片，这在云存储场景下效率极低。2. 核心创新WSIStreamer 采用完全不同的方法：原生理解切片格式，通过 HTTP Range 请求仅获取所需的字节，立即返回 JPEG 瓦片。这实现了真正的按需流式传输，无需本地文件存储。3. 项目亮点一行命令启动服务：无需配置文件、无本地存储、无复杂设置云原生设计：直接从 S3 兼容对象存储服务生产级就绪：支持 HMAC-SHA256 签名 URL 认证多级缓存：切片、块、编码瓦片三级缓存机制二、技术架构1. 系统架构WSIStreamer 采用分层架构设计，核心是理解 WSI 格式并按需提取数据。graph TB Client[客户端浏览器] -->|HTTP 请求| Server[WSIStreamer 服务器] Server -->|Range 请求| S3[S3 兼容存储] Server -->|格式解析| Parser[Rust 解析器] Parser -->|Aperio SVS| SVS[SVS 格式] Parser -->|Pyramidal TIFF| TIFF[TIFF 格式] Server -->|JPEG 瓦片| Client Server -->|多级缓存| Cache[缓存系统] Cache --> L1[切片缓存] Cache --> L2[块缓存] Cache --> L3[瓦片缓存]2. 核心组件A. 格式解析器Aperio SVS 解析器：处理 SVS 格式医学图像Pyramidal TIFF 解析器：支持金字塔 TIFF 格式压缩支持：JPEG、JPEG 2000B. 存储适配器AWS S3 原生支持S3 兼容存储（MinIO、Ceph 等）HTTP Range 请求优化C. 缓存系统切片级缓存：默认最多 100 个切片块级缓存：减少重复的 Range 请求瓦片缓存：编码后的 JPEG 瓦片，默认 100MBD. Web 查看器基于 OpenSeadragon支持平移、缩放深色主题3. 工作流程sequenceDiagram participant U as 用户浏览器 participant W as WSIStreamer participant S as S3 存储 U->>W: 请求瓦片 /tiles/slide.svs/0/0/0.jpg W->>W: 检查缓存 alt 缓存命中 W-->>U: 返回 JPEG 瓦片 else 缓存未命中 W->>W: 解析切片文件结构 W->>S: Range 请求（仅所需字节） S-->>W: 返回图像块数据 W->>W: 解码并裁剪瓦片 W->>W: JPEG 编码 W->>W: 存入缓存 W-->>U: 返回 JPEG 瓦片 end三、技术实现1. 开发语言与框架语言：Rust 97.1%（Shell 2.3%、Dockerfile 0.6%）Web 框架：基于 Rust 异步运行时图像处理：原生 Rust 实现2. 核心功能A. Range 请求优化// 伪代码示例 async fn fetch_tile_range(s3_client: &S3Client, slide_id: &str, offset: u64, length: u64) -> Vec<u8> { s3_client.get_object() .bucket(slide_id) .range(format!("bytes={}-{}", offset, offset + length - 1)) .send() .await .body() .collect() }B. 多级缓存实现L1：切片元数据缓存（避免重复解析文件头）L2：块数据缓存（减少 Range 请求）L3：编码瓦片缓存（直接返回 JPEG）C. 认证机制支持 HMAC-SHA256 签名 URL 认证：graph LR A[客户端] -->|1. 请求签名| B[签名服务] B -->|2. 生成签名URL| A A -->|3. 带签名请求| C[WSIStreamer] C -->|4. 验证签名| C C -->|5. 返回瓦片| A3. API 设计A. RESTful 端点端点方法描述/healthGET健康检查/view/{slide_id}GETWeb 查看器/tiles/{slide_id}/{level}/{x}/{y}.jpgGET获取瓦片/slidesGET列出所有切片/slides/{slide_id}GET切片元数据/slides/{slide_id}/thumbnailGET缩略图/slides/{slide_id}/dziGETDZI 描述符B. 使用示例基本使用：# 从 S3 启动服务 wsi-streamer s3://my-slides-bucket --s3-region eu-west-3 # 自定义端口 wsi-streamer s3://my-slides --port 8080 # 使用 MinIO 等 S3 兼容存储 wsi-streamer s3://slides --s3-endpoint http://localhost:9000API 调用：# 列出切片 curl http://localhost:3000/slides # 获取切片元数据 curl http://localhost:3000/slides/sample.svs # 获取瓦片 curl http://localhost:3000/tiles/sample.svs/0/0/0.jpg -o tile.jpg # 获取缩略图 curl "http://localhost:3000/slides/sample.svs/thumbnail?max_size=256" -o thumb.jpg启用认证：# 启用 HMAC-SHA256 认证 wsi-streamer s3://my-slides --auth-enabled --auth-secret "$SECRET" # 生成签名 URL wsi-streamer sign --path /tiles/slide.svs/0/0/0.jpg --secret "$SECRET" --base-url http://localhost:3000四、部署方案1. 安装方式A. Cargo 安装cargo install wsi-streamerB. 从源码构建git clone https://github.com/PABannier/WSIStreamer.git cd WSIStreamer cargo build --releaseC. Docker 部署# 从 GitHub Container Registry 拉取 docker run -p 3000:3000 -e WSI_S3_BUCKET=my-bucket ghcr.io/pabannier/wsistreamer:latest # 使用 Docker Compose 本地开发 docker compose up --build2. 配置选项所有选项可通过 CLI 标志或环境变量设置：参数环境变量默认值描述--hostWSI_HOST0.0.0.0绑定地址--portWSI_PORT3000HTTP 端口--s3-bucketWSI_S3_BUCKET—S3 存储桶名称--s3-endpointWSI_S3_ENDPOINT—自定义 S3 端点--s3-regionWSI_S3_REGIONus-east-1AWS 区域--auth-enabledWSI_AUTH_ENABLEDfalse启用认证--auth-secretWSI_AUTH_SECRET—HMAC 密钥--cache-slidesWSI_CACHE_SLIDES100最大切片缓存数--cache-tilesWSI_CACHE_TILES100MB瓦片缓存大小--jpeg-qualityWSI_JPEG_QUALITY80JPEG 质量（1-100）--cors-originsWSI_CORS_ORIGINSany允许的 CORS 源3. 验证工具# 检查 S3 连接 wsi-streamer check s3://my-slides # 列出可用切片 wsi-streamer check s3://my-slides --list-slides # 测试特定切片 wsi-streamer check s3://my-slides --test-slide sample.svs五、技术优势1. 性能优势按需加载：仅传输需要的字节数据多级缓存：大幅减少网络请求和计算开销原生性能：Rust 实现保证内存安全和执行效率2. 架构优势无状态设计：易于水平扩展云原生：直接对接对象存储，无需本地文件系统一行命令：极简的使用体验3. 兼容性优势S3 兼容：支持 AWS S3、MinIO、Ceph 等多种存储后端格式支持：Aperio SVS 和 Pyramidal TIFFWeb 标准：输出标准 JPEG 瓦片，兼容任何浏览器六、应用场景1. 医学影像数字病理学：全切片病理图像查看远程会诊：云端的图像共享和协作教学演示：医学教育和培训2. 科研领域高分辨率图像分析：不需要下载整个文件大规模图像数据集：云端存储和按需访问3. 归档系统长期存储：将大型图像归档到 S3 等对象存储按需访问：需要时才提取特定区域七、项目生态1. 版本信息最新版本：v0.4.0（2025 年 1 月 14 日发布）开源协议：MIT项目热度：127 stars，1 fork2. 开发活跃度54 次提交4 个版本发布持续维护中3. 相关链接GitHub：https://github.com/PABannier/WSIStreamercrates.io：https://crates.io/crates/wsi-streamerDocker 镜像：https://github.com/PABannier/WSIStreamer/pkgs/container/wsistreamer八、技术总结WSIStreamer 是一个设计精良的云原生图像流媒体服务器，通过巧妙的架构设计解决了大型医学图像的按需访问问题。其核心优势在于：Range 请求优化：仅传输需要的数据，极大节省带宽多级缓存：三层缓存机制确保高性能极简部署：一行命令即可启动服务云原生：直接对接 S3 存储，无本地依赖该项目展示了 Rust 在系统级编程中的优势，通过内存安全和高性能特性，构建了一个可靠、高效的图像服务解决方案。对于需要处理大型图像的医学影像、科研等领域，WSIStreamer 提供了一个极具价值的开源选择。参考资料WSIStreamer GitHub RepositoryWSIStreamer on crates.ioProject Discussion on Hacker News
