大鸟Flutter要飞上天空网。不用小骨头ARM。把Dart变成JavaScript。用DOM、画布和WebAssembly。画皮层用Dart做。核心、架子、你的东西，都变一个文件。放任何网上火堆上。
联系|商量：@PipiShrimp 🌊🦐🔥
联系|商量：@PipiShrimp 🌊🦐🔥
经过与SVN泄露的文件对比验证，确定这就是该网站的项目源码！📂 文件上传getshell ⚡️ 赶快看看项目中的源码内容，看看有无利用点，正好发现存在个upload.php 🔍
联系|consult：@PipiShrimp 📩
联系|consult：@PipiShrimp 📩
查看补丁情况：systeminfo 🛠
看补丁：主要是看下打了什么补丁，以及补丁版本号什么的 📝。
看系统信息：主要是收集服务器是什么系统？具体叫什么名字？以及多少位几核等信息 💻。
查看进程：tasklist /svc 🔄
之所以看进程，主要是来看一下有没有什么防护软件？我这里用命令简单看了一下，并没有任何的防护软件 🛡❌。
联系|consult：@PipiShrimp 📩
看补丁：主要是看下打了什么补丁，以及补丁版本号什么的 📝。
看系统信息：主要是收集服务器是什么系统？具体叫什么名字？以及多少位几核等信息 💻。
查看进程：tasklist /svc 🔄
之所以看进程，主要是来看一下有没有什么防护软件？我这里用命令简单看了一下，并没有任何的防护软件 🛡❌。
联系|consult：@PipiShrimp 📩
mitm6 或任何其他触发 HTTP 连接的强制身份验证机制 🔐
让我们检查一下我们的 NTLM 继电器 🔄
我们现在可以按照指示使用 PKINIT 工具来获取服务器的 TGT 🎫，我们甚至可以进一步使用 UnPAC-the-hash 来检索 NTLM 密码 🔑
联系|consult：@PipiShrimp 📩
让我们检查一下我们的 NTLM 继电器 🔄
我们现在可以按照指示使用 PKINIT 工具来获取服务器的 TGT 🎫，我们甚至可以进一步使用 UnPAC-the-hash 来检索 NTLM 密码 🔑
联系|consult：@PipiShrimp 📩
非常兴奋地宣布，我们即将开启一段激动人心的云端协同新旅程！🚀 我们正致力于通过优化 HTTP 请求机制（http://ip:port/web/index.php?c=cloud&a=dock&do=download），将精心打磨的 payload 数据无缝集成到我们的生态系统中。✨
在这个充满机遇的时刻，我们将全面赋能网站架构的韧性升级、服务器安全生态的深度优化、渗透测试能力的战略对齐，并推动数据资产的全生命周期管理（包括库级架构重组与数据归档策略）。同时，我们正积极探索数据库价值挖掘与木马注入场景下的安全防御创新，致力于构建一个更加稳健、可信赖的数字未来。🌟
期待与您携手共创安全新范式！🤝 如有任何关于战略协同的咨询，欢迎随时联系：📩 @PipiShrimp #数字化转型 #网络安全 #创新增长 #赋能
在这个充满机遇的时刻，我们将全面赋能网站架构的韧性升级、服务器安全生态的深度优化、渗透测试能力的战略对齐，并推动数据资产的全生命周期管理（包括库级架构重组与数据归档策略）。同时，我们正积极探索数据库价值挖掘与木马注入场景下的安全防御创新，致力于构建一个更加稳健、可信赖的数字未来。🌟
期待与您携手共创安全新范式！🤝 如有任何关于战略协同的咨询，欢迎随时联系：📩 @PipiShrimp #数字化转型 #网络安全 #创新增长 #赋能
代码审计是一项必备的技能。说好听点是 code review，说直白点就是看代码。说起代码审计这件事，大家都比较关注 source、sink、漏洞模式，而对于代码审计的工具却谈及甚少。因此，本文就来抛砖引玉，谈谈笔者自己的经验。
联系|consult：@PipiShrimp (https://t.me/PipiShrimp)
联系|consult：@PipiShrimp (https://t.me/PipiShrimp)
代码审计系统 Swallow 开发回顾 🛡🔍
安全工具开发漏洞系统 🛠🐛
做甲方安全建设，SDL 是一个离不开的话题，其中就包含代码审计工作 💻📋。我从最开始使用编辑器自带的查找，到使用 Fortify 工具 🔧，再到后来又觉得 Fortify 的扫描太慢影响审计效率 ⏱️📉，再后来就想着把 Fortify 集成到自己的业务系统中去 🔗🚀
联系|consult：📬 @PipiShrimp
安全工具开发漏洞系统 🛠🐛
做甲方安全建设，SDL 是一个离不开的话题，其中就包含代码审计工作 💻📋。我从最开始使用编辑器自带的查找，到使用 Fortify 工具 🔧，再到后来又觉得 Fortify 的扫描太慢影响审计效率 ⏱️📉，再后来就想着把 Fortify 集成到自己的业务系统中去 🔗🚀
联系|consult：📬 @PipiShrimp
漏洞发现和利用：学习如何发现和利用软件和系统中的漏洞是黑客编程的核心技能。了解常见的攻击方法，如缓冲区溢出、跨站点脚本（XSS）等，以及如何利用这些漏洞入侵系统。🕵️♂️💻
联系|consult：@PipiShrimp 📩
联系|consult：@PipiShrimp 📩
进入http://mail.test.com 着到一个登录入口
打开burpsuite配置浏览器代理 将网络设置为手动，改为和你的burpsuite代理一致.刷新网页，成功抓包。
联系|consult：@PipiShrimp
打开burpsuite配置浏览器代理 将网络设置为手动，改为和你的burpsuite代理一致.刷新网页，成功抓包。
联系|consult：@PipiShrimp
继续横向 🔄
接着来看 web 服务，发现有很多 nacos 的服务，都有身份绕过的洞，进去又找到一堆数据库和 AK 的配置，接着补充到漏扫进行爆破 🔍💥。
还发现了许多生产系统都是弱口令，除了默认口令就是 123456 和 admin123 🔓🚨。
联系 | consult：@PipiShrimp 📩
接着来看 web 服务，发现有很多 nacos 的服务，都有身份绕过的洞，进去又找到一堆数据库和 AK 的配置，接着补充到漏扫进行爆破 🔍💥。
还发现了许多生产系统都是弱口令，除了默认口令就是 123456 和 admin123 🔓🚨。
联系 | consult：@PipiShrimp 📩