网络安全学习第136天

前言今天挖了昨天的一个思路然后就是没有挖到洞正题今天没有挖到洞总结下原因一是没有自己脑袋去想然后今天全是ai跑的然后今天没有自己思考去打战今天等下去看公众号了然后继续学习新的思路昨天想的思路但是没有完全用起来就是意思是我今天没有思考勒今天晚上才用的然后明天我也有新的思路因为有很多站还没有就是思路还没有用上我昨天有就是看到什么思路吗我忘记了但是昨天好像是看了直播了但是忘记具体讲了啥了小程序的就是sessionkey泄露的话就是接管小程序了但是现在就是基本没看到这个了昨天还有一个思路是用ai找信息泄露但是不要让ai自己写规则要去网上找就是规则ai自己找规则肯定是没有某些大楼就是自己写的规则强的然后就是ai就是还没有调教好国产ai就是有个缺点喜欢偷懒我也不知道改怎么解决有点累就是的了然后就是今天也没有调教ai了因为今天去用gpt了然后没有用国内的ai累了困了明天的任务真的要自己去找资产了重点去找越权越权真的洞比较多然后就是找越权以前的资产就是也找一下越权但是想平常的越权是相对于简单的那应该是没有了但是要去找不一样的越权像一般是两个账号嘛但是这连个账号都是一样的权限测试越权的出洞的概率就比较低但是如果是这个网站有对账号的权限管理如自己可以搞一个高账号的权限账号然后低账号的权限账号这两个不同权限的账号出洞的概率就比较高是的然后就是资产问题一般新出的资产就是洞比较多一般就是新出的业务嘛她业务一般是比较敢时间的这种然后她出洞的概率就比较高相对应的为啥别人能挖到我挖不到呢业务出的时间问题一般业务刚上线就去测试出货的成功率比较高要是晚一天就没有那么好测试了第一个他们的内部的人员肯定会第一时间去测试这个刚出来的业务白帽子也会第一时间测试相对于综测所以这个就是新出的业务就是要争分夺秒的测试然后的话 就是资产的问题为啥别人能找到这些新业务的资产嘛我咋找不到首先听网上看的是去关注公众号然后有消息就会推送但是有缺点的就是公众号那么多我也懒得看关注公众号是第一然后的话就是每天都要去看一下资产的公众号一般关注主站就新了就关注她新闻一般放哪个公众号发就关注那个然后的话可以关注官网有什么最新产品一般都是 会放官网上的然后就是其他找资产的方式需要各位大佬去探索了明天要做的事情1、调ai让她找信息泄露就好了2、调ai找越权3、看视频学习4、自己动手挖小程序思考并测试至少三个方向5、复盘