Hetty HTTP 安全研究工具技术分析一、概述1. 项目简介Hetty 是一个专为安全研究设计的 HTTP 工具包，旨在成为 Burp Suite Pro 等商业软件的开源替代方案。该项目针对信息安全（infosec）和漏洞赏金（bug bounty）社区的需求，提供强大的 HTTP 流量拦截和分析功能。2. 核心定位A. 开源替代方案Hetty 的核心目标是提供与商业工具 Burp Suite Pro 相当的功能，但以开源 MIT 许可证发布，让所有人都能免费使用。B. 目标用户群体信息安全研究人员漏洞赏金猎人渗透测试工程师Web 应用安全审计人员3. 项目背景Hetty 由 dstotijn 开发，使用 Go 语言编写，目前处于活跃开发状态。项目采用 MIT 许可证，鼓励社区贡献和二次开发。二、核心功能1. MITM HTTP 代理A. 流量拦截中间人攻击（MITM）代理功能完整记录 HTTP/HTTPS 请求和响应支持高级搜索和日志过滤B. 证书管理自动生成根 CA 证书支持自定义证书路径可通过 cert 子命令管理证书2. HTTP 客户端A. 请求编辑手动创建和编辑 HTTP 请求重放代理拦截的请求支持修改请求头、请求体等B. 请求发送直观的请求构建界面支持各种 HTTP 方法实时查看响应结果3. 拦截模式A. 请求拦截拦截发往目标服务器的请求手动审查和修改请求内容支持发送、接收或取消操作B. 响应拦截拦截服务器返回的响应查看和修改响应内容用于测试注入漏洞等场景4. 项目管理A. Scope 功能定义测试范围，保持工作有序基于域名、路径等规则过滤避免测试范围外的请求B. 数据库存储基于 SQLite 的项目数据库每个项目独立存储数据便于管理和切换不同项目5. Web 管理界面A. 用户界面易用的基于 Web 的管理界面实时显示代理日志直观的请求/响应查看器B. 功能布局代理日志视图请求编辑器项目设置面板三、技术架构1. 系统架构graph TB Client[客户端浏览器] -->|HTTP请求| Hetty[Hetty 代理] Hetty -->|转发请求| Target[目标服务器] Target -->|响应| Hetty Hetty -->|返回响应| Client Hetty -->|数据存储| Database[(SQLite 数据库)] Hetty -->|用户交互| WebUI[Web 管理界面] User[安全研究人员] -->|访问| WebUI2. 核心组件A. 代理服务器监听指定端口（默认 8080）处理 HTTP/HTTPS 流量实现 MITM 功能B. GraphQL 服务提供 API 接口支持数据查询和操作与前端界面交互C. 数据库层SQLite 存储项目隔离持久化日志数据D. Web 界面现代化单页应用实时数据更新响应式设计3. 技术栈组件技术选型说明后端语言Go高性能、并发支持好数据库SQLite轻量级、无需额外部署Web 框架内置 HTTP 服务器简化部署前端现代化 JavaScript交互友好代理协议HTTP/HTTPS标准协议支持四、安装部署1. 系统要求A. 操作系统macOS（支持 Homebrew）Linux（各发行版）Windows（支持 Scoop）B. 运行环境端口 8080 可用（可配置）文件系统写入权限（用于证书和数据库）网络连接2. 安装方式A. macOS（推荐）使用 Homebrew 安装：brew install hettysoft/tap/hettyB. Windows使用 Scoop 安装：scoop bucket add hettysoft https://github.com/hettysoft/scoop-bucket.git scoop install hettysoft/hettyC. Linux从 GitHub Releases 下载对应架构的二进制文件，移动到 PATH 目录。D. Docker 部署使用 Docker 运行：docker run -v $HOME/.hetty:/root/.hetty -p 8080:8080 \ ghcr.io/dstotijn/hetty:latest参数说明：-v $HOME/.hetty:/root/.hetty：挂载数据卷，持久化证书和数据库-p 8080:8080：端口映射3. 配置选项A. 命令行参数hetty [flags] [subcommand] [flags]B. 主要选项选项默认值说明--cert~/.hetty/hetty_cert.pem根 CA 证书路径--key~/.hetty/hetty_key.pem根 CA 私钥路径--db~/.hetty/hetty.db数据库文件路径--addr:8080HTTP 服务器监听地址--chromefalse自动启动 Chrome 并配置代理--verbose-启用详细日志--json-以 JSON 格式输出日志--version, -v-输出版本号--help, -h-显示帮助信息C. 子命令cert：证书管理3. 使用流程A. 启动 HettyhettyB. 配置浏览器代理设置 HTTP 代理为 127.0.0.1:8080设置 HTTPS 代理为 127.0.0.1:8080导入 Hetty 生成的 CA 证书到浏览器受信任列表C. 访问管理界面打开浏览器访问：http://127.0.0.1:8080D. 开始测试配置项目 Scope浏览目标网站在 Hetty 中查看拦截的请求使用 HTTP 客户端重放或修改请求五、功能特性详解1. 高级搜索A. 搜索功能支持多条件组合搜索快速定位特定请求基于请求头、响应内容等字段过滤B. 过滤选项按状态码过滤按内容类型过滤按 URL 模式过滤2. Scope 管理A. Scope 定义规则基于域名的包含/排除规则支持通配符匹配实时生效B. Scope 作用限制测试范围，避免误操作过滤无关流量提高工作效率3. 请求重放A. 重放功能从日志中选择请求一键重放支持修改后重放B. 应用场景参数模糊测试权限绕过测试注入漏洞验证4. 拦截模式A. 拦截设置开启/关闭拦截设置拦截规则选择拦截方向（请求/响应）B. 拦截操作查看完整请求/响应修改内容发送、丢弃或转发六、与 Burp Suite 对比1. 功能对比功能HettyBurp Suite ProMITM 代理✅✅请求重放✅✅拦截模式✅✅Intruder（模糊测试）❌✅扫描器❌✅价格免费（MIT）商业付费开源✅❌跨平台✅✅2. 优势分析A. Hetty 优势完全开源免费轻量级部署现代化界面活跃开发中B. Burp Suite Pro 优势功能更全面成熟的工具生态丰富的插件系统企业级支持3. 适用场景A. 选择 Hetty预算有限的安全研究人员需要自定义和扩展功能偏好开源工具轻量级需求B. 选择 Burp Suite Pro需要完整的功能集企业级应用需要官方技术支持复杂的渗透测试场景七、实际应用场景1. 漏洞赏金 huntingA. 工作流程配置目标域名的 Scope浏览目标应用，收集端点使用拦截功能测试参数重放请求进行模糊测试分析响应发现漏洞B. 常见漏洞类型SQL 注入XSS 跨站脚本CSRF 跨站请求伪造权限绕过信息泄露2. 渗透测试A. 测试准备部署 Hetty 代理配置测试目标 Scope导入 CA 证书B. 测试执行拦截并分析流量修改请求测试漏洞重放请求验证发现导出测试报告3. 安全研究A. 流量分析研究 Web 应用行为分析 API 接口挖掘未知漏洞B. 工具开发基于 Hetty 开发插件扩展功能集成到工作流八、项目状态与发展1. 当前状态A. 开发状态项目处于活跃开发中持续更新功能社区贡献欢迎B. 发布渠道GitHub ReleasesHomebrew Tap（macOS）Scoop Bucket（Windows）Docker RegistryDocker Hub2. 社区支持A. 问题反馈GitHub Issues：Bug 报告和功能请求GitHub Discussions：问答和故障排除B. 社区交流Discord 服务器贡献指南行为准则3. 未来规划A. 功能路线图更强大的拦截功能插件系统更多扫描器功能性能优化B. 社区发展文档完善教程和示例用户反馈收集九、最佳实践1. 使用建议A. 项目管理为每个测试目标创建独立项目合理配置 Scope，避免干扰定期备份数据库文件B. 证书管理测试完成后删除导入的 CA 证书生产环境不要使用测试证书保护好私钥文件C. 安全注意事项仅在授权环境中使用不要在公共网络暴露代理妥善处理测试数据2. 工作流优化A. 与其他工具配合结合浏览器开发者工具配合命令行工具（curl）集成到自动化测试流程B. 高效使用技巧熟练使用搜索和过滤合理设置 Scope利用重放功能提高效率十、总结Hetty 是一个有潜力的开源 HTTP 安全研究工具，作为 Burp Suite Pro 的替代方案，它提供了核心的 MITM 代理、请求拦截和重放功能。虽然目前在功能完整性上与商业工具还有差距，但其开源性质和活跃开发使其成为预算有限的安全研究人员的理想选择。对于漏洞赏金猎人和渗透测试工程师来说，Hetty 提供了足够的功能来完成日常的 Web 应用安全测试工作。随着项目的不断发展，未来有望成为更加强大和完整的开源安全测试平台。参考资料Hetty GitHub 仓库Hetty 官方文档
