XK-LAB // 工具台 TOOLS
● 两个工具 · 数据各在各的页面取
这里放我自己每天会用的两个小工具。它们不是演示：数据要么来自这台机器上真实跑着的东西（蜜罐、CVE 清单），要么来自每天定时抓一次的官方源。每个工具页都会写明数据什么时候抓的、抓不到时是什么样——抓不到就写「读不到」，不补数、不估算。
CVE 每日速递CVE-DIGEST
每天把 CISA KEV（已被在野利用的漏洞清单）和当日高危 CVE 摊开，每条给四行：影响什么软件 / 漏洞是什么 / 在野利用了吗 / 我该做什么。中文解读只照抄官方字段，缺字段就写「官方未给出」。
源 CISA KEV
NVD CVE API 2.0
更新 每日快照
订阅 RSS
进入 → /tools/cve/
你的密码在攻击者字典里吗PASSWORD-CHECK
密码不出浏览器：本地算 SHA-256，只把前 5 位十六进制发出去（k-匿名，与 HIBP 同一套隐私标准），后端只回这个前缀下被真实尝试过多少次。数据来自这台机器的蜜罐在过去收到的爆破口令——攻击者此刻正在用的词表。
隐私 只发 5 位前缀
数据 自家蜜罐口令结构
口径 不回收明文
进入 → /tools/password/口径与边界
为什么这两个值得放在"工具"里
两个工具的共同点是：数据别人没有，或者口径别人不敢写。
- CVE 速递用官方清单做唯一事实源，解读只允许搬运字段——宁可写「官方未给出」，也不替官方补版本号和影响范围。
- 密码自查的独特之处是「这串口令昨晚刚被人用来爆破我的服务器」——公开泄露库给不了这个时间戳；反过来，它也永远不会告诉你"你的密码已泄露"，只告诉你"这个前缀下有多少次真实尝试"。
- 两个页面都不读内部事件数据、不返回明文口令、不引第三方脚本；取不到数据时统一显示「读不到（原因）—— 不补数」。
● 状态位：数据由各工具页自己取，这里不做二次聚合，所以不会出现"仪表盘很好看但数字是假的"。