即刻App年轻人的同好社区
下载
DeepSeek Harness 的渗透测试插件：
过去两个月的时间，我把之前做渗透测试的经验，汇总成了一份国内常见的 Web & H5 & API 渗透测试工作的 checklist——共计48 项网页渗透测试流程，以及 23 项API渗透测试流程。
经过多轮的边界收敛以及漏洞消缺 review，最终确认 DeepSeek harness 可以在授权环境下，checklist检测覆盖率超过 90%。
并且会结合客户真实环境，列出合规性风险检测以及渗透测试边界。
这套 harness 里面内置了完整的商业化渗透测试的标准测试流程，以及兼容 Yakit 以及nuclei 等开源工具。后续留下了一些二次开发空间。
欢迎大家对这个 harness进行测试以及二次开发。
声明：这套 harness 面向的是常见的商业化渗透测试场景,使用前请务必确认已取得书面授权。
过去两个月的时间，我把之前做渗透测试的经验，汇总成了一份国内常见的 Web & H5 & API 渗透测试工作的 checklist——共计48 项网页渗透测试流程，以及 23 项API渗透测试流程。
经过多轮的边界收敛以及漏洞消缺 review，最终确认 DeepSeek harness 可以在授权环境下，checklist检测覆盖率超过 90%。
并且会结合客户真实环境，列出合规性风险检测以及渗透测试边界。
这套 harness 里面内置了完整的商业化渗透测试的标准测试流程，以及兼容 Yakit 以及nuclei 等开源工具。后续留下了一些二次开发空间。
欢迎大家对这个 harness进行测试以及二次开发。
声明：这套 harness 面向的是常见的商业化渗透测试场景,使用前请务必确认已取得书面授权。
https://github.com/Yanzeliang/dsh-pentest-harness.git
2 00
最近用 GPT 和 DeepSeek 挖漏洞有明显感觉，所有 AI 渗透测试的一个通用性问题就是：
模型其实可以对于“标准化的程序设计”能抓出来的漏洞挺多。
但是模型「无法界定」在真实生产环境里面，有一些非标准化的程序开发是被允许的。
这个会让模型对漏洞危害等级产生误判。
这个需要让模型尽可能多的去补充对于环境和业务理解的上下文信息，同时对齐漏洞危害界定的范围以及判定标准。
模型其实可以对于“标准化的程序设计”能抓出来的漏洞挺多。
但是模型「无法界定」在真实生产环境里面，有一些非标准化的程序开发是被允许的。
这个会让模型对漏洞危害等级产生误判。
这个需要让模型尽可能多的去补充对于环境和业务理解的上下文信息，同时对齐漏洞危害界定的范围以及判定标准。
4 60
「带实习生的日常📝」
其实比较魔幻的感觉是，网上一边铺天盖地的 vibe coding。
而现实工作里面，我让新来的实习生小孩，我让他从装 Linux 做起。
原因很简单，因为我需要的不是只会 vibe coding 的人。
小孩简历里面给我写的 TensorFlow，PyTorch 框架，熟练 Python ，C++。
给一个模型做过线性回归测试，运用特征工程与交叉验证做模型优化，预测准确率高达 89.5%。
我看得有点皱眉头。随后，我就问了几个非常基础的问题，比如：
1. 他项目里做什么回归预测？预测什么性质的数据？
2. 怎么清洗和整理的数据？
3. 怎么通过训练集和测试集的指标变化判断模型的拟合情况？
小孩哥哑口无言，有点说不出口。
我： ummm，那我换个别的。跟我说一下你简历里面你自己做的东西就可以。
他磕磕巴巴又说了一些乱七八糟，没头没尾的东西。
最后我没办法了，我问小朋友。