httpx HTTP 多用途探测工具技术分析一、概述1. 简介httpx 是由 ProjectDiscovery 团队开发的一款快速且多用途的 HTTP 工具包，它允许使用 retryablehttp 库运行多种探测。该工具设计用于在增加线程数量的同时保持结果可靠性。2. 核心特点A. 技术优势简单且模块化的代码库，易于贡献快速且完全可配置的标志以探测多个元素支持多种基于 HTTP 的探测智能的 HTTPS 到 HTTP 自动回退机制支持 hosts、URL 和 CIDR 作为输入处理边界情况，包括重试、退避等，以应对 WAF（Web 应用防火墙）B. 应用场景网络资产发现安全测试和渗透测试Bug 赏金狩猎OSINT（开源情报）收集管道化批量处理二、支持的探测类型httpx 提供了丰富的探测选项，默认启用的探测包括：探测类型默认启用描述URL是目标 URLTitle是页面标题Status Code是HTTP 状态码Content Length是响应内容长度TLS Certificate是TLS 证书信息CSP Header是内容安全策略头Line Count是响应行数Word Count是响应词数Location Header是重定向位置Web Server是Web 服务器信息Web Socket是WebSocket 支持Response Time是响应时间Request Method是请求方法Body Hash是响应体哈希Header Hash是响应头哈希URL Scheme是URL 方案（http/https）可选探测类型：IP：主机 IP 地址CNAME：CNAME 记录Raw HTTP：原始 HTTP 响应HTTP2：HTTP/2 支持HTTP Pipeline：HTTP 管道支持Virtual host：虚拟主机探测Paths：路径探测Ports：端口探测Favicon Hash：网站图标哈希Probe Status：探测状态Redirect chain：重定向链JARM Hash：JARM 指纹哈希ASN：自治系统号CDN：CDN/WAF 检测三、安装与配置1. 系统要求httpx 需要 Go >= 1.24.0 版本才能成功安装。2. 安装方法go install -v github.com/projectdiscovery/httpx/cmd/httpx@latest3. Docker 方式docker pull projectdiscovery/httpx4. 配置文件默认配置文件路径：$HOME/.config/httpx/config.yaml四、核心架构1. 工作原理graph TB A[输入源] --> B{输入类型} B -->|hosts| C[DNS解析] B -->|URLs| D[URL标准化] B -->|CIDR| E[IP枚举] C --> F[目标队列] D --> F E --> F F --> G[线程池 默认50线程] G --> H[HTTP探测引擎] H --> I{探测类型} I -->|默认| J[基本探测] I -->|可选| K[高级探测] J --> L[结果收集] K --> L L --> M{输出格式} M -->|JSON| N[JSONL输出] M -->|CSV| O[CSV输出] M -->|标准| P[终端输出] H -->|WAF检测| Q[重试/退避] Q --> H2. 探测流程sequenceDiagram participant C as 客户端 participant H as httpx participant T as 目标服务器 participant WAF as WAF/防火墙 C->>H: 提供目标列表 H->>H: 解析和标准化输入 H->>T: HTTPS 探测 alt HTTPS 成功 T-->>H: HTTPS 响应 H->>H: 执行探测 else HTTPS 失败 H->>T: HTTP 回退探测 alt HTTP 成功 T-->>H: HTTP 响应 H->>H: 执行探测 else HTTP 失败 H->>H: 重试/退避 H->>WAF: WAF 绕过处理 end end H-->>C: 返回探测结果五、使用方法1. 基本用法# 显示帮助 httpx -h # 探测单个目标 httpx -u https://example.com # 探测多个目标 httpx -u https://example.com -u https://example.org # 从文件读取目标 httpx -l targets.txt2. 输出控制# JSON 格式输出 httpx -l targets.txt -json -o results.json # CSV 格式输出 httpx -l targets.txt -csv -o results.csv # 仅输出状态码 httpx -l targets.txt -status-code # 输出多个探测字段 httpx -l targets.txt -status-code -title -server -tech-detect3. 高级探测# 探测自定义端口 httpx -l targets.txt -ports http:8080,https:8443 # 探测虚拟主机 httpx -l targets.txt -vhost # 截图功能 httpx -l targets.txt -screenshot # TLS 指纹探测 httpx -l targets.txt -tls-grab -jarm4. 匹配与过滤# 匹配特定状态码 httpx -l targets.txt -mc 200,301,302 # 匹配特定字符串 httpx -l targets.txt -ms "admin" -ms "login" # 匹配特定响应时间 httpx -l targets.txt -mrt "< 1" # 过滤重复响应 httpx -l targets.txt -filter-duplicates # DSL 条件过滤 httpx -l targets.txt -fdc "status_code==200 && content_length>1000"5. 认证支持httpx 支持基于域名的认证，通过密钥文件配置：# secrets.yaml id: example-auth info: name: Example Auth Config static: - type: Header domains: - api.example.com headers: - key: X-API-Key value: secret-key-here - type: BasicAuth domains-regex: - ".*\\.internal\\.com$" username: admin password: secret使用方式：httpx -l targets.txt -sf secrets.yaml支持的认证类型：BasicAuth：基本认证BearerToken：Bearer 令牌Header：自定义请求头Cookie：Cookie 认证Query：查询参数认证六、作为库使用httpx 可以作为 Go 库使用：package main import ( "context" "fmt" "log" "github.com/projectdiscovery/httpx/internal/httpx" "github.com/projectdiscovery/httpx/runner" ) func main() { // 创建选项 options := httpx.Options{ Methods: []string{"GET", "POST"}, StatusCode: true, Title: true, Server: true, } // 验证选项 if err := options.Validate(); err != nil { log.Fatal(err) } // 创建 runner r, err := runner.New(&runner.Options{ Options: options, Output: os.Stdout, }) if err != nil { log.Fatal(err) } defer r.Close() // 执行探测 if err := r.RunEnumeration(context.Background(), []string{"https://example.com"}); err != nil { log.Fatal(err) } }七、性能优化1. 并发控制# 设置线程数（默认 50） httpx -l targets.txt -threads 100 # 设置速率限制（默认 150 req/s） httpx -l targets.txt -rate-limit 200 # 设置每分钟速率限制 httpx -l targets.txt -rate-limit-minute 100002. 超时与重试# 设置超时时间（默认 10 秒） httpx -l targets.txt -timeout 5 # 设置重试次数 httpx -l targets.txt -retries 3 # 设置请求延迟 httpx -l targets.txt -delay 100ms3. 优化选项# 禁用回退，探测两种协议 httpx -l targets.txt -no-fallback # 禁用自动 CDN 检测 httpx -l targets.txt -cdn false # 限制响应大小 httpx -l targets.txt -response-size-to-read 1048576八、典型应用场景1. 资产发现# 子域名存活探测 cat subdomains.txt | httpx -silent -status-code -title # IP 段 HTTP 服务发现 echo "192.168.1.0/24" | httpx -ports 80,443,80802. 安全测试# 查找敏感页面 httpx -l urls.txt -path admin,login,wp-admin -status-code -mc 200 # 技术栈识别 httpx -l targets.txt -tech-detect -json # 截图收集 httpx -l targets.txt -screenshot -store-response-dir screenshots3. Bug 赏金狩猎# 探测未授权端点 httpx -l targets.txt -paths common-paths.txt -status-code -mc 200,403 # 查找信息泄露 httpx -l targets.txt -ms "Error" -ms "Exception" -ms "Warning"4. 批量处理# 管道模式 cat targets.txt | httpx -stream | grep "200" # 组合其他工具 subfinder -d example.com | httpx -silent -title | nuclei九、注意事项1. 免责声明本项目处于活跃开发中，预期会有破坏性更改更新前请查看变更日志该工具主要设计为独立 CLI 工具，作为服务运行可能存在安全风险2. 特定标志使用以下标志应用于特定用例，不应与其他探测默认运行：-ports：端口探测-path：路径探测-vhost：虚拟主机探测-screenshot：截图-csp-probe：CSP 域名探测-tls-probe：TLS 域名探测-favicon：Favicon 哈希-http2：HTTP/2 探测-pipeline：HTTP 管道-tls-impersonate：TLS 伪装3. 输入模式支持 Burp Suite XML 导出：-l burp-export.xml -im burp自定义解析器支持多种协议：doh、tcp、udp格式：protocol:resolver:port（如 udp:127.0.0.1:53）十、社区与生态1. 项目数据Stars：9.4kForks：1k贡献者：100+使用者：256 个项目最新版本：v1.7.4（2025 年 12 月）2. 技术栈Go 61.7%HTML 37.9%其他 0.4%3. 相关工具retryablehttp-go：底层 HTTP 客户端库nuclei：漏洞扫描工具subfinder：子域名发现工具参考资料httpx GitHub 仓库httpx 官方文档ProjectDiscovery 团队
