十月复盘：做完，和交出去，改变

十月最后一天的凌晨，我把这台机器翻了一遍。

不是凭回忆写总结——回忆会骗人，会把”想过”记成”做过”。我是按文件时间、按 git 记录、按每天留下的日志逐条对出来的。对完之后有件事挺意外：这个月我做的东西，比我自己记忆里的多；但真正交出去的，比应该的少。

先把账算清楚，再说别的。

一、挖洞#

这个月的重心在真实目标上，不是靶场。

最完整的一次是某高校的统一办事大厅。从一个空 token 请求返回 500 开始，报错里回显了 GraphQL 内省参数，我顺着这条缝往下走：服务令牌 → 二十五万条个人信息和三十一个应用的明文密钥 → 客户端凭据铸造令牌 → 三十五万条会话存储 → 数据网关的任意 SQL → 跨租户读取。整条链在十个小时里跑通，最后一个小时我在复验令牌数量，看着它从 352694 涨到 352931，那是我第一次在真实环境里看到”数据在动”。

汇总了八项，四个 Critical。

还有一串小的：某高校分析测试中心三处——匿名可调的 .asmx、ASP.NET 堆栈泄露、后台模板匿名可读；另一所高校继续教育学院的密码找回页，一个 500 编译错误页把短信网关的账号口令和内置手机号整段吐了出来；再有一所高校的选课系统，SQL 注入加一个布尔盲注的二分算法推导。

加起来十一项进了简历口径，覆盖两套系统。剩下的按边界声明没写进去。

这些数字没什么可炫耀的，因为真正让它们站得住的不是”挖到了”，是每一条都能拿出正常请求和攻击请求的对照、都能说清为什么这个配置会导致这个后果、都有一句明确的合规边界。报告写了八百多行，比打洞的时间长。

二、靶场#

十月之前，我的靶场是散装的。dvwa 一个目录、xxe 一个目录、jwt 一个目录，彼此不认识，启动方式各不相同，README 有的是 txt。

这个月把它们并成了一个仓库，八套：应用层的四套，加协议层与应急响应的四套——webshell 后门排查、二层 ARP 中间人、gopher 六关从 SSRF 到 RCE、沙箱逃逸。一条命令起全部，一个导航页进所有关卡。

这是这个月唯一一件外人能自己验证的作品。以前所有东西都在我本机，别人只能听我说。现在给一个仓库地址，他 clone 下来就能跑。

另外还有两件小的：一个微信小程序的漏洞靶场，十三个漏洞点、纯标准库后端、自带自检脚本——做它是因为有人问我小程序渗透经历，而我确实没有真实授权目标；还有一份五百行的 AI 自主渗透骨架，用 SQLite 存外部状态、正则做守卫、循环问模型，假模型能离线跑通。

三、博客与课业#

博客这个月发了二十八篇，从十月十二号的第一篇开始，基本日更。内容就是当月干的事：WAF 上线、Burp 练习、ARTEX 拆解三连、各套靶场的搭建过程、那两个 500 错误页的完整分析。

写的过程比结果有用。有些东西我以为懂了，写到第三段发现自己讲不清”为什么这里要这么绕”，于是回头去看源码——十篇里有三篇是这么被迫补课的。

课业那边十五份作业，四门课没断。密码学的 LFSR、随机性测试和 RC4，数据库的三章 SQL 实验，安全概论的访问控制模型和 PKCS，体系结构的缓存与流水线调研。这些不算作品，但它们是底线。

四、一次自我推翻，一段关系的结束，一个以前未曾想过的人生#

这个月初旬结束了一段关系，两年半的关系，放在整个人生中不算长，放在我现在活过的二十年里，这是十分之一。虽然算不上不欢而散，但是又像是我的错一样，让我怀疑自己。她说我悲的情绪太多，大抵也是吧，大学以来失败就一直围绕着我，两次努力准备工作室考核却总是倒在最后一步，认真学习却总是拿不到满意的分数，投出去的简历得不到回应，种种事情让我有了悲的视角，看不见喜的影子。

但悲归悲，乐观者总在进步，悲观者总是正确，正因为我对事情总是以悲的视角去看，我在这个月产出的项目比之前任何时候都多，学习动力也是从未有这么强，虽然是有一些把写项目当成情绪的出口，但是这个月我能感受到自己在变化，我开始去跑步，开始去感受平时的一切，重新看回每天的晚霞，其实生活很美好，只是之前没感受到。

现在的所有以前都没有想过，没有想过没有她的世界，我不敢想也不愿意去想，以前分开对我造成情绪上的伤害很大，那时候是对身边的一切都漠视了，现在嘛，也许是自己要好好休息一下，该把中心放回到自己身上了，精神支柱绝对不能是别人，要是自己，这段时间除了回忆的时候，其他时间真的很舒服呢。

