刚才听到一首歌

害….发现我这个人的经历啊,无论是精神肉体这七年来的种种,言归正题,抑郁症是多重悲剧同时发生,天时地利人和的达不到欲望、预期、想得到,甚至特别悲伤的事和失去,大喜大悲,加起来的共振,人的抗压能力到一个极点,可能一件悲伤的事催毁不了你,但是多个悲伤的事持续好几年,慢慢的就会觉得世界是灰色,也不是灰色吧,就是不太会感觉到色彩 嗅觉 味觉等等个体感受,所有好的坏的都不痛不痒 不在意,就比如正常人被掐一下很疼,但抑郁的人是会觉得疼,但是无所谓 不在意,天塌下来了,也无所谓 不在意,这个大概就是某种意义上的灰色 整个世界都是灰色,大概就是这样,可怕的无所谓 不在意。 没有过不去的坎,没有时间摸不平的事,没有能一起到终点的人,没有非你不可 非他们不可 非这样不可,失望 失去是常常会有,那么就活着,活在自己的心里,每个人每件事,想起记起发自内心的笑。

2020成长计划

核心思想

搞钱!!!
通过挖洞实现财务自由,批量半自动收割web漏洞, xss、越权、sql、rce、任意文件读取、任意文件上传、逻辑漏洞 等等可以获得人民币的漏洞。

半自动刷漏洞

  1. 资产收集工具
    域名收集、url收集、表单收集、登陆点收集 总归一句:强力的web爬虫。
  2. http请求包重放自动模糊测试漏洞
    waf识别、漏洞测试、精简化payload,智能化的漏洞测试工具。
  3. 表单自动填写
    chrome插件实现表单自动填写从而降低工作量。

从而实现全自动刷洞的进阶路程

个人

  • 自律、管住自己、遵循计划表
  • 健康的身心
  • 学习英语、机器学习
  • 多出去旅行、结交有意思的朋友、遇见有意思的她

没有标题就是想写点东西

华为p40据说不再兼容google全家捅,两国的贸易战已经影响到了我,因为想换手机了,作为it行业从业者,google play对我还是很重要的,有翻墙需求和正版绿色下载,追西方世界先进技术、思想。 前两天去开会,按道理一个技术相关的会议,有一篇议题居然是与品牌相关,和某大佬交流,大佬在意的不是技术而是技术所带来的影响力,当下行业已经发展到如此了吗?一个技术从业者参与的会议,议题少有相关技术细节,更侧重技术所带来的影响力和商业利益,是因为我自己变了 变得 目光聚焦点在技术之上的影响力和商业利益了,还是大家变了? 同期挖洞者,大多数已经远远超越我,还有自己确实变懒了,精力逐渐减少,欲望却并没有降低。

  关于上次相声表演的主线剧本

1.甲方乙方安全人员有哪些选择

我从来没去过甲方和乙方 没办法回答。

2.以前的安全人员现在的情况

有的继续做安全、成为一代宗师级大佬,有的去创业了,有的改行了,各有各的选择,有人选择安稳,有人选择搏一把,反正钱是赚不够的,生活总是如此,但是当你有更多的钱时就有能力有更多的选择余地。

3.业余可赚钱的方式

挖洞、炒股、炒币、接私活等等,很多大佬都是这样,下班了挖洞炒股,比如袁哥 职业炒股选手 还做数学题,或者朋友介绍做些项目,我个人还有个选择 跑滴滴,送外卖现在貌似是全职 没办法选择 不然我也想体验一下….当然技术出身改行肯定想往更高难度的技术去,金融行业是个不错的选择。

4.团队未来的发展方向/前景

团队和朋友是不可缺的,无论是干什么,多交流才能互相提升,目标一致的一群人在一起很有趣,我有个微信群 我们十几个人 几乎包揽了今年tsrc %70以上的漏洞奖励和的年终奖,我们的目标是承包tsrc,哈哈哈。

5.白帽子该如何自我提升

选择一个方向,刻苦钻研下去,切合实际的方向,根据自身的情况做选择。 如果单单是做技术的,技术是有瓶颈的,到了一定的程度就很难再有所提升,毕竟人始终是人,年龄大了精力就不是那么充足了,和35岁程序员中年危机是一样的,安全行业我最崇拜敬仰的是泉哥,一心练剑心无杂物,不浮躁还能一直追技术,还时不时的博客做技术分享,很羡慕这个样子,我一直怀疑这就是财务自由后的生活,哈哈哈。

6.刷src

大多数帽子刷国内src都是用web相关的漏洞来刷,也就是辅助渗透测试的漏洞,和可以被黑产利用的漏洞,我个人衡量漏洞的标准是,这个漏洞是否有价值被黑灰产所利用,客户端漏洞很少有,都是xss\sql\逻辑越权偏多,而这些也是厂商派重兵把守的地方,其实每家厂商都有自己的扫描器和风控系统。

关于挖掘src漏洞:

  • 1.白帽子主要是寻找扫描器和风控系统覆盖不到的地方
  • 2.比如domxss、越权漏洞和逻辑漏洞
  • 3.开发运维人员的一些疏忽的点
  • 4.还有因为厂商毕竟是赚钱是第一要务,因双十一、游戏活动之类紧急上线的业务并没有被安全部门测试过,这些通常会出现问题。
  • 5.漏洞主要还是存在于交互处,也就是需要表单填写多的地方,这种场景大家应该会时常遇到。
  • 6.漏洞利用,这是厂商和当前法律明令禁止的….请参考国外博客,和自己私下测试,还有纯刷src角度,我个人觉得别用扫描器扫厂商业务,他们一个payload打过去,封ip封账号不说,爬虫爬过去说不定你就收到一张传票或者被查水表,就进去了…….。