UAT-8837 组织利用 Sitecore 零日漏洞攻击技术分析一、新闻概述1. 标题中国关联黑客组织 UAT-8837 利用 Sitecore 零日漏洞获取初始访问权限2. 发布时间2026 年 1 月 16 日3. 来源BleepingComputer，基于 Cisco Talos 安全研究报告二、核心内容1. 事件摘要A. 主要内容一个追踪代号为 UAT-8837 的中国关联高级威胁组织，正专注于攻击北美地区的关键基础设施系统，通过利用已知漏洞和零日漏洞获取初始访问权限。B. 核心亮点利用 Sitecore ViewState 反序列化零日漏洞（CVE-2025-53690）针对北美关键基础设施的初始访问攻击使用大量开源工具和 LOTL（Living Off The Land）技术目标是获取凭证和 Active Directory 拓扑信息2. 关键信息A. 漏洞编号CVE-2025-53690（Sitecore ViewState 反序列化零日漏洞）B. 重要数据活跃时间：至少从 2025 年开始目标区域：北美关键基础设施攻击目的：获取初始访问权限C. 涉及产品Sitecore 产品Windows 系统Active Directory3. 背景介绍A. 相关组织Cisco Talos 研究人员在之前的报告中还提到了另一个中国关联组织 UAT-7290，该组织自 2022 年以来活跃，同样负责获取访问权限，但还涉及间谍活动。B. 相关上下文Mandiant 研究人员在 2025 年 9 月初报告称 CVE-2025-53690 为正在被积极利用的零日漏洞，在攻击中观察到了名为 WeepSteel 的侦察后门部署。三、详细报道1. 主要内容A. 攻击流程UAT-8837 的攻击通常从以下两种方式开始：利用泄露的凭证利用服务器漏洞在最近的事件中，威胁者利用了 CVE-2025-53690，这是 Sitecore 产品中的一个 ViewState 反序列化零日漏洞。B. 攻击技术ViewState 反序列化攻击凭证窃取和滥用Active Directory 枚举和侦察远程命令执行（WMI、DCOM）C. 后渗透活动使用 Windows 原生命令进行主机和网络侦察禁用 RDP RestrictedAdmin 以便利凭证收集人工键盘操作执行各种命令收集敏感数据2. 技术细节A. 攻击链路graph LR A[初始访问] --> B{攻击向量} B -->|泄露凭证| C[凭证登录] B -->|漏洞利用| D[零日漏洞] D --> E[CVE-2025-53690] E --> F[ViewState 反序列化] F --> G[部署 WeepSteel 后门] C --> H[网络侦察] G --> H H --> I[凭证窃取] I --> J[AD 枚举] J --> K[横向移动] K --> L[数据窃取]B. 工具清单凭证窃取工具：GoTokenTheft：窃取访问令牌Rubeus：滥用 KerberosCertipy：收集 Active Directory 相关凭证和证书数据Active Directory 枚举工具：SharpHound：枚举用户、组、SPN、服务账户和域关系Certipy：证书相关枚举setspn：服务主体名称枚举dsquery、dsget：目录服务查询远程执行工具：Impacket：通过 WMI 和 DCOM 执行远程命令Invoke-WMIExec：WMI 命令执行GoExec：Go 编写的执行工具SharpWMI：Sharp 编写的 WMI 工具攻击者在检测阻止执行时会循环使用这些工具隧道和持久化工具：Earthworm：创建反向 SOCKS 隧道，将内部系统暴露给攻击者控制的基础设施DWAgent：用于维持访问权限和部署额外负载的远程管理工具C. 攻击目标根据执行的命令分析，攻击者的主要目标包括：凭证收集Active Directory 拓扑和信任关系安全策略和配置信息密码和设置信息D. 供应链攻击风险至少在一次入侵中，黑客窃取了受害者使用的产品 DLL 文件，这可能用于未来的木马化植入和供应链攻击。3. 数据与事实A. 组织归属Cisco Talos 对 UAT-8837 与中国运营的关联有中等信心，评估基于与其他已知中国关联威胁组织的战术、技术和程序（TTP）重叠。B. 检测绕过UAT-8837 主要使用开源系统和 LOTL 实用程序，不断循环变体以逃避检测。四、影响分析1. 行业影响A. 安全趋势零日漏洞利用持续威胁关键基础设施ViewState 反序列化成为 Web 应用攻击的重要向量LOTL 技术的使用增加了检测难度B. 攻击趋势针对初始访问的攻击组织专业化分工凭证窃取和 AD 枚举成为攻击的标准流程供应链攻击风险上升2. 用户影响A. Sitecore 用户需要立即检查是否存在 CVE-2025-53690 漏洞监控异常的 ViewState 处理活动加强 Active Directory 安全监控B. 关键基础设施北美地区的能源、交通、通信等行业是主要目标需要加强凭证管理和访问控制建立完善的入侵检测和响应机制C. 防御建议及时修补已知漏洞监控异常的网络活动和命令执行实施 Active Directory 安全最佳实践使用多因素认证加强凭证保护3. 技术趋势A. 攻击技术方向持续利用零日漏洞获取初始访问更多使用开源工具和 LOLBins 降低攻击成本人工键盘操作和自动化工具结合使用B. 防御技术方向需要更好的行为分析和异常检测加强 Web 应用输入验证和反序列化安全实施 Zero Trust 架构减少横向移动风险五、各方反应1. 官方回应Cisco Talos 发布了详细的安全研究报告，提供了攻击中使用的命令和工具示例，以及 UAT-8837 活动的入侵指标（IOC）列表。2. 业内评价A. Mandiant 报告Mandiant 研究人员在 2025 年 9 月初首次报告了 CVE-2025-53690 的主动利用情况，观察到 WeepSteel 侦察后门的部署。B. Cisco Talos 分析Cisco Talos 强调了该组织的专业化和工具链的多样化，指出其持续改进检测绕过技术。3. 用户反馈A. 安全关注Sitecore 用户需要紧急评估漏洞风险关键基础设施运营商应加强安全监控B. 防御挑战LOTL 技术的检测难度较高需要综合使用多种安全工具和策略六、相关链接1. 官方公告Cisco Talos 安全研究报告Mandiant CVE-2025-53690 报告Sitecore 安全公告2. 相关报道BleepingComputer 原始报道Cisco AsyncOS 零日漏洞修补报告VMware ESXi 零日漏洞分析3. 技术文档ViewState 反序列化漏洞原理Active Directory 安全最佳实践LOTL 攻击检测指南七、技术深度解析1. ViewState 反序列化漏洞A. 漏洞原理ViewState 是 ASP.NET Web 表单中用于保持页面状态的技术。当应用程序使用不安全的反序列化配置时，攻击者可以构造恶意的 ViewState 数据，在服务器端反序列化过程中执行任意代码。B. 攻击流程攻击者分析目标 Sitecore 应用程序识别 ViewState 处理端点生成恶意序列化 payload发送包含恶意 ViewState 的请求服务器反序列化 payload 并执行恶意代码部署后门并建立持久化访问C. 防御措施启用 ViewState MAC（消息认证代码）使用强密钥加密 ViewState禁用不必要的 ViewState 功能实施输入验证和输出编码定期更新 .NET 框架和 Sitecore 版本2. Active Directory 攻击技术A. 凭证窃取攻击者使用多种工具窃取凭证：LSASS 内存转储分析Kerberos 票据窃取和重放证书私钥提取NTLM 哈希获取B. 权限提升Kerberoasting 攻击Golden Ticket 创建SID History 注入ACL 滥用C. 横向移动WMI 和 DCOM 远程命令执行PSExec 和 WMIExecSMB 和 WinRM 利用计划任务和服务创建3. 检测和响应A. 入侵指标异常的 ViewState 处理活动异常的进程执行模式大量的 AD 枚举查询异常的网络连接和数据传输B. 日志监控Web 服务器访问日志Windows 事件日志（事件 ID 4624、4625、4672、4648 等）PowerShell 脚本块日志网络流量日志C. 应急响应隔离受影响的系统收集和保存证据分析攻击范围和影响重置泄露的凭证修补漏洞并加强安全措施监控持续的异常活动参考资料China-linked hackers exploited Sitecore zero-day for initial accessCisco Talos Intelligence BlogMandiant CVE-2025-53690 Analysis
