https://xiaokeqing.cn/categories/ai%E7%AC%94%E8%AE%B0/Recent content in Ai笔记 on xiaokeqingHugozh-cnSun, 18 Oct 2026 00:00:00 +0000https://xiaokeqing.cn/posts/ssh-bruteforce-163.5.210.194/Sun, 18 Oct 2026 00:00:00 +0000https://xiaokeqing.cn/posts/ssh-bruteforce-163.5.210.194/一周内 6,956 次会话、6,931 次登录成功、6 次失败，0 条命令、0 条 Suricata 告警、0 次封禁。163.5.210.194 是一条「只打 2222、一枪就中、登进去就走」的机器人，它把失败次数型规则整条废掉了。https://xiaokeqing.cn/posts/purple-team-self-attack-20261018/Sun, 18 Oct 2026 00:00:00 +0000https://xiaokeqing.cn/posts/purple-team-self-attack-20261018/在自己靶场里主动打三下（SSH 爆破 / 端口扫描 / Web 探测），每一击都指定一条该命中的规则，再用 eve.json 和 alerts.json 的 grep 去对账。结论先摆好：规则还没部署，所以「实测命中」这一栏全部是未验证 —— grep 返回 0 证明的是没加载，不是没命中。https://xiaokeqing.cn/posts/public-api-rate-limit-owner-token/Sat, 17 Oct 2026 00:00:00 +0000https://xiaokeqing.cn/posts/public-api-rate-limit-owner-token/公开问答接口的默认限额是每 IP 每分钟 6 次。站主自己要能随便问，于是加了一条 X-User-Token：带有效令牌就跳过限流。这不是降低安全边界，因为令牌校验走的是同一套登录服务，前端只在登录态才发这个头。https://xiaokeqing.cn/posts/backup-two-machines-gone/Sat, 17 Oct 2026 00:00:00 +0000https://xiaokeqing.cn/posts/backup-two-machines-gone/备份最怕的不是没做，是做了却在静默失败。这次查出来四个洞：密钥只在两台机器上、配置里有 44 个键从来没进过备份、定时脚本从 10-12 起就没成功过、解密凭据不在配置包里。修法是双向收件端 + 加密互备 + 新鲜度告警。https://xiaokeqing.cn/posts/persona-lines-not-robotic/Sat, 17 Oct 2026 00:00:00 +0000https://xiaokeqing.cn/posts/persona-lines-not-robotic/写角色台词，堆规则墙是没用的——我写了十几条「不要这样」，生成出来照样是产品说明书。真正起作用的是反面范例、长度上限和一句必须存在的话。这篇记五个坑、三条判据，以及我量过的数字。https://xiaokeqing.cn/posts/verifiable-deploy-chain/Tue, 13 Oct 2026 00:00:00 +0000https://xiaokeqing.cn/posts/verifiable-deploy-chain/一个容器跑起来，你怎么知道跑的就是你刚推的那个 commit？这条链上我封了五道闸门：触发即校验、jar 内指纹核对、镜像 digest 而不是 tag、部署前后的硬校验、以及一个会自己回滚的看门狗。https://xiaokeqing.cn/posts/suricata-rule-trim/Tue, 13 Oct 2026 00:00:00 +0000https://xiaokeqing.cn/posts/suricata-rule-trim/53,122 条 alert 规则、44MB 规则文件，24 小时里真正命中的只有 1 个签名。裁掉 10,675 条（约 20%）之后，阳性对照照常在报、基线命中集逐条复现、丢失 = 0。这篇讲判据怎么定、怎么证明没裁错、以及被裁掉的那部分弱信号意味着什么。https://xiaokeqing.cn/posts/honeypot-visibility/Tue, 13 Oct 2026 00:00:00 +0000https://xiaokeqing.cn/posts/honeypot-visibility/多端口扫描的漏报，在本环境里不是「规则不够」，而是「看不见」——7 个端口的 SYN 在云安全组就被丢了，传感器看不到的包，任何规则都检测不到。这篇讲清可见性缺口怎么证明、误报抑制怎么做，以及哪些检测能力被刻意放弃了。https://xiaokeqing.cn/posts/weekly-report-template/Tue, 13 Oct 2026 00:00:00 +0000https://xiaokeqing.cn/posts/weekly-report-template/一份可以直接照着填的周报/月报骨架：每一格都写明它来自哪个公开端点、哪个字段、什么口径，以及「取不到的时候写什么」。模板的价值不在于好看，而在于它逼你回答「这个数字到底是怎么算出来的」。https://xiaokeqing.cn/posts/public-ask-explain-not-forensics/Tue, 13 Oct 2026 00:00:00 +0000https://xiaokeqing.cn/posts/public-ask-explain-not-forensics/「不执行处置」和「不泄露内部事件数据」是两件事。收紧之前，匿名问一句「我们昨天被谁打了」，回答里会带出内部资产名和内部接口路径 —— 处置确实没执行，但数据已经出去了。这篇讲两层防御（编排层不派发 + 工具层二次拒绝）怎么落地，以及它换来的代价。https://xiaokeqing.cn/posts/incident-502-postmortem/Tue, 13 Oct 2026 00:00:00 +0000https://xiaokeqing.cn/posts/incident-502-postmortem/站点 502 了约 6 分钟。查下来不是「一个 bug」，而是四个各自独立、每一个单独都足以致命的缺陷：启动崩溃、配置格式、潜伏 3 天的防火墙冲突、以及发布链的盲区。这篇按时间线还原，并给出正在生效的对照组。https://xiaokeqing.cn/posts/blog-as-a-security-project/Sat, 10 Oct 2026 00:00:00 +0000https://xiaokeqing.cn/posts/blog-as-a-security-project/静态托管、零第三方脚本、源站不暴露——这些选择看起来是「技术选型」，其实每一条都是在做攻击面收敛。https://xiaokeqing.cn/posts/roadmap/Sat, 10 Oct 2026 00:00:00 +0000https://xiaokeqing.cn/posts/roadmap/把准备写的题目列出来，写完一个勾一个——公开自己的进度表，也是一种督促。https://xiaokeqing.cn/posts/welcome/Sat, 10 Oct 2026 00:00:00 +0000https://xiaokeqing.cn/posts/welcome/一个安全方向的学习与技术记录站——把做过的项目、踩过的坑、以及可以亲手试的东西放在一起。