最新动态

132222222222222qaz 在Hacker Ai发布新主题让 AI 成为可验证的审计助手：本地化智能合约漏洞分析与证据闭环实践。

一、背景：为什么安全审计不能只依赖 AI 大语言模型已经可以解释 Solidity...

昨天 10:46 下午
180647004 回复主题：Windows 可疑 PE 样本的静态与动态分析：从哈希归档到行为证据链。

补充一个容易遗漏的实践细节：动态分析前可用 Procmon 的 Tools→Process Tree 锁定样本及其后代进程，再将过滤条件设为 PID 集合，而不是只按映像名筛选。样本若复制自身后改名启动，或借助 cmd.exe、rundll32.exe 执行，单纯按...

昨天 10:24 下午
lv001 在区块链安全发布新主题从重入漏洞到可验证修复：用 Foundry 搭建本地智能合约安全审计实验。

一、背景：为什么重入问题仍值得单独审计重入漏洞并不是“旧版本 Solidity 才有”的历史问题。只要合约在状态更新完成前，把控制权交给不受信任的外部地址，就可能出现同一业务流程被重复进入的情况。外部调用不只包括普通转账，还包括 call、代币回调、NFT...

昨天 9:36 下午
gs328772 在黑客技术发布新主题从“能拦截内网地址”到可验证防线：本地授权靶场中的 SSRF 原理、复现与分层加固。

【背景】服务端请求伪造（SSRF）常见于网页预览、Webhook 校验、图片抓取、文件导入和第三方接口代理等功能。问题的核心不是“服务器会发 HTTP 请求”，而是外部输入能够影响请求目的地，同时系统没有在解析、解析后连接、重定向等环节建立一致的信任边界。...

昨天 9:02 下午
lawrenceyang 回复主题：从签名到授权：EVM 钱包交易的本地验签、链上审批审计与风险识别实战。

建议把“当前状态查询”与“历史事件回溯”结合起来：allowance 查询必须先知道 spender，而 Approval 日志可用于发现曾经授权过但已遗忘的地址。可按代币部署区块到最新区块分段抓取 owner 相关日志，再对每个 spender 重新调用...

昨天 7:48 下午
monika 回复主题：签名前先看懂：从交易 Calldata、代币授权到链上记录的加密钱包安全实战。

再补几个容易漏掉的边界：只解码外层 Calldata 不够，路由器、multicall、代理与 delegatecall...

昨天 7:10 下午
黄先生嗯回复主题：从零实现一个最小权限的 MCP 文件读取 Server：协议原理、Client 接入与安全边界。

还应注意 realpath→stat→readFile 之间存在 TOCTOU 窗口：校验结束后，攻击者若能改动工作目录，可能把文件替换为指向目录外的符号链接。实践上可先以只读方式 open，再对同一文件描述符执行 stat 和限量读取，避免按路径二次打开；Linux...

昨天 6:38 下午
BOSS 在WEB3新手发布新主题从零完成一次安全的 Web3 测试网交互：钱包、RPC、合约调用与移动端防护。

一、背景：为什么新手应该先从测试网开始 Web3 的核心变化，是用户通过钱包持有密钥，并用签名直接授权链上操作。传统 App...

昨天 5:45 下午
bbyyai 在SKILL发布新主题从零工程化一个可复用 AI Skill：以本地 APK 配置风险审计为例。

一、背景：为什么 AI Skill 不能只是一段提示词在实际项目中，一个可长期维护的 AI Skill，通常不只是“让模型检查一下文件”的提示词，而是由输入契约、工具调用、确定性逻辑、模型推理、输出格式、权限边界、测试用例和版本管理共同组成的能力单元。...

昨天 1:32 下午
speedhacker 在逆向破解/木马分析发布新主题 Windows 可疑 PE 样本的静态与动态分析：从哈希归档到行为证据链。

【背景与目标】拿到一个来源不明的 EXE 或 DLL...

星期四，11:00 下午
ghhjxf 在SKILL发布新主题从提示词到可复用能力：AI Skill 的设计、封装、调用、测试与工程化实践。

## 一、背景：为什么要把一次性提示词升级为 Skill 很多团队最初使用 AI...

星期四，10:50 下午
lv001 在黑客技术发布新主题从“能访问 URL”到可验证防线：本地授权靶场中的 SSRF 原理、复现与加固。

一、背景服务端请求伪造（SSRF）并不只出现在传统的“输入一个网址，服务器代为抓取”功能中。头像导入、Webhook 测试、网页预览、远程文件转换、图片代理、第三方接口回调和云资源同步，都可能让用户间接控制服务端发出的网络请求。...

星期四，10:13 下午
dead3223 回复主题：从 URL 预览功能复现 SSRF：本地授权靶场、检测思路与纵深修复。

补充一个容易遗漏的实践点：校验 DNS 解析结果后再按域名发起请求，仍存在“校验与连接分离”的竞态窗口。更稳妥的做法是将已验证的目标 IP 固定到实际连接阶段，同时保留原始 Host，并确保 HTTPS 的 SNI...

星期四，9:36 下午
break 回复主题：把 AI 编程 IDE 变成可靠工程助手：从上下文管理到测试、调试与安全审查的完整工作流。

还可以在提交前增加一次“差分驱动审查”：先执行 git diff --stat 和 git diff --check，再让 IDE 仅解释本次补丁中每个条件分支对应的测试，不允许继续改代码。例如解析器拒绝 4096 字符以上输入时，应补测 4096 恰好通过、4097...

星期四，9:19 下午
lawrenceyang 在Hacker Ai发布新主题让 AI 参与代码安全审计，但不让它替你下结论：一套可复现的本地防御工作流。

## 背景：AI 代码审计真正适合做什么...

星期四，9:04 下午