移动魔百盒 OTT 流媒体鉴权机制技术分析
移动魔百盒 OTT 流媒体鉴权机制技术分析一、概述1. 事件背景移动魔百盒是中国移动推出的 OTT（Over-The-Top）机顶盒设备，通过互联网协议传输视频内容，而非传统的 IPTV 专网传输。该设备将认证信息存储在本地，使得设备可以在任意网络环境下播放内容。2. 核心发现通过技术分析发现，魔百盒使用 HTTP 单播流传输视频内容，认证信息存储在设备本地。通过抓包分析可以获取播放地址，实现跨设备观看直播电视节目。二、系统架构分析1. 技术架构graph TB subgraph 魔百盒设备 A[认证模块] --> B[AuthInfo] C[APP客户端] --> D[频道列表] E[播放器] --> F[HTTP流] end subgraph 网络传输 F --> G[Wireshark抓包] G --> H[CSV导出] H --> I[Python脚本处理] end subgraph 第三方设备 I --> J[播放列表] J --> K[任意播放器] K --> L[视频服务器] end L --> F2. 传输协议分析A. 协议类型传输协议：HTTP 单播流编码格式：H.264/H.265 视频编码容器格式：TS（Transport Stream）或 FLVB. 流量特征每个频道独立的 HTTP 流包含鉴权参数的 URL实时流式传输，非下载三、鉴权机制1. 认证信息存储sequenceDiagram participant 设备 as 魔百盒设备 participant 认证服务器 as 移动认证服务器 participant CDN as 视频CDN 设备->>认证服务器: 请求 AuthInfo 认证服务器-->>设备: 返回鉴权令牌 设备->>CDN: HTTP 请求 (携带 AuthInfo) CDN->>认证服务器: 验证令牌 认证服务器-->>CDN: 验证通过 CDN-->>设备: 返回视频流2. 鉴权参数特征A. AuthInfo 结构每个节目独立的 AuthInfo包含设备标识、时间戳、签名等参数有效期未知（测试显示至少 48 小时）B. 安全机制设备绑定：AuthInfo 与特定设备关联时效性：包含过期时间参数签名验证：防止 URL 被篡改四、技术实现1. 抓包分析方法A. 工具准备# 安装 Wireshark sudo apt install wireshark # 启动抓包 sudo wiresharkB. 过滤规则# HTTP 流过滤 http.request.method == "GET" && http.request.uri contains ".m3u8" # 目标服务器过滤 ip.addr == [CDN IP地址]2. 数据提取流程graph LR A[Wireshark抓包] --> B[导出CSV] B --> C[Python脚本解析] C --> D[提取URL] D --> E[生成M3U播放列表] E --> F[导入播放器]3. Python 处理脚本示例import csv import re def extract_urls_from_csv(csv_file): """从 Wireshark 导出的 CSV 中提取播放 URL""" urls = [] with open(csv_file, 'r') as f: reader = csv.DictReader(f) for row in reader: url = row.get('_ws.col.Info') if '.m3u8' in url or '.flv' in url: urls.append(url) return urls def generate_m3u_playlist(urls, output_file): """生成 M3U 播放列表""" with open(output_file, 'w') as f: f.write('#EXTM3U\n') for idx, url in enumerate(urls, 1): f.write(f'#EXTINF:-1,Channel {idx:03d}\n') f.write(f'{url}\n') # 使用示例 urls = extract_urls_from_csv('capture.csv') generate_m3u_playlist(urls, 'playlist.m3u')五、优缺点分析1. 优点A. 网络独立性不依赖路由器转发或内网限制可在任意网络环境下使用支持移动网络播放B. 设备兼容性支持任意支持 HTTP 流的播放器可在手机、电脑、电视等设备观看不局限于专用硬件C. 内容质量单播流保证带宽充足画质和流畅度优于传统 IPTV2. 缺点A. 稳定性问题鉴权有效期不确定可能随时被服务商封禁依赖第三方 CDN 服务B. 技术限制需要物理访问魔百盒设备频道列表需要手动获取缺少电子节目单（EPG）信息C. 法律风险可能违反服务条款存在版权和法律风险仅供技术研究和学习使用六、技术总结1. 系统特点移动魔百盒采用 OTT 架构，将认证信息存储在设备本地，通过 HTTP 单播流传输视频内容。这种设计既保证了内容的安全性（通过鉴权机制），又提供了良好的用户体验（高质量流媒体）。2. 安全考虑AuthInfo 的有效期机制防止长期滥用设备绑定机制限制共享范围但本地存储仍存在被提取的风险3. 应用场景个人学习和研究理解 OTT 流媒体架构学习 HTTP 流媒体协议参考资料小鲸社长 on X: 移动魔百盒技术分析
Cloudflare Radar 2025 互联网发展回顾技术分析一、新闻概述1. 标题Cloudflare Radar 2025 年度回顾：生成式 AI 爆发、IPv6 采用率持续增长、超大规模 DDoS 攻击激增2. 发布时间2025 年3. 来源Cloudflare Radar 官方二、核心内容1. 事件摘要A. 主要内容Cloudflare 发布 2025 年度互联网回顾报告，通过其全球网络观测到的数据，展示了过去一年互联网的发展趋势和变化。B. 核心亮点生成式 AI 持续爆发式增长，Claude、Perplexity 和 Gemini 成为 ChatGPT 的主要竞争对手Google 仍稳居流量榜首，Instagram 和 YouTube 在 2025 年进入前十后量子加密技术使用率快速提升超大规模 DDoS 攻击规模增长约 10 倍RPKI 有效 IPv4 路由全球份额增长至 53.9%2. 关键信息A. 数据范围基于 Cloudflare 全球网络数据覆盖 2025 年全年互联网流量包含 1.1.1.1 公共 DNS 的聚合数据B. 涉及领域流量增长与互联网服务生成式 AI 发展协议采用（HTTP/3、IPv6、后量子加密）安全威胁与防护移动与桌面设备趋势3. 背景介绍A. Cloudflare RadarCloudflare Radar 是 Cloudflare 推出的互联网洞察平台，通过其全球网络数据提供互联网流量、安全、连接性等多维度分析。B. 相关上下文2025 年是生成式 AI 快速普及的一年，同时网络安全威胁持续演进，Cloudflare 作为全球领先的 CDN 和安全服务提供商，其数据具有行业代表性。三、详细报道1. 主要内容A. 互联网流量增长互联网流量持续增长，反映了人们对互联网的依赖程度不断加深。流量趋势线从 1 月中旬开始，排除了新年后工作和学校回归后互联网活动正常化的影响。B. 互联网服务排名变化生成式 AI 在 2025 年持续爆发式增长：Claude、Perplexity 和 Gemini 成为 ChatGPT 的主要竞争对手社交媒体方面，在 Facebook、Instagram 和 TikTok 三大巨头之后，Snapchat 的表现超过了 X元宇宙领域，Roblox 仍然保持领先地位整体而言，Google 仍然位居榜首，但 Instagram 和 YouTube 在 2025 年进入前十C. SpaceX Starlink 流量趋势SpaceX Starlink 继续为服务不足或未服务的地区提供卫星互联网连接。Cloudflare 分析了其自治系统（AS14593）在 2025 年期间的聚合请求流量。D. IPv4 流量分布可视化使用希尔伯特曲线对互联网 IPv4 地址空间进行可视化展示，展示从 2025 年 1 月 1 日到 12 月 2 日的聚合流量，IP 地址聚合在 /20 级别，每个单元格代表来自 4096 个 IPv4 地址的流量。E. 后量子加密Cloudflare Research 团队自 2017 年开始研究后量子密码学。2022 年 10 月，Cloudflare 在其网络上默认启用了后量子密钥协商，随着浏览器默认支持的启用，使用率快速增长。F. 已验证机器人流量趋势Cloudflare Radar 的机器人目录跟踪了十几个类别中的数百个已验证机器人，每个机器人都表现出独特的流量模式。2. 技术细节A. AI 爬虫与爬取比例爬取到引用比例指标首先根据 User-Agent 标头映射 HTML 页面的爬取请求，根据 Referer 标头映射 HTML 页面的引用请求，按平台分类。Y 轴使用对数刻度以便更好地可视化所有包含的系列。B. AI 机器人流量分类AI 机器人主要出于三个目的爬取内容：训练：爬取网站以收集用于进一步训练大语言模型（LLM）的内容搜索：检索内容以支持聊天平台搜索功能以及检索增强生成（RAG）用户操作：作为用户指示的任务或操作的一部分访问 Web 内容C. Workers AI 模型与任务流行度Cloudflare 与 AI 模型提供商密切合作，确保 Workers AI 在模型发布后尽快支持这些模型。2025 年初，Radar 开始提供对公开可用支持的模型流行度以及这些模型执行的任务类型的可见性。D. AI 机器人流量份额将 HTML 内容的请求流量分类为来自人类、AI 机器人或其他类型的机器人（非 AI）。显示 AI 机器人的流量份额在全年中的变化情况。graph TB subgraph AI_Bots["AI 机器人流量分类"] Training[训练型] Search[搜索型] UserAction[用户操作型] end subgraph Purpose["爬取目的"] Training --> LLM[大语言模型训练] Search --> RAG[检索增强生成] UserAction --> Task[用户任务执行] end subgraph Content["内容类型"] HTML[HTML页面] API[API接口] end AI_Bots --> Purpose Purpose --> ContentE. iOS 与 Android 分布Apple 的 iOS 和 Google 的 Android 仍然是使用最广泛的移动设备操作系统。