你简历里面有多少项目是真的？
他说：哎呀哥，你别问了。你就把我当啥也不会的小白就行。我就是来实习一下，您抽空顺便带带我就行。
我突然有点绷不住的想笑，这小孩估计也是被我问怕了，他说哥我干点啥都行，给你倒水啊拿快递的没问题。
我说：停停停，小伙砸，我这可不是让你来干这个的，我自己都能干。你实话跟我说，你是咋面试进来的？
他一脸无辜的看了我一会，他说他是家里爸妈托关系把他送进来的，想着进来学点东西。
我：我。。卧槽？（你小子家里关系挺硬啊）
我估计又是哪个总监的关系户，反正不是我们 BG 的总监。
小孩哥这两天我带他下来，感觉到这小孩不是那种飞扬跋扈的性格。反而特别实诚，实话实说。挺客气，还有点礼貌。
小孩之前一直喜欢用 vibe coding 做小工具，包括他简历里面写的这些玩意，他说他也是用 AI 做的。他自己其实不懂，大一大二也没好好听，大三出来实习来了。
我觉得这小孩还能培养，给他布置了一些基础的学习任务。现在好了，学校没教的东西，在我这里给他再教一遍。
但其实这次我不会手把手去教他，我只会给他设定目标，我验收结果。中间的过程需要他自己去踩坑。
让他去写思维导图，去动手实践，去感受真实的部署过程。让他自己去踩一遍坑，可以借助 AI，但是不能让他用 Agent 。
即使我知道现在 Agent 工具其实能直接帮他把我布置的任务完成。
我自己平时也用 codex ， Claude code 这些 Agent 工具写代码。但说实话，我一直都是跟主流媒体唱反调的那类人。
所谓的 AI 博主叫的越欢，炒的越兴奋。我越是喜欢平静的去审视他们，到底有多少东西没有暴露给受众群体。
我前段时间在给一个客户公司做渗透测试挖掘漏洞的时候，有一个业务模块，我的直觉告诉我应该是 vibe coding 做出来的功能。而且那个人水平一般。
他们一个支付回调接口，没有做幂等性校验。
让我有点难绷，然后还有数不清的接口调用不规范，（也有可能实际业务确实没这么跑）
但是，还有一个更让我没绷住的是，订单状态修改，没有考虑并发。
我渗透到一半就感觉，这玩意要上线到正式环境，被打穿是迟早的事。
Vibe coding 确实让 demo 更快落地了，也让大部分没有编程基础的人体验到动动嘴就能做出来一个网页和应用的快感。
爽是挺爽的，但是，代价是什么？
安全意识、风险判断能力，架构设计等等这些东西全都交给 AI 了，你作为一个人类的意义在哪？
其实我在网上冲浪的时候。很反感，甚至讨厌一部分人，他们无脑地去鼓吹 AI 热度，今天 vibe coding 了一个 app，明天又写了一本书，后天又出了一套课程。把流量占尽，然后被锤的时候，又说自己也是个普通人，站在边缘外让自己无法选中。
其实归根到底，AI 用到最后，人还是要回归到以人为本的出发点。
AI 不能代替你的思考，更不能代替你去学习。
你用 AI 去帮你完成一个任务的前提，一定是你对这个任务有非常系统性的知识体系和框架。
这样 AI 才会在你的手里变得更好用，也更听话。
其实还有一件事，说得可能有点扎心，但是我还是想稍微扎一下，提醒一下。
模型再怎么降智，如果你无法兜底，模型降智的后果，那其实你就压根儿，不会用 AI，也不会学习。更不会思考。
其实比较魔幻的感觉是，网上一边铺天盖地的 vibe coding。
而现实工作里面，我让新来的实习生小孩，我让他从装 Linux 做起。
原因很简单，因为我需要的不是只会 vibe coding 的人。
小孩简历里面给我写的 TensorFlow，PyTorch 框架，熟练 Python ，C++。
给一个模型做过线性回归测试，运用特征工程与交叉验证做模型优化，预测准确率高达 89.5%。
