普通视图

昨天 — 2026年4月17日离别歌

离别歌
Codex Security代码审计初体验phithon
昨天申请并通过了OpenAI的个人认证，加上前段时间以开源贡献者的身份申请了OpenAI和Anthropic的赞助，分别获取了两家的max会员半年，我会写几篇文章，分别分享一下Codex Security的使用体验、Codex和Claude Code的对比、GPT Cyber模型的使用体验等。这篇文章先介绍一下Codex Security的使用体验，因为扫描额度有限，我只测试了几个仓库，...
2026年4月16日 23:40

Codex Security代码审计初体验

作者 phithon

2026年4月16日 23:40

昨天申请并通过了OpenAI的个人认证，加上前段时间以开源贡献者的身份申请了OpenAI和Anthropic的赞助，分别获取了两家的max会员半年，我会写几篇文章，分别分享一下Codex Security的使用体验、Codex和Claude Code的对比、GPT Cyber模型的使用体验等。

这篇文章先介绍一下Codex Security的使用体验，因为扫描额度有限，我只测试了几个仓库，...

昨天以前离别歌

React2Shell攻防笔记：原理挖掘与价值15万美元的WAF绕过思路

离别歌

作者 phithon

2025年12月30日 00:10

2025年12月初，React Server Components和Next.js出现核弹级漏洞React2Shell（CVE-2025-55182），这几个周末我陆陆续续在「代码审计知识星球」里写了5篇相关文章：

本地多语言AI字幕组：whisper实战教程

离别歌

作者 phithon

2025年6月9日 09:25

Whisper是OpenAI发布的一个开源自动语音识别（ASR）系统，它于 2022 年发布，目的是提供一个强大、通用、易于使用的语音转文本工具。

自从Whisper发布以后，市面上就涌现出大量“视频生成字幕”工具，但大部分工具都是要付费的，而且能在Windows和Linux下使用的较少。其实这部分工具就是将Whisper包装一层以后使用，我们完全可以直接在本地电脑上运行Whisper模型，...

扒一扒h2database远程代码执行

离别歌

作者 phithon

2025年4月19日 06:07

前两天在《Java利用无外网（上）：从HertzBeat聊聊SnakeYAML反序列化》这篇文章里说JDBC注入的时候提到H2 Database Web Console的RCE，我曾在Vulhub中对这个漏洞有一段描述：

1.4.198版本及以后的H2控制台中，添加了新的-ifNotExists选项，默认禁用远程数据库创建，这将导致攻击者必须找到一个已存在的H2数据库才能执行上述JDBC攻...

ClassPathXmlApplicationContext的不出网利用

离别歌

作者 phithon

2025年4月11日 10:00

我在《Java利用无外网（上）：从HertzBeat聊聊SnakeYAML反序列化》末尾留了一个问题，也是「代码审计知识星球」里发布的Springboot Code-Breaking 2025小挑战的核心考点：https://t.zsxq.com/tSBBZ，代码如下：

@Controller
public class IndexController {
    @ResponseBody
...

从HertzBeat聊聊SnakeYAML反序列化

离别歌

作者 phithon

2025年4月10日 10:00

上周日联合@Ar3h 师傅一起，在【代码审计知识星球】里发布了一个Springboot的小挑战：https://t.zsxq.com/tSBBZ，这个小挑战的核心目标是在无法连接外网的情况下，如何利用PSQL JDBC注入漏洞。我会分两篇文章来讲讲所谓的“不出网利用”，第一篇文章会介绍最近遇到的一个实际案例，也就是Vulhub里的Apache Hertzbeat的后台代码执行漏洞（CVE-2...