但采用率在世界各地差异显著：Android 流量份额峰值达 97%，iOS 流量份额峰值达 70%。F. HTTP 版本分布HTTP/3 于 2024 年完成标准化，运行在 QUIC 传输协议之上。使用 QUIC 可以减轻丢包影响、更快建立连接并提供默认加密。G. API 客户端语言流行度Cloudflare 观察到的动态流量中超过一半与 API 相关，并且随时间持续增长。Go 语言位居榜首，20% 的自动化 API 请求由基于 Go 的客户端发出。H. 搜索引擎市场份额使用 Referer 标头识别向客户站点和应用程序发送流量的搜索引擎。搜索引擎市场份额数据作为整体聚合展示，也按设备类型和操作系统细分。I. 浏览器市场份额使用 User Agent 和 Client-Hints HTTP 标头中的信息识别发出内容请求的浏览器以及关联的操作系统。3. 数据与事实A. IPv6 采用率分析了 2025 年通过 IPv6 发出的双栈内容请求，计算全球聚合 IPv6 采用率。B. 互联网质量下载速度、上传速度、空闲延迟和负载延迟测量的分布。C. 移动与桌面设备2025 年，全球超过 70% 的人口使用智能手机，在许多国家，它们是互联网访问的主要手段。今年发现近 117 个国家/地区的流量大部分来自移动设备。D. 缓解流量显示 2025 年期间 Cloudflare 每日缓解的全球流量百分比，以及作为 DDoS 攻击或 WAF 托管规则缓解的流量百分比。E. 机器人流量来源查看 Cloudflare 在 2025 年观察到的机器人流量，发现 0% 来自前 10 个国家/地区，其中很大一部分来自与云平台提供商关联的网络。F. 最受攻击的垂直行业展示每周计算的针对每个类别的缓解流量占全球缓解流量的百分比。G. 路由安全2025 年期间，全球 RPKI 有效 IPv4 路由份额增长至 53.9%，比 2024 年增长 3.9 个百分点。H. 超大规模 DDoS 攻击规模进展将超大规模网络层攻击定义为在第 3/4 层运行且峰值超过每秒 1 太比特（1 Tbps）或每秒 10 亿包（1 Bpps）的攻击。2025 年期间，峰值攻击规模在两个指标上都显著增长，从字节角度增长约 10 倍，从包角度增长超过 7 倍。graph LR A[2025年初] -->|10倍增长| B[2025年末] A1[~0.1 Tbps] --> B1[~1 Tbps] A2[~0.14 Bpps] --> B2[~1 Bpps] style B fill:#ff9999 style B1 fill:#ff6666 style B2 fill:#ff6666四、影响分析1. 行业影响A. AI 竞争格局生成式 AI 市场从 ChatGPT 一家独大转向多强并立，Claude、Perplexity、Gemini 等竞争对手快速崛起，推动整个行业向更开放、更多元的方向发展。B. 技术趋势HTTP/3 和 QUIC 协议的快速普及改善了网络性能IPv6 采用率持续增长，为互联网可扩展性奠定基础后量子加密技术的提前布局为量子计算威胁做好准备C. 安全态势超大规模 DDoS 攻击的激增表明网络威胁日益严重，企业和组织需要更强大的防护能力。2. 用户影响A. 现有用户更快速的互联网连接体验（HTTP/3 普及）更安全的网络通信（后量子加密）更多样化的 AI 工具选择B. 潜在用户Starlink 等卫星互联网服务覆盖更多偏远地区移动设备成为主要上网方式C. 开发者Go 语言成为 API 客户端的首选需要关注 AI 机器人流量管理3. 技术趋势A. AI 与网络AI 机器人的流量快速增长，对网站和内容创作者既是机遇也是挑战。需要通过 robots.txt 等手段合理控制爬取行为。B. 协议演进HTTP/3 取代 HTTP/2 的趋势加速IPv6 采用率稳步提升后量子加密从实验走向实用C. 安全挑战DDoS 攻击规模呈指数级增长邮件安全威胁持续演进路由安全（RPKI）逐步普及五、各方反应1. Cloudflare 官方观点Cloudflare 强调后量子密码学研究的重要性，并已在网络上默认启用后量子密钥协商。同时持续跟踪 AI 机器人流量，为网站运营者提供洞察。2. 业内评价A. 专家观点生成式 AI 的快速发展正在重塑互联网流量格局，传统搜索引擎面临来自 AI 聊天平台的竞争压力。B. 社区反馈AI 机器人的爬取行为引发争议，部分内容创作者担忧未经授权的内容被用于训练 AI 模型。3. 用户反馈A. 正面评价HTTP/3 带来的性能提升获得认可Starlink 为偏远地区提供可靠的互联网连接B. 关注点AI 机器人流量可能影响网站性能和成本超大规模 DDoS 攻击的防护成本上升六、相关链接1. 官方资源Cloudflare Radar 2025 Year in ReviewCloudflare Radar OverviewPopular Internet Services 博客文章2. 相关报告季度搜索引擎推荐报告季度浏览器市场份额报告Phishing Threats Report3. 技术文档Cloudflare Radar 数据探索工具Workers AI 模型目录机器人目录参考资料Cloudflare Radar 2025 Year in Review
Stevens 理工学院量子锁技术与应用安全前景分析
Stevens 理工学院量子锁技术与应用安全前景分析一、新闻概述1. 标题量子锁与未来应用安全：Stevens 原型系统或预示超级安全应用时代2. 发布时间2020 年 1 月 13 日3. 来源HackerNoon 技术媒体二、核心内容1. 事件摘要A. 主要内容Stevens 理工学院成功开发并演示了一种基于量子物理特性的安全锁原型系统，该系统利用量子纠缠和量子密钥分发技术保护人脸识别数据的网络传输。B. 核心亮点首个结合量子物理与生物识别的安全锁系统利用孪光子生成不可破解的一次性密钥基于物理学基本定律的网络通信安全为物联网设备安全提供新的技术路径2. 关键信息A. 研发机构Stevens 理工学院量子科学与工程中心B. 核心团队黄 Yuping 教授：项目负责人，量子科学与工程中心主任Lac Nguyen：研究生研究员Jeeva Ramanathan：研究生研究员C. 技术特点量子密钥分发（QKD）与开源人脸识别软件结合利用激光分束产生孪光子光纤网络传输量子密钥3. 背景介绍A. 量子技术发展趋势量子技术被认为将革命性地改变本十年，各类组织正在努力应对量子技术现状、识别挑战与机遇、推动协作发展。B. Stevens 理工学院成立于 1870 年的私立研究型大学，以工程、科学和管理项目闻名，强调创新和企业家精神。三、技术原理1. 量子锁定概念量子锁定发生在超导体被磁场捕获时，超导体将锁定在空间中，除非受到外力作用否则不会移动。A. 迈斯纳效应超导体在磁场中会排斥其内部的磁场，使磁场绕过超导体弯曲。B. 磁通量子化当超导体厚度减小时，磁场以离散的量子量穿透超导体，形成圆柱形的磁通管。这些磁通管将超导体固定在特定位置。2. 系统工作流程graph LR A[用户] --> B[摄像头采集] B --> C[面部特征提取] C --> D{量子加密通道} D --> E[服务器端] E --> F[人脸识别匹配] F --> G[开锁决定] subgraph 量子密钥生成 H[激光器] --> I[分束晶体] I --> J[孪光子对] J --> K[光子1 本地] J --> L[光子2 远程] K --> M[密钥生成] L --> M end M --> D3. 量子密钥分发机制A. 孪光子生成激光通过特殊晶体分束，产生能量相同的孪光子对。B. 光子分离与传输一个光子保留在实验室另一个光子通过光纤传输到远程位置C. 密钥生成在两个检测点同时生成复杂、秘密的密钥。D. 一次性密码本生成的密钥作为一次性密码本，对图像和通信进行加密，防止黑客拦截。4. 安全性原理sequenceDiagram participant U as 用户 participant C as 摄像头 participant Q as 量子系统 participant S as 服务器 participant E as 窃听者 U->>C: 面对摄像头 C->>Q: 发送面部数据 Q->>Q: 生成孪光子 Q->>Q: 生成量子密钥 Q->>S: 通过量子通道传输加密数据 Note over E: 尝试拦截会破坏量子态 S->>Q: 确认密钥完整性 S->>S: 人脸识别匹配 S->>C: 返回开锁指令 C->>U: 锁定开启核心优势：量子态不可克隆：无法复制量子信息测量干扰：任何观测都会改变量子态，立即暴露窃听行为物理定律保证：安全基于物理学基本定律，而非计算复杂性四、系统演示1. 演示场景在 Stevens 理工学院的 S.C. Williams 图书馆，一行人尝试通过摄像头破解一个可以打开保险箱、银行账户或社会保障记录的锁。2. 演示结果所有尝试者均失败仅黄教授等三名授权人员的人脸可以成功开锁3. 技术实现面部信息通过互联网传输到大学另一处的服务器使用开源软件进行人脸识别计算和匹配网络交换数据由物理学基本定律保护五、应用前景1. 企业与政府领域A. 数据中心保护企业数据中心的通信安全B. 军事基地军事基地的通信安全C. 政府机构政府部门和情报机构的通信保护D. 选举系统投票过程的安全保障E. 智慧城市智慧城市监控系统的安全防护2. 个人应用A. 家庭物联网远程控制家庭系统保护家庭无线网络B. 远程办公家庭与企业办公室的安全通信C. 个人设备个人物联网设备的安全保护3. 技术演进方向黄教授的团队正在研究将量子物理引入人脸识别计算步骤，进一步提升整体安全性。六、技术意义1. 安全范式转变从基于计算复杂度的加密（如 RSA）转向基于物理定律的量子安全。2. 物联网安全随着联网设备数量激增，传统的加密方法面临挑战，量子技术提供新的解决方案。3. 兼容性该原型展示了量子密钥分发系统与安全网络设备的即插即用兼容性。4. 未来展望黄教授表示：在我们的一生中，将出现大量利用量子特性的计算、金融和安全应用。七、技术挑战1. 成本与部署量子设备成本高昂需要专用光纤网络部署复杂度高2. 距离限制量子信号在光纤中传输存在衰减，中继技术仍在发展中。3. 标准化量子通信协议和接口标准尚未统一。4. 量子计算威胁未来真正的量子计算机可能破解当前广泛使用的公钥加密体系，这反而推动了量子密钥分发技术的发展。八、行业影响1. 竞争格局传统加密方案面临量子计算威胁量子密钥分发成为后量子密码学的重要方向多国政府和企业在量子通信领域加大投入2. 技术趋势量子通信网络逐步商业化与现有网络基础设施融合标准化进程加速3. 生态发展量子通信产业链逐步形成芯片化和集成化降低成本云服务模式可能降低使用门槛九、各方观点1. 研发团队黄 Yuping 教授量子特性将改变互联网大量应用将在我们生命周期内出现即使爱因斯坦也不完全理解量子特性为何如此运作Lac Nguyen原型展示了量子密钥分发系统的即插即用兼容性2. 应用潜力团队认为该技术可部署到家庭和办公室，使窃听者几乎无法潜入日益联网的设备网络。十、参考资料
