AI联动IDA Pro MCP 实战逆向分析加密混淆 APK的通信数据包解密
Part1 前言 大家好，我是ABC_123。最近听说 IDA Pro MCP 非常强大，一开始我其实是半信半疑的。于是索性亲自上手试了一下，我的认知又被刷新了，现在AI发展得真是太强了。我特意挑选
阅读全文【闪石星曜@ AI Java代码审计课程】如何让AI成为代码审计的超级外挂？降维打击
一. AI时代的高速前进，你慌了嘛？[先说一些个人浅薄的观点，文末还有一些，欢迎一起探讨。]这两年AI的发展速度，感觉已经有些跟不上了。一个接一个的AI技术重磅发布，搞得大家都很焦虑，感觉今天学的技术
阅读全文一行命令，解锁 Claude Code 全部权限-ClawGod
ClawGod，把官方藏起来的功能全部打开你有没有这种感觉：明明Claude Code是最强的AI编程工具，但总有些地方“差点意思”？用最强的Opus模型，告诉你“订阅等级不够”。让多个AI同时协作，
阅读全文很抱歉，封笔停更，转行了！
“对于自己搞不定的问题，有高手带带路，往往是最大的捷径”我深有体会最近在想：要不要停更公众号去追更赚钱的赛道？我发现：真正拿到结果的人，背后都有人带但去哪找靠谱的人？凭什么带你？今天分享的8位实战派，
阅读全文有手就行的JADX MCP环境配置
前言最近几天放假没出去玩，刚好在研究MCP，发现这个JADX的MCP已经相对成熟完善，刚好又有APP分析的需求，就顺手写了这个文章，其实是一篇笔记性质的文章，有需要的可以看看。后续会考虑写和其他MCP
阅读全文高级免杀对抗&红队武器化开发 第七期来袭
高级免杀对抗&红队武器化开发第七期来袭本次培训解释权归鬼屋女鬼所有，与公众号运营者无关公众号不参与盈利，仅帮宣传！高级杀软对抗与红队开发课程加入我们，直面真实EDR对抗，锻造攻防利刃 !真实环境对抗演
阅读全文Claude Code 快速上手核心指南
Claude Code 是 Anthropic 官方出品的 AI 原生编码工具,它将大型语言模型的能力直接集成到终端中,让你可以用自然语言与 AI 协作完成编程任务。不同于传统的代码补全工具,Clau
阅读全文下篇｜Al挖Java Oday不再靠运气！这套Skill让审计覆盖率100%、幻觉率趋近0
AI挖Java 0day不再靠运气！这套Skill让审计覆盖率100%、幻觉率趋近0（上篇） 上篇我们拆解了AI代码审计Skill体系的流水线设计与资源分配机制：问题诊断：LLM不是没能
阅读全文AI挖Java 0day不再靠运气！这套Skill让审计覆盖率100%、幻觉率趋近0（上篇）
最近很多研究团队都发布了AI挖掘漏洞的成果，但这些成绩背后的核心逻辑、落地成本少有人拆解：裸跑LLM做Java代码审计到底差在哪？为什么有的AI能稳定挖0day，有的却只出满是幻觉的报告？代码
阅读全文再见了，DeepSeek！！！
大家好，这里是哈拉少安全小队！不废话，直接上“核弹级”硬货！推荐一款名字叫「全灵AI」的“核弹级”全能AI，它是AI界的“三巨头”，也是AI视频界的大王，也是AI绘画界的YYDS，还是AI修图界的魔改
阅读全文如何用AI挖掘帆软表达式注入0day
前言前段时间帆软发布了安全公告修复了一个前台RCE漏洞。其实我在10月25号对比新旧版本的时候就发现帆软在10月20号修复了一个SQL注入绕过漏洞。这里新增了一个关键词VACUUM，官方修复的这个漏洞
阅读全文Java反序列化漏洞黑盒挖掘思路-下篇
一、JDBC反序列化JDBC 反序列化一般出现在跟数据库连接相关的功能里，比如数据源配置、连接测试这类地方。常见的可利用数据库有 MySQL、H2、PostgreSQL等，不同数据库的利用方式不一样，
阅读全文2026版【闪石星曜@Java代码审计零基础到高阶实战班】线上培训课程，一对一学习指导，迭代持续更新式课程......
往期基础部分录播+直播回放2026第一季实战直播课程，讲完这些还会继续迭代！点击大图，可查看详细介绍从目录上可以看到，2026年，新增了不少实战课程。本套课程专为希望系统掌握Java代码审计的学习者设
阅读全文Java反序列化漏洞黑盒挖掘思路-上篇
java反序列化分为原生反序列化和组件反序列化，组件反序列化有大家熟知的fastjson反序列化，shiro反序列化漏洞等，这篇文章分享一下自己的反序列化漏洞黑盒挖掘思路。以在实战中挖到的反序列化漏洞
阅读全文2026版【闪石星曜@Java代码审计零基础到高阶实战班】线上培训课程，一对一学习指导，迭代持续更新式课程......