我看得有点皱眉头。随后，我就问了几个非常基础的问题，比如：
1. 他项目里做什么回归预测？预测什么性质的数据？
2. 怎么清洗和整理的数据？
3. 怎么通过训练集和测试集的指标变化判断模型的拟合情况？
小孩哥哑口无言，有点说不出口。
我： ummm，那我换个别的。跟我说一下你简历里面你自己做的东西就可以。
他磕磕巴巴又说了一些乱七八糟，没头没尾的东西。
最后我没办法了，我问小朋友。
你简历里面有多少项目是真的？
他说：哎呀哥，你别问了。你就把我当啥也不会的小白就行。我就是来实习一下，您抽空顺便带带我就行。
我突然有点绷不住的想笑，这小孩估计也是被我问怕了，他说哥我干点啥都行，给你倒水啊拿快递的没问题。
我说：停停停，小伙砸，我这可不是让你来干这个的，我自己都能干。你实话跟我说，你是咋面试进来的？
他一脸无辜的看了我一会，他说他是家里爸妈托关系把他送进来的，想着进来学点东西。
我：我。。卧槽？（你小子家里关系挺硬啊）
我估计又是哪个总监的关系户，反正不是我们 BG 的总监。
小孩哥这两天我带他下来，感觉到这小孩不是那种飞扬跋扈的性格。反而特别实诚，实话实说。挺客气，还有点礼貌。
小孩之前一直喜欢用 vibe coding 做小工具，包括他简历里面写的这些玩意，他说他也是用 AI 做的。他自己其实不懂，大一大二也没好好听，大三出来实习来了。
我觉得这小孩还能培养，给他布置了一些基础的学习任务。现在好了，学校没教的东西，在我这里给他再教一遍。
但其实这次我不会手把手去教他，我只会给他设定目标，我验收结果。中间的过程需要他自己去踩坑。
让他去写思维导图，去动手实践，去感受真实的部署过程。让他自己去踩一遍坑，可以借助 AI，但是不能让他用 Agent 。
即使我知道现在 Agent 工具其实能直接帮他把我布置的任务完成。
我自己平时也用 codex ， Claude code 这些 Agent 工具写代码。但说实话，我一直都是跟主流媒体唱反调的那类人。
所谓的 AI 博主叫的越欢，炒的越兴奋。我越是喜欢平静的去审视他们，到底有多少东西没有暴露给受众群体。
我前段时间在给一个客户公司做渗透测试挖掘漏洞的时候，有一个业务模块，我的直觉告诉我应该是 vibe coding 做出来的功能。而且那个人水平一般。
他们一个支付回调接口，没有做幂等性校验。
让我有点难绷，然后还有数不清的接口调用不规范，（也有可能实际业务确实没这么跑）
但是，还有一个更让我没绷住的是，订单状态修改，没有考虑并发。
我渗透到一半就感觉，这玩意要上线到正式环境，被打穿是迟早的事。
Vibe coding 确实让 demo 更快落地了，也让大部分没有编程基础的人体验到动动嘴就能做出来一个网页和应用的快感。
爽是挺爽的，但是，代价是什么？
安全意识、风险判断能力，架构设计等等这些东西全都交给 AI 了，你作为一个人类的意义在哪？
其实我在网上冲浪的时候。很反感，甚至讨厌一部分人，他们无脑地去鼓吹 AI 热度，今天 vibe coding 了一个 app，明天又写了一本书，后天又出了一套课程。把流量占尽，然后被锤的时候，又说自己也是个普通人，站在边缘外让自己无法选中。
其实归根到底，AI 用到最后，人还是要回归到以人为本的出发点。
AI 不能代替你的思考，更不能代替你去学习。
你用 AI 去帮你完成一个任务的前提，一定是你对这个任务有非常系统性的知识体系和框架。
这样 AI 才会在你的手里变得更好用，也更听话。
其实还有一件事，说得可能有点扎心，但是我还是想稍微扎一下，提醒一下。
模型再怎么降智，如果你无法兜底，模型降智的后果，那其实你就压根儿，不会用 AI，也不会学习。更不会思考。
3 70