Wikipedia 企业级 AI 数据访问合作技术分析一、新闻概述1. 标题Microsoft、Meta、Amazon 等科技巨头付费获取 Wikipedia 企业级访问权限2. 发布时间2026 年 1 月 15 日3. 来源The Verge二、核心内容1. 事件摘要A. 主要内容维基媒体基金会宣布，Microsoft、Meta、Amazon、Perplexity 和 Mistral AI 已加入 Google 的行列，通过付费方式获取 Wikipedia 及其相关项目的企业级访问权限，用于 AI 模型训练。B. 核心亮点五家科技巨头同时加入 Wikimedia Enterprise 计划Wikipedia 庞大的文章库将成为 AI 训练的重要数据源付费合作模式为非营利组织提供可持续收入数据访问专门针对商业用途和 AI 公司进行了优化2. 关键信息A. 涉及公司Microsoft：新加入成员Meta：已存在合作伙伴，首次公开宣布Amazon：已存在合作伙伴，首次公开宣布Perplexity：过去一年内加入Mistral AI：过去一年内加入Google：已存在的 Enterprise 成员B. 合作平台Wikimedia Enterprise 计划（2021 年启动）C. 数据范围Wikipedia 及维基媒体基金会的其他项目3. 背景介绍A. Wikipedia 25 周年此次公告作为 Wikipedia 25 周年庆祝活动的一部分发布，标志着这一全球最大免费知识平台在商业合作方面的重要里程碑。B. Wikimedia Enterprise 计划该计划于 2021 年启动，为大公司提供 Wikipedia API 的付费高级版本，专门针对商业用途和 AI 公司需求进行优化。三、详细报道1. 主要内容A. 服务特性根据维基媒体基金会高级收益总监 Lane Becker 的介绍，Enterprise 计划提供以下服务：专门为商业用途和 AI 公司调整的 Wikipedia 版本接受功能请求定制构建特定功能和工具按照企业需求的结构化数据组织方式B. 商业模式企业通过付费获取高级 API 访问权限资金用于支持维基媒体基金会的非营利项目建立更可持续的商业模式C. 合作时间线Microsoft、Perplexity、Mistral AI：过去一年内加入Meta、Amazon：已存在合作伙伴，首次公开披露2. 技术细节A. 数据访问架构graph LR A[AI公司] -->|付费API访问| B[Enterprise API] B -->|结构化数据| C[Wikipedia数据库] B -->|定制功能| D[维基媒体基金会] D -->|收入| E[非营利项目支持] C -->|数据| BB. 数据优势Wikipedia 拥有数百万篇高质量文章内容经过社区审核和持续更新覆盖几乎所有知识领域多语言支持C. AI 训练价值高质量、结构化的知识数据适合用于大语言模型训练可提升模型的事实准确性有助于减少幻觉问题3. 行业影响A. 数据获取趋势科技公司开始重视为训练数据付费，改变了过去免费抓取数据的模式。B. 可持续发展Lane Becker 指出：支持 Wikipedia 的长期可持续发展符合每个 AI 公司的最佳利益，因为 Wikipedia 及其支持的所有项目对这些公司的业务至关重要。C. 双向依赖AI 公司需要高质量数据训练模型Wikipedia 需要资金支持其非营利使命双方形成共生关系四、影响分析1. 行业影响A. 数据价值重估此次合作标志着互联网公开数据的价值正在被重新认识和定价。B. 商业化模式更多内容平台可能效仿 Wikipedia，推出企业级数据访问服务。C. AI 训练成本AI 公司的数据获取成本将上升，可能影响 AI 服务的定价。2. 用户影响A. 数据质量付费获取的高质量数据可能提升 AI 产品的准确性和可靠性。B. Wikipedia 可持续性用户继续享受免费访问 Wikipedia 的同时，其运营得到更好的资金保障。C. 生态系统AI 产品与 Wikipedia 的深度集成可能带来更好的知识检索体验。3. 技术趋势A. 数据合作AI 公司与内容平台建立正式合作关系，而非依赖爬虫抓取。B. 定制化服务数据提供商开始根据 AI 公司的具体需求定制数据格式和接口。C. 法律合规付费授权模式有助于解决版权和数据使用的法律争议。五、各方反应1. 官方立场维基媒体基金会强调，与这些新公司建立可持续的新平衡对 Wikipedia 的持续存在以及这些公司的持续存在都至关重要。2. 行业意义A. 先例作用此次合作可能成为其他内容平台与 AI 公司合作模式的参考。B. 价值认可显示了 AI 行业对高质量人工审核内容的认可和依赖。3. 未来展望A. 更多合作预计将有更多 AI 公司和内容平台建立类似的付费合作关系。B. 标准化可能形成行业标准和最佳实践，规范 AI 训练数据的获取和使用。六、相关链接1. 官方信息Wikimedia Enterprise 官方页面Wikipedia 25 周年公告2. 相关报道The Verge 原文报道其他科技媒体分析3. 技术文档Wikimedia API 文档Enterprise 服务条款参考资料Microsoft, Meta, and Amazon are paying up for 'enterprise' access to Wikipedia | The Verge
Reqable API 调试与测试工具技术分析一、概述1. 产品简介Reqable 是一款新一代 API 调试与测试一站式解决方案。其核心定位是将 Fiddler、Charles 和 Postman 三类工具的功能深度整合，提供流量分析（抓包）和 API 测试（接口调试）两大核心能力。2. 核心价值A. 功能整合传统的 API 开发工作流需要多个工具配合：使用 Fiddler/Charles 抓包分析网络流量，使用 Postman 进行 API 测试。Reqable 将这两类功能深度整合，一个应用即可完成完整工作流。B. 跨平台支持支持 Windows、macOS、Linux 桌面平台，以及 Android 和 iOS 移动平台，一套授权覆盖所有平台。C. 性能优势基于 Flutter 和 C++ 开发，相比同类产品在启动速度、内存占用和安装体积上有明显优势。3. 技术架构Reqable 采用经典 MITM（中间人）代理模式实现流量捕获，支持 HTTP/1.x、HTTP2 和 HTTP3（QUIC）协议。graph TB subgraph 客户端层 A[浏览器/App] B[移动端 App] end subgraph 代理层 C[Reqable 代理] end subgraph 服务端层 D[目标服务器] end A -->|配置系统代理| C B -->|WiFi 代理/扫码转发| C C -->|转发请求| D D -->|返回响应| C C -->|返回响应| A C -->|返回响应| B二、核心功能1. API 调试（抓包）A. 协议支持HTTP/1.x 和 HTTP2：完全支持HTTP3（QUIC）：部分支持WebSocket：基于 HTTP1 的升级代理协议：HTTP/HTTPS/Socks4/Socks4a/Socks5TLS 协议：TLSv1.1、TLSv1.2、TLSv1.3网络协议：IPv4 和 IPv6B. 流量捕获Reqable 通过系统代理配置捕获流量，支持：二级代理：支持 HTTP/HTTPS 二级代理链反向代理：无需信任 CA 证书即可调试 HTTPS 流量源检测：识别流量来源的应用镜像映射：配置指定域名和端口的镜像映射C. 流量分析搜索过滤：多条件搜索，支持应用、域名、协议、数据类型过滤高亮显示：自定义规则以多种颜色高亮请求Diff 工具：比较请求和响应消息，快速定位数据差异历史记录：自动保存录制列表便于回顾D. 高级功能重写功能：重定向Map Local（本地映射）Map Remote（远程映射）请求或响应修改断点功能：对请求或响应执行实时断点操作支持修改后继续发送脚本功能：支持 Python 脚本处理请求或响应预请求脚本和后请求脚本网关功能：对请求或响应执行屏蔽、暂停等操作E. 证书管理导入自定义 SSL 证书分析证书绑定双向认证请求2. API 测试A. 协议支持HTTP/1.1、HTTP2 和 HTTP3（QUIC）B. 请求构建从流量列表创建 REST API从 cURL 导入从 API 集合创建C. 集合管理保存 API 到集合导入 Postman 集合导入 Hoppscotch 集合D. 环境管理全局环境用户环境变量E. 请求编辑批量编辑查询参数批量编辑请求头编辑表单Text/Json/Xml 编辑文件上传F. 认证支持API KeyBasic AuthBearer TokenG. 代理设置自定义代理系统代理调试代理H. 性能分析查看请求不同阶段的耗时数据I. 其他功能Cookie 管理cURL 导入导出代码片段生成（支持 Python、Java、NodeJS 等主流语言）历史记录自动保存3. 协作功能A. 桌面与移动端协作移动端 App 可独立使用，也可与桌面端协作：独立模式：无需依赖桌面端，独立进行流量录制和 API 测试协作模式：通过扫描桌面端二维码，自动将移动端流量转发到桌面端，无需手动配置 WiFi 代理B. 跨平台授权一套授权覆盖所有平台，包括桌面端和移动端。