往期基础部分录播+直播回放2026第一季实战直播课程，讲完这些还会继续迭代！点击大图，可查看详细介绍从目录上可以看到，2026年，新增了不少实战课程。本套课程专为希望系统掌握Java代码审计的学习者设
阅读全文Thymeleaf SSTI bypass历史
SSTI(模板注入)某依最新版本稳定4.8.1 RCE (Thymeleaf模板注入绕过)可以先看这两篇文章。1. =3.0.11最早也是无限制的payload，不赘述__${new java.uti
阅读全文攻防技巧|红队快速高效挖掘.net系统漏洞
原文首发在：奇安信攻防社区https://forum.butian.net/share/4655前言在红队攻防对抗中，.NET系统是出现频次比较高，.NET系统由于其架构特性，通常会将业务逻辑封装在D
阅读全文实战技巧-利用 Tomcat XML 配置机制实现 JNDI 注入
今天看到一篇很有意思的文章https://xz.aliyun.com/news/193500x01 实战场景在实战场景中，对于任意文件上传漏洞往往会对后缀进行严格的校验，很难直接shell，但是在to
阅读全文记低版本XXL-JOB打法
前言： 某次实战中发现低版本XXL-JOB，该版本为1.9.2非常古老，但是又急需开口子，于是秉承着脚本小子的作风，全网搜索发现压根不存在低版本XXL-JOB打法，github项目注入Age
阅读全文TongWeb最新反序列化漏洞分析
漏洞描述TongWeb默认开放EJB远程服务，在处理EJB协议数据时进行了反序列化操作且未进行任何数据检测，攻击者可构造恶意序列化数据发送到EJB服务造成远程代码执行。影响版本为：7.0.0.0<=T
阅读全文攻防实战思路-不靠0day组合拳拿下目标系统
声明：该公众号大部分文章来自作者日常学习笔记，也有部分文章是经过作者授权和其他公众号白名单转载，未经授权，严禁转载，如需转载，联系开白。请勿利用文章内的相关技术从事非法测试，如因此产生的一切不良后果与
阅读全文广州奇安信红队招人！！！
【工作地点]】广州【日常工作内容】1、参与红队评估、红蓝对抗等攻防演练项目。2、技术研究：跟踪业界最新的安全漏洞，并对高危漏洞进行持续跟进及分析，进行漏洞预警。3、应急响应：客户发生安全事件时，根据客
阅读全文记一次组合拳之SPEL Bypass
感觉整个渗透过程特别有意思，从扫描到 heapdump 泄露，到得敏感信息的泄露，再到观察请求包，思考参数表达的意思，为什么是这样的，从而发现隐藏的表达式注入点，到 getshell记一次组合拳之SP
阅读全文内推 | 深圳国企正编网络安全岗火热招聘中
内推 | 深圳国企正编网络安全岗火热招聘中高级渗透攻防工程师(CTF/红队方向)[工作地点] 深圳[经验要求] 3年+[学历要求] 全日制本科及以上，技术突出者可放宽[薪资范围] 面议[招聘名额] 1
阅读全文heapdump深度利用之信息泄露篇
前言在Java里有一些渗透场景可以获得堆内存也即是heapdump比如有的应用存在某个功能可以获取heapdump、springboot的/actuator/heapdump也可以获取。但是网上比较多
阅读全文层层防护下的突破之道：帆软漏洞利用深度解析
前言这篇文章讲两个帆软老版本的案例，都是老漏洞主要分享一下某些特定场景的绕过思路。案例一22年的时候遇到的一个目标版本为帆软-8很多洞都没修，访问/ReportServer显示如下点击服务器管理平台进
阅读全文非典型GeoServer漏洞利用实战
前言前段时间打攻防遇到一个geoserver测试的时候因为一直报文件不存在的问题差点放弃，经过反复测试排除报错以及绕过WAF最终成功拿到shell测试过程发送经典payload测试延时报错java.i
阅读全文Java字节码行号恢复工具-ClassLinefix
前言在Java代码审计或者恶意代码分析中有时会遇到想调试的代码被删除了行号信息，导致我们无法在idea里打断点调试只能被迫使用方法断点。所以有了这个class行号恢复工具。ClassLinefix一个
阅读全文七夕这不得约个Java代码审计？
一、Java 代码审计高阶实战班1、《Java 代码审计高阶实战班》第二期，开始招生啦！ 在第一期 100 余节夯实基础与实战的积淀之上，第二期又重磅新增 20 节深度实战直播课程！本套课程一次付费，
阅读全文