进阶漏洞挖掘

这个时候就要讲讲我那个微信群里可怕的大佬了,有的人职业xx邮箱选手 正文存储xss近百个,有的人职业xx云 shell了七八次,有的人渗透性选手 整天内网漫游,有的人注入选手 几十个注入,有的越权选手 xx空间任意登录四五次,有的专注于游戏业务 各种越权无限游戏技能 越权支付等等等,都是几百分的大佬。 那么他们有一个共同点,聪明帅气就不用说了,关键是人家能熬夜身体好啊,哈哈哈,多测试,专注总会出成果的。 我个人是扫描器和硬怼型选手,域名收集工具收集一大堆 然后就硬钢,我的梦想是做一个全自动挖掘机,也一直为这个梦想努力。

删除微博js

function delWeibo() {
  if (!document.querySelectorAll('.screen_box a')[0]) return false;
  if (1) {
    document.querySelectorAll('.screen_box a')[0].click();
    if (!document.querySelectorAll('.screen_box ul li a')[0]) return false;
    document.querySelectorAll('.screen_box ul li a')[0].click();
    if (!document.querySelectorAll('.btn a.W_btn_a')[0]) return false;
    document.querySelectorAll('.btn a.W_btn_a')[0].click();
  }
}
setInterval(window.scrollTo(0,document.body.scrollHeight), 1000);
setInterval(window.scrollTo(0,document.body.scrollHeight), 1000);
window.onload = setInterval(delWeibo, 1000);

教育制度 高考制度 应试教育

教育制度 高考制度要变了,变得更人性化,应试教育被鼓吹的怎样怎样,唯一一次公平决定未来的转折点..怎样怎样的,对不起,一群傻逼,9,12年义务教育是历史的刚需,培养工程师的路子,在改革开放初期需要这种通过培养大量应用工程师来实现四化,然而现在我们到达了一种新境界,需要个性差异创造性 这是现有教育制度教不出来的,甚至还占用浪费大量的时间和社会资源,当人人都是工程师 工程师还有啥价值? 这个教育改革已经很说明问题了,我们需要创新性人才,技术是其次,把技术变现变成有价值的能力是我们需要的,1 创造性改革性的技术发现 比如袁隆平屠呦呦诺奖那种 2 带领一个行业造成巨大的社会价值马云马化腾王健林那种,看他们履历 这两种是学校学不到的。比如我们执政党伟大毛主席 他是政治军事系毕业的?教书先生和图书馆管理员跨界来的,再比如我们网络安全圈我是学车工的,圈内影响力大佬有几个是学计算机的 不都是凭兴趣爱好 机缘巧合? 人的命,天注定,娃的命也不是当家长的能决定,刚改革开放的那一波生产力主力50 60后,都是家里七八个兄弟姐妹,他们计划生育后只有80 90后独孩,所以80 90后独生可能对人类史有先入为主的误解 娇贵,你整天去让娃刷题刷成绩还不如教下怎么生活 要知道过十年二十年等父母老了 你自己又是独生子女 本来生活能力又差 这些孩子可是80 90的大帮手,我建议年轻父母多生几个 ,反正也开放了,就会看淡自己孩子的学习成绩 小孩快乐健康成长最重要 学习氛围学习习惯是要从小培养 比如带着出去玩 旅游 看看新闻 看看历史纪录片,娃自己感兴趣自己会学,百度谷歌啥不能搜出来?只要有好奇心 执行力。 个例:朋友圈有一小孩问我,我码代码用百度嘛?我说用啊 不用百度谷歌咋码代码,他又问 我咋搜不出来你码的那些东西?…..我才开始以为是我的文章没被搜索引擎收录之类,聊了几句发现 他认为我的域名监控爬虫扫描器之类思路是现成的代码也是百度删删改改的 他的脑海里世界不存在创新 创新都是别人的 他要做的只是书本上标准内的,他又问你不记代码单词的吗?我记锤子 是网速不够快还是电脑手机太卡百度谷歌不好用? …把我气的 吐了一口老血 最不能忍的是对payload的误解,试场景的漏洞测试,人家硬是通宵各种收集来的自己都不懂啥意思的payload 硬测还测成了,你说气不气,然后我发现了个道理,14亿人口基数带来的体力和智力劳动力的廉价,如果二十年前通过廉价的体力劳动吸引外资干到08年是改革开放的第一阶段,他妈的 现在工程师廉价的脑力劳动就是第二阶段,所以hackerone和国内src价格差异巨大,毕竟中国人口多 你不做 自有人做 就因为这个人口基数 人家硬测都能给你测出来,大佬做一个需求要10w 人家找十个应届生开5k 硬搞都能给你搞出来 既省钱又人多看着还热闹,扯远了扯远了… 普通应用工程师已经和扫大gai的同一社会价值,从薪水待遇看还不如送快递送外卖的大兄弟们 那何必去从小追求985 211呢? 应试教育也该大改革了。 少年的中国没有学校 他的学校是大地和山川,少年的中国没有老师,她的老师是大地的人民…

关于常委会学习区块链

猜测 1.央行发行基于区块链的电子数字货币已经板上钉钉,这是个向公众通气的会。 2.因区块链上数值不能伪造、造假能保持绝对公平、公正、公开的技术被顶层看上,这是个法制利器,便于一切合法非法行为的溯源,对顶层政策出台机构来说是最强监管政策执行的技术。