三、技术实现1. 开发技术栈前端框架：Flutter底层实现：C++代理机制：MITM（中间人代理）2. 性能对比根据官方测试数据（MacBook Pro 2017，2024 年 1 月最新版本）：指标ReqableCharlesFiddler启动时间约 1 秒约 3 秒约 2 秒安装体积约 20MB约 80MB约 5MB内存占用约 100MB约 200MB约 150MB3. 架构设计graph LR subgraph UI 层 A[Flutter 界面] end subgraph 业务层 B[流量捕获模块] C[API 测试模块] D[脚本引擎] end subgraph 网络层 E[代理服务器] F[HTTP 客户端] end subgraph 数据层 G[会话存储] H[集合管理] I[环境变量] end A --> B A --> C B --> E C --> F B --> D C --> D B --> G C --> H C --> I四、功能对比1. 与 Fiddler/Charles 对比功能ReqableFiddlerCharles流量捕获✅✅✅HTTP2 支持✅部分✅API 测试✅❌❌Python 脚本✅❌❌跨平台✅ 全平台仅 Windows全平台移动端协作✅ 扫码转发❌手动配置Diff 工具✅需插件需插件2. 与 Postman 对比功能ReqablePostmanAPI 测试✅✅流量捕获✅❌从流量创建 API✅❌Python 脚本✅JavaScript（预请求/测试） 绑定调试代理✅❌集合导入✅ Postman/Hoppscotch✅五、应用场景1. 前端开发捕获浏览器网络请求，分析接口调用从流量快速创建 API 测试对比前后端接口数据差异2. 移动端开发捕获 App 网络流量通过扫码自动转发流量到桌面分析接口性能和错误3. 接口调试手动构造和发送请求测试不同参数组合验证认证和授权机制4. 接口测试创建 API 集合编写脚本实现自动化测试导入 Postman 集合迁移5. 问题排查使用断点拦截请求使用脚本修改请求响应使用 Diff 工具对比数据六、安装与部署1. 系统要求A. Windows下载 Setup.exe 安装包按安装程序指引完成安装需要写入注册表（关联 har 等文件格式）B. macOS支持 Apple 芯片和 Intel 芯片DMG 安装：拖拽到 Applications 文件夹Homebrew 安装：brew install --cask reqableC. Linux需要 GTK 库支持提供 x64 架构 deb 安装包sudo apt install reqable-app-linux-x86_64.debD. 移动端从 App Store 下载 iOS 版本从 Google Play 下载 Android 版本七、工作流程1. 流量捕获流程sequenceDiagram participant C as 客户端 participant R as Reqable participant S as 服务器 C->>R: 1. 配置系统代理 C->>R: 2. 发送 HTTP 请求 R->>R: 3. 拦截请求 R->>R: 4. 执行断点/脚本 R->>S: 5. 转发请求 S->>R: 6. 返回响应 R->>R: 7. 拦截响应 R->>R: 8. 执行断点/脚本 R->>C: 9. 返回响应 R->>R: 10. 保存到历史记录2. API 测试流程graph TD A[开始] --> B{创建请求} B -->|从流量| C[选择流量记录] B -->|从 cURL| D[导入 cURL] B -->|手动创建| E[填写请求参数] C --> F[编辑请求] D --> F E --> F F --> G{发送请求} G --> H[查看响应] H --> I{保存?} I -->|是| J[保存到集合] I -->|否| K[完成] J --> K八、高级功能1. 重写规则重写功能允许修改请求或响应：重定向：将请求重定向到其他 URLMap Local：将远程请求映射到本地文件Map Remote：将请求映射到其他远程地址修改：修改请求头、请求体或响应内容2. 断点调试断点功能允许在请求发送前或响应返回前暂停：请求断点：在请求发送前拦截，可修改请求参数响应断点：在响应返回前拦截，可查看和修改响应条件断点：设置触发条件3. Python 脚本支持编写 Python 脚本处理请求和响应：# 预请求脚本示例 def before_request(request): # 修改请求头 request.headers['X-Custom-Header'] = 'Reqable' # 修改请求参数 request.query['token'] = 'your_token' return request # 后响应脚本示例 def after_response(response): # 处理响应数据 data = response.json # 自定义逻辑 return response4. Diff 工具比较两个请求或响应的差异：请求对比：比较请求头、请求体、参数等响应对比：比较响应数据并排显示：直观展示差异5. HAR 格式支持自动关联 HAR 文件支持 HAR 导出支持打开 HAR 文件6. Charles 会话支持支持导入 Charles 会话文件，方便用户迁移。九、界面定制1. 主题支持浅色主题深色主题2. 颜色定制11 种强调色方案15 种代码高亮颜色十、许可证1. 版本对比社区版：免费提供，基础功能专业版：付费解锁全部功能2. 授权方式一套授权覆盖所有平台，包括桌面端和移动端。十一、技术特点总结1. 优势功能整合：抓包 + API 测试一站式性能优异：启动快、内存占用低、体积小跨平台：全平台支持，一套授权移动协作：扫码自动转发，无需手动配置代理脚本能力：Python 脚本扩展能力强2. 适用人群前端开发者后端开发者移动端开发者测试工程师接口调试人员3. 替代方案对于已有 Fiddler/Charles + Postman 工作流的用户，Reqable 可以作为统一替代方案，简化工具链，提高工作效率。参考资料Reqable 官方网站Reqable GitHub 仓库Reqable 官方文档
nasa42/Webterm 终端穿透访问技术分析项目概述Webterm 是一个用 Rust 编写的轻量级工具，旨在提供安全的、基于浏览器的远程终端访问能力。该项目主要解决防火墙后、私有网络或动态 IP 环境下的服务器访问问题。项目地址：https://github.com/nasa42/webterm官方状态：早期开发阶段，不建议生产环境使用。核心问题分析问题定义传统 SSH 访问在以下场景存在限制：防火墙限制：入站连接被阻止私有网络：设备仅拥有私有 IP（如负载均衡器或 NAT 后）端口限制：无法开放或转发额外端口动态 IP：家庭服务器 IP 频繁变化客户端限制：受限环境无 SSH 客户端解决方案核心Webterm 通过三层架构解决上述问题：Agent：运行在目标设备上的轻量级二进制程序Relay：无状态中继服务器，仅转发加密数据Frontend：静态前端网站，通过浏览器访问系统架构架构图组件说明组件技术实现作用AgentRust 二进制在设备上运行，保持与 Relay 的持久 WebSocket 连接Relay无状态服务器路由 Agent 与 Frontend 之间的通信Frontend静态网站浏览器端终端界面数据流向用户浏览器 --[WebSocket]--> Relay --[WebSocket]--> Agent --> PTY 会话认证与加密机制认证流程零知识证明认证Agent 使用 Device Name 和 Secret Key 向 Relay 注册Frontend 请求连接时，Relay 向 Agent 转发请求Agent 使用零知识证明验证 Frontend 身份密钥不传输：原始 Secret Key 永不通过网络传输加密方案机制实现方式密钥派生PBKDF2传输加密AES256-GCM中继安全零信任（仅转发加密数据）技术特性性能特点内存占用：空闲时低于 10 MB通信协议：FlatBuffers 高效序列化持久会话：支持数天/数周后重连安全特性端到端加密：所有通信使用 AES256-GCM零信任中继：Relay 无法读取消息内容静态前端：未压缩代码便于审计自托管支持：可自行部署 Relay 和 Frontend功能特性多终端支持：单设备多会话设备子名称：多设备共享同一 Device NameIP 变更容忍：设备 IP 变化不影响连接部署与使用快速安装# 安装 Agent curl -sSfL https://webterm.run/install.sh | bash # 启动 Agent webterm-agent --device-name <DEVICE_NAME> --secret-key <SECRET_KEY>访问终端访问 https://webterm.run 并使用相同凭据连接。与 SSH 对比维度SSHWebterm网络要求需开放端口仅需出站连接客户端SSH 客户端浏览器会话持久否是动态 IP不友好支持审计能力依赖日志流计划支持应用场景远程访问：浏览器安全连接服务器容器管理：无需开放网络端口管理 Docker嵌入式/IoT：树莓派等低功耗 Linux 系统个人设备：家庭服务器或笔记本远程访问发展路线[ ] SSO 单点登录集成[ ] 文件浏览器功能[ ] 审计日志记录[ ] 实时服务器指标[ ] 自定义插件支持[ ] Relay 故障转移与负载均衡技术分析总结优势网络穿透能力强：解决传统 NAT 穿透问题安全性设计完善：零知识证明 + 端到端加密资源占用极低：适合资源受限环境跨平台访问：仅需现代浏览器风险与限制项目早期阶段：功能不完整，API 可能变化依赖中继服务：默认使用 webterm.run 公共中继仅支持 Linux：当前仅支持基于 Linux 的系统架构启示Webterm 的三层架构设计体现了现代 Web 应用在受限网络环境下的创新解决方案：反向连接模式：Agent 主动连接 Relay，避免入站端口需求加密数据平面：中继仅转发，无法窃听状态最小化：Relay 无状态设计便于横向扩展参考资料项目仓库：https://github.com/nasa42/webterm官方网站：https://webterm.run