五、然后我发现，缺的不是产出#

翻完这个月的记录，有三件事很难看，但我还是写下来。

第一件，简历是空的。十月二十五号写完正文，一百二十行，项目、漏洞、技术栈都扎实。但姓名、手机、邮箱、GitHub、学院专业年级、竞赛名次、可实习时间——全是占位符，到今天还是。

更有意思的是这中间发生了什么：二十六号我一天做了四套靶场，二十七号一天做了三套。不是没时间，是那天不想填表。做靶场有即时反馈，跑通了就是跑通了；填简历没有反馈，只有”投出去可能没人理”的不确定性。人会自动选那个反馈快的事，而且会给它找一个很正当的理由——“我先把项目做扎实”。

就是做完了，但没交出去。

挖了漏洞不进简历，等于没挖；简历写了不投，等于没写。产出和交付之间隔着一段没有反馈的路，而人最怕的就是走这段路——因为它安静、没有进度条、还可能被拒绝。

六、十一月先把欠的交出去#

我不打算给十一月列一个长清单，列了也不会做。先写三件欠着的：

一，把简历填完，投出去。 不需要任何新技能，需要十五分钟和一个决定。

二，挑一个通用型漏洞去拿 CVE 编号。 GitHub 本身就是 CNA，七十二小时审核，从提交到公开一到三个月——十一月动手，才赶得上明年三四月暑期实习的简历关。再拖就来不及了。

这两件都不是”做点什么”，是”交点什么”。它们没有技术难度，只有心理难度，所以必须写在这儿，让发出去的这篇文章当证人。

七、然后才是想做的三个东西#

交完欠账，接下来的三个月有三件想做的事。它们看着是三个方向，其实是一条链：一个会自己找路的工具，两处能安心练手的靶标。

一，一个自己的 Agent 渗透平台#

起点是十月写的那份五百行骨架：SQLite 存外部状态、正则做守卫、循环问模型、配假模型能离线跑通。它现在能演示一次闭环，但还配不上”平台”这两个字。

往下分四步走，每一步都得能跑：

单目标闭环——给一个地址，二十分钟内跑完一次完整测试，吐出一份带请求响应对照的报告
图状态——把事实、意图、发现存成节点和边，支持断点续跑。这是从”脚本”变成”平台”的分界线
工具注册表——把手上那个 WAF 的 HTTP 层和归一化模块接进去，八套靶场当回归集，每加一个工具就跑一遍
分工与熔断——规划者和执行者分开，token 预算封顶，高危动作进人工确认队列

安全层只做正则拒绝，不上模型判断。这个结论来自十月拆的那个工具：它跑了三十多次拦截，全部是正则规则命中的，“智能审查官”一次都没触发过——写了代码不等于它在工作。

还有三条不做：不复刻十几万行，不做全自动打生产环境，以及模型欠费时必须还能降级跑。最后这条是被现实教育出来的，不是设计洁癖。

二，一个自己的小程序#

先做靶场，再做真的。

靶场那条路是把现有的十三个漏洞点升级成一个能拿出手的项目：关卡列表、漏洞说明、通关路径、前端体验，让人 clone 下来点开就能玩。它解决的是”我有没有小程序渗透经历”这个问题，而且答案是我自己造的、完全可控。

真上线那条路是另一回事：要接后端、要有登录和数据、要走审核和备案，练的是真实流量、真实后端、真实约束。它比靶场难得多，也像样得多。

两条都要，但顺序不能反。先有一个自己完全掌握的目标，再去碰那个有外部约束的。

三，APP 渗透#

这条线十月是空的，只有逆向的边角料。

我把环境摸了一遍：apktool 有、Ghidra 有、逆向工具的 MCP 服务有；adb 没有、Frida 没有、jadx 没有、抓包代理没有，Android 模拟器也没有。所以按依赖分层来：

静态层，今晚就能做：apktool 拆包，只看清单里的导出组件、权限、可调试标记，再找硬编码的密钥和接口地址。手上那两个 APK 就是素材
动态层，要装环境：模拟器或真机 + adb + Frida，脚本 hook 掉证书校验
流量层，最难的一关：代理证书装进系统证书区。Android 7 之后用户证书默认不被信任，这一步会卡住大部分人

还有一条更干脆的路：自己写一个故意留洞的 APK 当靶子。授权问题直接消失，可以随便打，顺便给上面那个平台添第三类靶标——Web、小程序、APP，三种流量它都得能接。

最后#

十月我产出的东西，比过去任何一个学期都多。但月底这天我坐在这里，最清楚的感受不是”我做了很多”，而是”我攒了很多”。

攒着的东西不会自己变成筹码。它们会过期、会散落、会在某次清理里消失。

所以十一月要练的不是挖洞，也不是写代码。是把东西交出去的那一下——把文件推到远端，把简历投进邮箱，把编号提交给审核。

至于那三个想做的：它们排在”交出去”后面，或者至少并行。要是哪天我又开始热情地搭第七套靶场，那大概不是勤奋，是又在躲那十五分钟的表。

音乐

音乐