[该文章已加密，请点击标题输入密码访问]

[该文章已加密，请点击标题输入密码访问]

漏洞简介 Sub-Store 是代理工具圈常用的订阅转换/管理服务，不少 mihomo（clash 系）客户端把它内置进安装包，Clash Party、Sparkle 等随客户端启动就监听 38324 端口。2.11.4 到 2.37.1 之间的内置版/本地版...

漏洞分析 jwt迷雾 默认系统存在硬编码JWT密钥whyour-secret，导致很多人以为是这个导致的RCE https://github.com/whyour/qinglong/blob/d53437d1695d22db266cea3b680d3d7663...

前言 最近Next.js RCE 经历了从“核弹”->“跳弹”->“核弹”的戏剧性转折，备受关注。 我最近也看到了各种各样的POC、脚本等等，相关poc可以看前一篇文章：Next.js 默认配置即可RCE，速修！附POC 回显、内存马、unicod...

前言 Next.js 默认配置即可RCE，速修！ 漏洞检测 可使用如下精简无害化poc进行探测扫描，如果响应500错误，且响应body包含E{"digest"、digest或者Error这些错误中的两个以上，即表明目标可能存在next.js rce漏洞。 ...

开发目的 验证IP地址是否属于Google和Bing官方爬虫，支持批量处理、结果缓存和表格导出功能 在网站运营中，识别真正的Google和Bing爬虫至关重要。恶意爬虫常伪装成Googlebot和Bingbot窃取数据，而官方推荐的验证方法繁琐且无法批量操...

前言 之前根据师傅 @Se7en 师傅的 get_AV 也做了一个简单版本的纯HTML（HTML+JavaScript+CSS）版本的Windows杀软在线对比辅助,但是年久失修！准确性以及易用性都赶不上时代了，在看见曾哥团队做了一个新的杀软识别repo后，就...

在测试某个项目的时候，发现一段JavaScript代码，省略不重要的部分如下： // 原内容如下，只知道有个正则 ((( + )[     "\x63\x6f\x6e\x73\x74\x72\x75\x63\x74\x6f\x72...

我之前写过一篇文章是关于freebuf文章图片去除!small得，地址在这里:https://mrxn.net/jswz/modify_freebuf_pic.html，但是后来我发现有一个BUG，很严重得那种：因为我当时在写插件的时候是在文章全部浏览完后直接...

写这个脚本的原因就是我发现freebuf的文章里的图片后缀都会跟一个 !small 后缀，我想网站初心可能是为了对付爬虫吧，恶意爬虫爬去文章文字和图片，但是对于我这种懒虫，不喜欢点击一下放大去看图，而是比较喜欢文章的图片就是页面最佳尺寸，简单的研究了...

今天看到群里一个小伙子说他收到了一个邮件，一张二维码。。。 正好我看到了，暂时没事就识别了一下。。。二维码是个短网址，还原后就是一个模仿的QQ邮箱登录界面，而且奇丑无比。。。下面先给大伙看一下： 看了一下页面的源代码，是经过Escape加密的。加密前的源代码...

前言 腾讯云学生机老早就有了，那时候学生认证下，代金卷发下来了。哪知道腾讯的学生机策略变了，每天12:00 200台机子限量抢购，恶心！ 现在手中的阿里云和腾讯云对我来说不够用，找个以前同学借个号...