React2Shell攻防笔记：原理挖掘与价值15万美元的WAF绕过思路
2025年12月初，React Server Components和Next.js出现核弹级漏洞React2Shell（CVE-2025-55182），这几个周末我陆陆续续在「代码审计知识星球」里写了5篇相关文章：
阅读视图
本地多语言AI字幕组：whisper实战教程
Whisper是OpenAI发布的一个开源自动语音识别（ASR）系统，它于 2022 年发布，目的是提供一个强大、通用、易于使用的语音转文本工具。
自从Whisper发布以后，市面上就涌现出大量“视频生成字幕”工具，但大部分工具都是要付费的，而且能在Windows和Linux下使用的较少。其实这部分工具就是将Whisper包装一层以后使用，我们完全可以直接在本地电脑上运行Whisper模型，...
扒一扒h2database远程代码执行
前两天在《Java利用无外网（上）：从HertzBeat聊聊SnakeYAML反序列化》这篇文章里说JDBC注入的时候提到H2 Database Web Console的RCE，我曾在Vulhub中对这个漏洞有一段描述：
1.4.198版本及以后的H2控制台中，添加了新的
-ifNotExists选项，默认禁用远程数据库创建，这将导致攻击者必须找到一个已存在的H2数据库才能执行上述JDBC攻...
ClassPathXmlApplicationContext的不出网利用
我在《Java利用无外网（上）：从HertzBeat聊聊SnakeYAML反序列化》末尾留了一个问题，也是「代码审计知识星球」里发布的Springboot Code-Breaking 2025小挑战的核心考点：https://t.zsxq.com/tSBBZ，代码如下：
@Controller
public class IndexController {
@ResponseBody
...从HertzBeat聊聊SnakeYAML反序列化
上周日联合@Ar3h 师傅一起，在【代码审计知识星球】里发布了一个Springboot的小挑战：https://t.zsxq.com/tSBBZ，这个小挑战的核心目标是在无法连接外网的情况下，如何利用PSQL JDBC注入漏洞。我会分两篇文章来讲讲所谓的“不出网利用”，第一篇文章会介绍最近遇到的一个实际案例，也就是Vulhub里的Apache Hertzbeat的后台代码执行漏洞（CVE-2...
如何巧妙构建“LDAPS”服务器利用JNDI注入
前段时间看到群友问了这样一个问题：
ldap:和rmi:关键字被拦截了，是否还可以进行JNDI注入。方法很简单，就是使用ldaps，但后来发现很多人并不知道怎么搭建LDAPS服务器，正好CoNote里有这个功能，写篇简单的文章讲讲。
0x01 LDAPs是什么
在Java JNDI注入的过程中，用户传入一个URL，Java会根据URL的scheme来判断具体使用哪个包来处理，这些包的位置在...
用ChatGPT帮我检查广告评论
最近博客后台经常会出现一些来自国外的留言，基本全是一些广告，以推广SEO、推广博客工具的居多，比如这个：
这个情况这几年一直都有，我也一直在给博客增加许多限制，比如IP黑名单、关键词黑名单、增强验证码等，但总有一些漏网之鱼，而且今年特别严重。
我的博客完全是自己开发的，而非Wordpress这类通用程序，理论上应该不会有传统的通用工具能自动绕过验证码进行留言。所以我想不太通这些工具是怎么做...
iOS备用机自动充电方案
搬到新加坡以后，我拥有了很多张手机卡：
- 1张国内的电话卡，回国时使用
- 1张新加坡电话卡，本地使用
- 1张马来西亚电话卡，去马来西亚旅行时使用
- 1张英国电话卡，去欧洲旅行时使用
相对应的，我需要有备用机来运行这些号码。正好手上有一台旧的iPhone XR，于是我就把其中两张卡插到了这个手机里。但随之而来的是另一个问题，手机长期插电对电池非常不友好，很有可能导致备用机电池彻底废掉。
垃圾佬的家...
PaaS服务从Heroku迁移到fly.io小计
今年8月得知了Heroku将要在今年11月彻底下线免费服务，我只有少量服务放在Heroku上，所以没有太在意，直到10月感觉到不得不开始做迁移相关的工作了，于是开始着手准备，并有了这篇文章。
这篇文章纯属是事后记录的一些流水账，可能缺少截图和代码片段，全当是作为一个故事看，可能不具备参考性。
为什么选择PaaS服务
从很久以前开始接触“虚拟主机”这个行业开始，我经历了虚拟主机、VPS、云主机...
XRay三周年活动寄语
上周XRay做了一次三周年活动，简单写了一段寄语，记录于博客。
大家好，我是phith0n，安全社区有很多人叫我P师傅，以前很抗拒这个称呼，总是给人一种互相吹捧的感觉，不过后来我换了一个角度理解这个称呼——以前坐公交车不认路的时候，我们上车时总会问司机：师傅，这个车到不到国贸大厦？
这么多年过去了，大部分人用上智能手机，搜索引擎，很少再有人会再问出这类问题。但是我还是愿意当一个普普通通的司...
